时间：2026-07-09
2026年上半年，勒索病毒攻击在全球范围内出现新一轮爆发。与2024~2025年「广撒网」的攻击策略不同，2026年的勒索病毒攻击呈现出高度精准化、区域集群化、行业定向化的三大新特征。福建省厦门市——作为东南沿海制造业、外贸、物流、电商的重镇——成为勒索病毒攻击的高频目标区域之一。
根据厦门地区2026年1~6月的数据恢复受理统计，makop（含makop/devos子变种）和sorry两大勒索病毒家族合计占所有数据库勒索攻击事件的67%。被攻击企业覆盖思明区、湖里区、集美区、海沧区、同安区、翔安区，行业涵盖五金制造、电子元器件、服装外贸、跨境电商、食品加工、物流仓储、软件开发等各类中小企业。
核心数据（厦门地区2026上半年统计）：
一个残酷的事实：厦门被攻击的中小企业中，超过55%在感染前没有任何可用的数据库备份。
本文立足2026年最新威胁态势，为厦门中小企业IT负责人和老板提供一套低成本、可落地、分阶段的数据库防攻击与灾备搭建方案。不做空泛理论，只给可操作的步骤。
理解攻击链是「防攻击」的前提。2026年针对中小企业数据库服务器的典型攻击链如下：
| 阶段 | 时间窗口 | 操作内容 | 可拦截节点 |
|---|---|---|---|
| 侦查阶段 | T-72h~T-48h | Shodan/fofa扫描公网IP、识别开放端口（3389/1433/3306）、探测SQL Server/MySQL版本 | ✅ 关闭端口映射 |
| 入侵阶段 | T-48h~T-24h | RDP弱口令爆破或SA账户爆破、获取初始访问权限 | ✅ 强密码+账户锁定 |
| 横向移动 | T-24h~T-12h | 上传内网扫描工具、搜集网络拓扑、定位数据库服务器和备份存储位置 | ✅ 网络隔离VLAN |
| 持久化 | T-12h~T-6h | 创建后门账户、计划任务、注册表自启动、远程桌面会话劫持 | ✅ 审计策略+EDR |
| 数据窃取 | T-6h~T-2h | 导出数据库敏感数据至境外服务器（双重勒索前置操作） | ⚠️ 出网流量监控 |
| 加密执行 | T-2h~T0 | 删除备份/VSS卷影副本、禁用数据库服务、执行文件加密 | ❌ 此时只能物理断网 |
| 勒索通知 | T0 | 在磁盘各目录释放勒索信、删除日志清除痕迹 | — |
关键判断：攻击链的T-48h阶段（入侵阶段）是性价比最高的防御窗口。只需做好基本的安全加固，即可阻断80%以上的攻击。
makop勒索病毒家族在2026年出现重大升级：
!!!MAKOP_README!!!.hta交互式弹窗，包含实时倒计时和在线聊天功能sorry病毒在2026年同样出现重要变化：
!!!SORRY_HELP!!!.txt + 全屏勒索弹窗的双重恐吓策略「防攻击」是成本最低、见效最快的数据安全措施。以下方案专为中小企业设计，不依赖昂贵的企业级安全产品。
RDP远程桌面弱口令是勒索病毒入侵的最主要途径。针对不同场景的加固方案：
方案一（最佳，推荐所有企业）：彻底关闭公网RDP映射
操作方法：在路由器/防火墙上删除3389端口映射规则
替代方案：使用ZeroTier/Tailscale（免费）或企业VPN实现安全远程访问
零成本、零风险——这是最重要的一步安全措施
方案二（次选，适用于必须保留公网访问的场景）：多层防护
# 账户锁定策略（管理员PowerShell）
net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30
# 防火墙IP白名单
New-NetFirewallRule -DisplayName "RDP-Allow" -Direction Inbound -Protocol TCP `
-LocalPort 3389 -RemoteAddress 公司固定公网IP -Action Allow
Get-NetFirewallRule -DisplayName "RDP-Deny" -Direction Inbound -Protocol TCP `
-LocalPort 3389 | Remove-NetFirewallRule -ErrorAction SilentlyContinue
New-NetFirewallRule -DisplayName "RDP-Deny" -Direction Inbound -Protocol TCP `
-LocalPort 3389 -Action Block
方案三（至少做到）：禁用Administrator远程登录，创建专用管理账户
# 创建新的管理账户
New-LocalUser -Name "ServerAdmin" -Password (Read-Host "输入密码" -AsSecureString) `
-PasswordNeverExpires:$false -AccountNeverExpires:$true
# 加入本地管理员组
Add-LocalGroupMember -Group "Administrators" -Member "ServerAdmin"
# 禁止Administrator远程登录
net user Administrator /active:no
-- 1. 禁用SA账户（或重命名为非显式账户名）
ALTER LOGIN sa DISABLE;
-- 2. 关闭xp_cmdshell（勒索病毒核心利用项）
EXEC sp_configure 'xp_cmdshell', 0;
RECONFIGURE;
-- 3. 关闭Ole Automation Procedures
EXEC sp_configure 'Ole Automation Procedures', 0;
RECONFIGURE;
-- 4. 修改SQL Server端口为非默认（如21433）
-- 通过SQL Server配置管理器 → SQL Server网络配置 → TCP/IP → IP地址 → TCP端口
-- 5. 启用登录审计（仅记录失败登录）
-- SSMS → 服务器属性 → 安全性 → 登录审核 → "仅限失败的登录"
-- 6. 检查弱密码账户
SELECT name, create_date, modify_date, is_disabled
FROM sys.sql_logins
WHERE is_disabled = 0 AND name != 'sa'
ORDER BY modify_date DESC;
| 配置项 | 具体操作 | 优先级 | 成本 |
|---|---|---|---|
| 关3389公网映射 | 路由器/防火墙删除端口转发 | 🔴 最高 | 免费 |
| 账户锁定策略 | 5次失败→锁定30分钟 | 🔴 最高 | 免费 |
| 重命名Administrator | 禁用默认管理员远程登录 | 🔴 最高 | 免费 |
| Windows Update | 每月安装安全更新 | 🟡 高 | 免费 |
| Windows Defender | 开启实时保护+云保护 | 🟡 高 | 免费 |
| 防火墙入站规则 | 仅开放必要端口（443/自定义RDP/自定义SQL） | 🟡 高 | 免费 |
| 关闭SMBv1 | 勒索病毒横向传播常用协议 | 🟡 高 | 免费 |
| 非管理员日常使用 | 日常工作用普通用户，管理操作用专用账户 | 🟢 中 | 免费 |
| 审计日志集中 | 将安全事件日志转发到日志服务器/SIEM | 🟢 中 | 低 |
| EDR/杀毒增强 | 部署商业端点检测产品（如CrowdStrike/SentinelOne） | 🟢 中 | 年费数千元 |
中小企业的常见通病是：数据库服务器、ERP系统、文件服务器、财务服务器全部在同一网段，且都可通过公网间接访问。建议的最小隔离方案：
【推荐网络分区】
┌──────────────────────────────────────────────────────┐
│ 公网接入层（DMZ区域） │
│ ┌──────────────────────────────────────────────────┐ │
│ │ VPN网关 (Tailscale/ZeroTier/WireGuard) │ │
│ │ 仅开放UDP端口，不暴露RDP/数据库端口到公网 │ │
│ └──────────────────────────────────────────────────┘ │
├──────────────────────────────────────────────────────┤
│ 应用层（核心业务网络 VLAN 10） │
│ ┌──────────────────┐ ┌──────────────────────┐ │
│ │ ERP/Web服务器 │ │ 文件服务器 │ │
│ └──────────────────┘ └──────────────────────┘ │
├──────────────────────────────────────────────────────┤
│ 数据层（数据库网络 VLAN 20） │
│ ┌──────────────────┐ ┌──────────────────────┐ │
│ │ SQL Server │ │ MySQL/Oracle │ │
│ └──────────────────┘ └──────────────────────┘ │
├──────────────────────────────────────────────────────┤
│ 备份层（备份网络 VLAN 30） │
│ ┌──────────────────┐ ┌──────────────────────┐ │
│ │ 备份NAS │ │ 异地备份目标 │ │
│ └──────────────────┘ └──────────────────────┘ │
└──────────────────────────────────────────────────────┘
低成本实施方法：一台支持VLAN的可管理交换机（如TP-Link TL-SG2008，约300元）+ 一台VPN网关设备（或用废旧PC安装pfSense/OPNsense）。
3-2-1法则是数据备份领域的黄金标准：
这一法则的神奇之处在于：无论何种灾难——勒索病毒、硬件故障、火灾、人为误删——只要不是三个存储位置同时被摧毁，数据就一定能恢复。
小微企业（年营收<500万，1~2台服务器）：
方案：SQL Server每日全量备份到本地NAS + 每周手动拷贝到外置硬盘
（外置硬盘存放在老板家中或异地办公室）
| 成本：NAS约2000~4000元 + 外置硬盘约500元/块×2 = 约3000~5000元
| 操作：每天自动完成，每周手动拷贝耗时约10分钟
| 关键：外置硬盘必须断网离线存放！不能用网络共享替代
中小企业（年营收500万~5000万，3~5台服务器）：
方案：每日全量备份到独立备份服务器 + 增量备份实时同步到阿里云OSS
或腾讯云COS（开启WORM锁定和版本控制）
| 成本：备份服务器1~2万元 + 云存储年费约2000~5000元
| 操作：全自动，每周抽查一次备份完整性
| 关键：云存储目标必须在配置层面禁止被备份服务器自身删除或覆盖
中型企业（年营收>5000万，5+台服务器）：
方案：每日全量+每4小时增量到本地备份服务器 + 每日自动同步到异地容灾
服务器（另一机房/云端）+ 每周离线上传WORM锁定存储
| 成本：本地+云端+异地三副本方案约3~10万元/年
#### 3.3 SQL Server 完整备份脚本（即用即配）
```sql
-- =====================================================
-- SQL Server 每日完整备份 + 备份历史清理脚本
-- 适用版本：SQL Server 2012/2016/2017/2019/2022
-- 执行方式：SQL Server Agent作业，每日凌晨2:00
-- =====================================================
DECLARE @backupPath NVARCHAR(500) = '\192.168.1.200BackupSQL';
DECLARE @dbName NVARCHAR(128);
DECLARE @sql NVARCHAR(MAX);
DECLARE @backupFile NVARCHAR(500);
DECLARE @dateStr NVARCHAR(8) = FORMAT(GETDATE(), 'yyyyMMdd');
-- 遍历所有用户数据库（排除tempdb）
DECLARE db_cursor CURSOR FOR
SELECT name FROM sys.databases
WHERE name NOT IN ('tempdb') AND state = 0;
OPEN db_cursor;
FETCH NEXT FROM db_cursor INTO @dbName;
WHILE @@FETCH_STATUS = 0
BEGIN
SET @backupFile = @backupPath + @dbName + '_FULL_' + @dateStr + '.bak';
SET @sql = 'BACKUP DATABASE [' + @dbName + '] TO DISK = '''
+ @backupFile + ''' WITH COMPRESSION, CHECKSUM, INIT,
NAME = ''' + @dbName + '-Full-' + @dateStr + '''';
BEGIN TRY
EXEC sp_executesql @sql;
PRINT '备份成功: ' + @dbName + ' -> ' + @backupFile;
END TRY
BEGIN CATCH
PRINT '备份失败: ' + @dbName + ' - ' + ERROR_MESSAGE();
END CATCH
FETCH NEXT FROM db_cursor INTO @dbName;
END
CLOSE db_cursor;
DEALLOCATE db_cursor;
-- 清理14天前的旧备份文件
EXEC xp_cmdshell 'forfiles /P \192.168.1.200BackupSQL /M *.bak /D -14 /C "cmd /c del @file"';
PRINT '备份任务完成：' + CAST(GETDATE() AS VARCHAR);
-- =====================================================
-- SQL Server 事务日志备份（小时级增量）
-- 数据库恢复模式必须为 FULL
-- =====================================================
DECLARE @backupPath NVARCHAR(500) = '\192.168.1.200BackupSQL';
DECLARE @dbName NVARCHAR(128);
DECLARE @sql NVARCHAR(MAX);
DECLARE @backupFile NVARCHAR(500);
DECLARE @timestamp NVARCHAR(12) = FORMAT(GETDATE(), 'yyyyMMdd_HHmm');
DECLARE db_cursor CURSOR FOR
SELECT name FROM sys.databases
WHERE name NOT IN ('tempdb')
AND recovery_model_desc = 'FULL'
AND state = 0;
OPEN db_cursor;
FETCH NEXT FROM db_cursor INTO @dbName;
WHILE @@FETCH_STATUS = 0
BEGIN
SET @backupFile = @backupPath + @dbName + '_LOG_' + @timestamp + '.trn';
SET @sql = 'BACKUP LOG [' + @dbName + '] TO DISK = '''
+ @backupFile + ''' WITH COMPRESSION, CHECKSUM';
EXEC sp_executesql @sql;
FETCH NEXT FROM db_cursor INTO @dbName;
END
CLOSE db_cursor;
DEALLOCATE db_cursor;
| 指标 | 定义 | 小微企业建议 | 中小企业建议 |
|---|---|---|---|
| RTO（恢复时间目标） | 业务恢复所需的最大时间 | 48~72小时 | 24~48小时 |
| RPO（恢复点目标） | 允许丢失的最大数据量 | 24小时 | 4~8小时 |
| 全量备份频率 | — | 每天1次 | 每天1次 |
| 增量备份频率 | — | 不需要 | 每4小时1次 |
| 离线备份频率 | — | 每周1次 | 每天1次 |
| 还原验证频率 | — | 每月1次 | 每月1次 |
核心逻辑：ERP/财务数据库的恢复顺序永远排第一，文件服务器排最后。在应急资源有限时，优先保障核心业务数据库的恢复。
第一层（本地热备）：NAS备份服务器——同日快速恢复
↓ 网络隔离
第二层（本地冷备）：外置硬盘离线备份——每周/每日拷贝
↓ 物理隔离
第三层（异地容灾）：云存储/异地机房——地理级容灾
# Windows定时任务：每日将备份文件自动上传到阿里云OSS
# 需要先安装ossutil工具：https://help.aliyun.com/document_detail/50452.html
$localBackupDir = "D:BackupSQL"
$ossBucket = "oss://kisdee-sme-backup/sqlserver/daily/"
$dateStr = Get-Date -Format "yyyyMMdd"
# 上传当日备份文件
ossutil64 cp "$localBackupDir*_$dateStr.bak" $ossBucket --update -u
# 开启WORM（Write Once Read Many）锁定——防止勒索病毒删除云端备份
# 需要在OSS控制台对Bucket开启合规保留策略，保留期建议30天
# 验证上传结果
ossutil64 ls "$ossBucket" | Select-Object -Last 20
┌─────────────┐ ┌─────────────┐ ┌──────────────┐
│ 生产服务器 │────▶│ 本地NAS备份 │────▶│ 外置硬盘离线 │
│ (每日全量) │ │ (同楼/局域) │ │ (老板带走) │
└─────────────┘ └──────┬──────┘ └──────────────┘
│
▼
┌──────────────┐
│ 云存储异地 │
│ (OSS/COS/S3) │
└──────────────┘
总硬件成本：NAS（约3000元）+ 外置硬盘×2（约1000元）+ 云存储年费（约2000元）= 约6000元
专业版增量：备份服务器（约1.5万元）+ 云存储年费（约5000元）= 约2万元/年
| 规则 | 说明 | 违反后果 |
|---|---|---|
| 备份设备不与生产服务器在同一网段 | NAS放在独立VLAN/子网 | 病毒可通过SMB横向感染备份 |
| 备份存储账户不与生产服务器共享密码 | 云存储使用独立IAM子账户 | 入侵服务器=获得删除云备份权限 |
| 离线备份介质物理断开 | 外置硬盘拷贝完成后立即拔出 | 在线连接的硬盘一样会被加密 |
| 备份服务器不安装ERP/数据库软件 | 专用设备，最小化攻击面 | 备份服务器被入侵→备份全毁 |
| 云存储开启版本控制+WORM | OSS/COS防篡改机制 | 加密后的文件覆盖原备份文件 |
| 验证级别 | 方法 | 频率 | 负责人 |
|---|---|---|---|
| RESTORE VERIFYONLY | 验证.bak文件完整性 | 每天自动 | SQL Agent作业 |
| 还原到测试环境+DBCC CHECKDB | 验证数据可用性 | 每月 | DBA/IT管理员 |
| 关键表记录数对比 | 验证业务数据完整性 | 每月 | 业务负责人+DBA |
| 异地备份可访问性 | 验证云存储连接正常 | 每月 | IT管理员 |
| 备份作业日志检查 | 确认备份执行无误 | 每天 | 监控系统自动 |
| 备份存储空间余量 | 防止磁盘满导致备份失败 | 每周 | 监控系统自动 |
-- 在备份作业结束后追加执行
-- 验证最近一次备份的完整性
DECLARE @lastBackup NVARCHAR(500);
DECLARE @sql NVARCHAR(MAX);
DECLARE @backupDir NVARCHAR(500) = '\192.168.1.200BackupSQL';
DECLARE @dbName NVARCHAR(128) = 'ERP_Data';
-- 获取最近备份文件
SELECT TOP 1 @lastBackup = physical_device_name
FROM msdb.dbo.backupmediafamily mf
JOIN msdb.dbo.backupset bs ON mf.media_set_id = bs.media_set_id
WHERE bs.database_name = @dbName AND bs.type = 'D'
ORDER BY bs.backup_finish_date DESC;
-- 执行完整性验证
IF @lastBackup IS NOT NULL
BEGIN
SET @sql = 'RESTORE VERIFYONLY FROM DISK = ''' + @lastBackup + '''';
EXEC sp_executesql @sql;
PRINT '验证完成: ' + @lastBackup;
END
ELSE
PRINT '警告：未找到' + @dbName + '的备份文件！';
每次还原测试时逐项勾选：
□ 生产服务器B服务停止后，数据库备份能正常还原
□ 还原后数据库状态为 ONLINE（非Suspect/Recovery Pending）
□ DBCC CHECKDB 无一致性错误
□ 核心表记录数与备份时一致
□ 应用程序能正常连接还原后的数据库
□ 关键业务功能（开单/查询/报表）正常
□ 还原耗时在RTO目标内
□ 异地备份文件下载耗时可接受
□ 演练过程记录归档
【第一步】立即物理断网！（1分钟内）
├─ 拔掉服务器网线
├─ 禁用WiFi
└─ 断开VPN连接
【第二步】强制关机！（2分钟内）
├─ 长按电源键5秒强制关机
├─ 不要通过开始菜单正常关机（触发关机脚本可能执行更多破坏）
└─ 不要在关机前拔电源（防止文件系统损坏）
【第三步】通知相关人员！（5分钟内）
├─ 通知IT负责人
├─ 通知直接上级
└─ 通知数据恢复服务商（免费评估）
【第四步】现场证据保全！（30分钟内）
├─ 手机拍照记录屏幕画面（勒索信、加密文件列表）
├─ 拍照记录服务器型号、磁盘数量、RAID配置
├─ 记录发现时间、第一个发现人
└─ 不要对服务器进行任何写操作（包括插入USB设备）
【第五步】排查与决策！
├─ 分析入侵途径（RDP日志/SA登录记录/异常计划任务）
├─ 检查其他服务器是否被横向感染
├─ 联系专业数据恢复机构（免费检测）
├─ 联系信息安全应急响应团队（清除后门+安全加固）
└─ 决定是否报警/通报相关主管单位
| 禁止操作 | 原因 | 后果 |
|---|---|---|
| ❌ 支付赎金 | 无法保证解密工具有效；makop解密工具已知存在数据库解密bug | 钱+数据双失 |
| ❌ 使用网上「解密工具」 | 99%是二次木马或版本不匹配 | 恢复成功率从80%降至<20% |
| ❌ 反复附加加密的数据库 | SQL Server校验失败会写入Dirty-bit标记 | 破坏原始加密状态 |
| ❌ ALTER DATABASE SET EMERGENCY | 在加密数据上修改数据库元数据 | 造成逻辑不一致 |
| ❌ DBCC CHECKDB REPAIR_ALLOW_DATA_LOSS | SQL Server误判加密页为损坏页并删除 | 数据页永久丢失 |
| ❌ 重装系统/格式化磁盘 | 摧毁所有底层数据和加密痕迹 | 数据无法恢复 |
| ❌ 用原机通电反复尝试 | 开机自启动程序覆盖加密数据页 | 减少可恢复数据量 |
┌─────────────────────────────────────────────────────┐
│ 中小企业数据安全月度自评表 │
├─────────────────────────────────────────────────────┤
│ 【服务器安全】 │
│ □ 公网3389端口已关闭或使用VPN替代 │
│ □ 管理员密码≥12位且包含大小写+数字+符号 │
│ □ 账户锁定策略已启用 (5次/30分钟) │
│ □ Windows安全更新≤30天 │
│ □ SQL Server SA已禁用或强密码 │
│ □ xp_cmdshell已关闭 │
│ □ SQL Server端口已修改为非默认 │
│ │
│ 【备份安全】 │
│ □ 最近7天内所有数据库备份执行成功 │
│ □ 备份文件存放于独立设备(非生产服务器) │
│ □ 存在离线备份副本(外置硬盘/异地) │
│ □ 本月已完成一次还原验证测试 │
│ □ 备份设备剩余空间≥30% │
│ □ 云存储已开启版本控制+WORM锁定 │
│ │
│ 【应急准备】 │
│ □ 应急联系人清单已打印张贴 │
│ □ 最近一次还原演练日期：____年__月__日 │
│ □ 所有IT人员已知晓「发现异常先拔网线」 │
│ │
│ 评估结论： │
│ □ 安全 (≥80% 达标) │
│ □ 需改进 (50%~80% 达标) │
│ □ 危险 (<50% 达标，请立即整改！) │
└─────────────────────────────────────────────────────┘
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
第一层【预防】 安全加固、堵住漏洞 → 成本最低、效果最好
第二层【检测】 日志审计、异常监控 → 早发现早处置
第三层【备份】 3-2-1策略、异地容灾 → 最后防线
第四层【恢复】 专业数据恢复机构 → 兜底保障
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
给厦门中小企业老板的三句话：
数据安全不是大公司的专利。一套总成本不到6000元的方案，就能为年营收数百万的企业建立坚固的数据库安全防线。与其感染勒索病毒后花几万元赎金和恢复费用，不如现在就用这笔钱的十分之一把防护做好。
📞 厦门中小企业数据库安全咨询：不知从哪里开始？联系我们，免费定制防攻击与灾备方案！
🔗 官网：www.kisdee.com.cn
📋 勒索病毒数据库恢复 | 不成功不收费
🕐 7×24小时应急响应 | 厦门岛内2小时到达
📍 服务覆盖：思明区、湖里区、集美区、海沧区、同安区、翔安区
@2020-2099 闽ICP备12013430号
