勒索的“胜负手”，不在攻入的那一刻，而在攻破后的22秒(勒索的含义)

过去三年，70%-90%的企业级勒索成功案例，最终都输在同一个地方——不是“入口防线”被撕开，而是“攻破之后”的那22秒。

过去三年，企业级勒索攻击成功案例中，AD域被攻破（或被用作关键横向移动、权限提升跳板）的比例约为70%-90%，且逐年上升——从2023年的约70%-75%，升至2026上半年的约90%以上。该区间由国内外多家一线安全机构的事件响应报告交叉验证得出，目前没有单一权威机构给出精确统计口径（来源见下）。

数据整理自Verizon《数据泄露调查报告（DBIR）》、Mandiant《M-Trends》、CrowdStrike与Sophos事件响应数据、360《勒索软件年度态势报告》等多家安全报告交叉验证，占比为多家安全机构事件响应数据交叉验证的区间估计。

与此同时，攻击入口正在“换血”：钓鱼、漏洞、RDP爆破……入口年年变，最终却都汇聚到同一组目标——AD域控、虚拟化平台、IT管控平台等“集权设备”；国内《勒索软件年度态势报告（2025）》明确指出，内网横移重点打击的正是这些集控设备。

结论：你修不完所有入口，但攻击者绕不开那些“总闸”。

据2026年度国际权威威胁报告，攻击者从拿下初始访问，到把权限“交接”给下一阶段执行者，中位数时间已从2022年的8小时以上，骤降到2025年的22秒。

22秒意味着什么？传统方案是“检测—告警—人工研判—处置”，单位是分钟甚至小时；而勒索扩散的速度单位已经变成秒。等告警弹出、等人登录控制台，攻击者早已完成权限交接、开始横向移动。同期数据还显示，约80%的入侵都涉及凭证窃取——当攻击者握着“合法钥匙”在网内走动时，绝大多数规则引擎都把它当作正常流量。

防勒索的真正比赛，不是“谁能更快发现”，而是“攻击扩散的速度 vs 你阻断扩散的速度”。

过去的安全思路是“尽量不被攻破”——堆检测、堆查杀、堆告警。但在漏洞利用登顶的今天，100%防住入口这件事越来越不现实。

更现实的目标是：承认局部防线可能失守，但让失守永远停在“局部”。这正是韧性安全的逻辑——单点可以失守，整体不能失控。实现它，需要先回答两个问题：域控被拿下后，能否阻止它一键下发勒索？一台终端失陷后，能否在扩散前把它隔离？

04主流思路为什么止不住扩散

主流防护大致有四条路线，却普遍存在同一类短板——重检测、轻阻断；重边界、轻内网；重单点、轻体系。

终端查杀 / EDR

为什么止不住扩散：只认已知特征；绕过查杀拿到凭证后，横向就管不住

联软的对策：权限前置收敛＋失陷自动隔离，不赌查杀

边界防火墙 / 网络微隔离

为什么止不住扩散：分段粗、同网段横向管不了；策略靠人工配置，改不动

联软的对策：端侧网络分区，免改造拓扑，逐端口收敛

域内攻击检测

为什么止不住扩散：只告警不阻断；AD高危权限与GPO下发权限未收敛

联软的对策：AD权限前置收敛＋GPO白名单刚性管控

态势感知 / XDR

为什么止不住扩散：事后溯源、人工响应，追不上22秒的扩散

联软的对策：检测—隔离—冻结自动化闭环，秒级处置

根因是发力点错位：资源押在“入口”与“事后”，而勒索的主战场在内网与集权系统。检测能力再强，只能回答“发生了什么”，回答不了“如何不让它发生”——所以很多企业堆满设备，仍出现“一台中招、全域瘫痪”。

联软为什么能解决：把安全从“功能堆叠”变成“架构设计”——身份管控、网络分区、集权防护，在扩散发生前压缩路径、拆掉放大器；再用自动化联动把处置速度拉回秒级，与攻击同频。判断标准只有一句：即使被入侵，也不会全域瘫痪。

这是联软与主流思路最本质的差异：不赌“攻不进来”，而是确保“进来了也走不远、放大不了”。

一是AD域权限前置收敛。对域管账号、服务账号做最小化分权，GPO的创建与下发纳入白名单管控，直接封堵“拿到域管权限→GPO全网推送勒索”这条最高频路径。

二是网络分区收敛横向路径。通过网络分区与访问控制，把内网划分为业务安全域；SMB、RDP、WMI、WinRM等勒索高频通道默认关闭全域访问；即使局部终端失陷，也无法跨区域横向移动。

三是集权系统单独设防。AD、虚拟化平台、备份系统等集权系统划入独立安全域，与业务网隔离，高危操作细粒度授权——核心业务与备份数据不失守，勒索的“放大器”就被拆掉了。

四是失陷秒级隔离。联动检测、准入与身份能力，异常终端自动划入隔离域并冻结权限；支持秒级下发阻断策略。

一句话总结差异：别人比拼“谁能更早发现”，联软比拼“谁能更快把扩散摁住”。

下次做勒索防护预算时，先别急着在“入口”和“检测处置”上继续加设备。先回答三个问题：域控失守后怎么办？一台终端失陷，能否在22秒内被隔离？把预算花在“失守之后”的地方，才是这个时代更稳的防御。