勒索软件防护，市面上大多数产品比拼的是同一件事：谁的模型更聪明、谁的情报更新更快、谁能在加密行为发生的瞬间把那个进程揪出来。这条路线有它的道理，但它有一个前提——检测得在线，情报得是新的，行为得能被认出来。真到物理隔离的内网里走一圈，这个前提往往不成立：终端断网好几天，威胁情报更新不进来，一个从没见过的新变种进来了，靠什么保住那批标书、图纸和财务报表？
文档防火墙：默认拒绝，只给“熟人”开门
迪康的文档防勒索核心是一层系统底层的文档防火墙。它在文件系统微过滤驱动（Minifilter）这一层挂载，默认阻断所有未知程序对已保存文档的访问操作。换句话说，一个程序不管它看起来像不像勒索软件，只要它不在授信名单里，面对终端上的文档时就是“看得见、吃不到”。
放行的依据是一套安全程序特征指纹库。Office、WPS、CAD、财务软件这些日常业务工具进了指纹库，正常读写文档不受影响；不在库里的程序，想打开、修改、重命名、删除文档，在驱动层就被拦下来了。这套机制的巧妙之处在于，它不依赖病毒库更新，也不依赖云端模型下发。指纹库和拦截规则缓存在终端本地，离线断网照常执行。勒索病毒即使已经跑在系统里，只要它不是被授信的程序，就动不了文档——这跟“先让它跑，再靠行为检测去抓”是两种完全不同的时序关系。
管控粒度不止于“拦或不拦”。系统支持“指定目录、指定操作、指定程序”的三重精细化配置，可以对特定目录里的文档做更严格的保护，也可以对新建、删除、重命名、拷出、拷进、移入这些不同操作分别设定规则。防勒索日志完整记录每一个未授权程序对文档的访问尝试，不是事后从别的地方拼出来的报表，而是拦截发生的那一刻就写进去的。
备份不是附赠功能，是拦截逻辑的默认搭档
只靠拦，有一个绕不开的问题：万一某个变种找到了绕过文档防火墙的路，或者某个授信程序本身出了漏洞，文档已经被改了，怎么办？迪康的做法是在同一个文档安全模块里把自动备份做成了拦截的默认搭档。
文档被修改或删除时，系统自动触发备份，不需要用户手动操作，也不需要管理员额外配一个备份任务。备份策略可以按文件后缀、单文件大小阈值来配，避免备份把磁盘吃满；保留份数可管理，兼顾恢复能力和存储成本。覆盖的格式不止Office全家桶，CAD图纸、源代码、设计文件（PSD、CDR、AI）都在内，也可以自定义后缀。
备份本身有没有可能被勒索软件一起毁掉？这是很多方案容易被忽略的漏洞。迪康的处理方式是备份目录做权限隔离，普通终端进程无权篡改备份文件；同时支持本地备份加服务器备份的双副本策略，小于20M的文件可以同步上服务器，源文件和本地备份一起被加密的时候，服务器上还有一份干净的。恢复的时候不是让你去翻文件夹手工拷贝，而是调取历史版本完成还原，目录结构保持一致。
离线不失效，信创不另起炉灶
文档防勒索这套机制有一个容易被忽略的工程前提：它不能在断网的时候退化。很多检测驱动的方案，离线之后模型和情报的“厚度”会打折扣；迪康的文档防火墙不因为离线而改变行为，规则在本地，执行在本地，日志在本地缓存，联网后补报。
信创这一侧也是同一个逻辑。文档防勒索跑在麒麟、统信等国产操作系统上，跟Windows终端走的是同一套授信指纹和拦截框架。在信创终端占比在上升的内网里，不需要为国产系统单独搭一套“文档保护”的旁路方案，策略下发、日志回传、备份恢复都在同一个管理平面里。
得说清楚的边界
这套思路的代价同样明确。它不以“检测未知威胁”为核心叙事。如果一个攻击者用的是一个已经被授信的程序（比如一个签过名的系统工具）来执行恶意操作，或者通过脚本解释器落地无文件攻击，文档防火墙能做的拦截是有限的——因为从它的视角看，动作来自一个“有资格”的进程。它不擅长告诉你攻击者用了什么手法、从哪进来的、留下了什么痕迹。它擅长的是让文档在非授信程序面前不可触碰，并且在触碰发生之后有干净的副本可以拉回来。
如果组织的首要目标是建一个SOC、做威胁狩猎、追攻击链，那检测驱动型的EDR产品在那一侧的能力是迪康替代不了的。但如果内网以隔离为主、信创在进场、终端断网是常态、而底线诉求是那批核心文档在断网、断情报、断云端的条件下，不被一个没见过的变种锁死，那迪康这种把文档访问权收紧到授信程序、把备份做进同一条链路的路径，工程上少了一层“检测没抓住就全丢了”的依赖。防勒索选型先想清楚一件事：你要的是一张能把攻击者画出来的地图，还是一道不管谁来、文档都在原地的门槛。
