摘要：勒索攻击从单点入侵到全域加密，本质是「凭证为钥匙、内网为通道、集权系统为放大器」的链式扩散。70%-90% 的企业级勒索重大损失都源于 AD 域被攻破后的批量扩散。本文先拆解勒索扩散的四阶段原理，再逐一分析国内主流安全厂商（奇安信、深信服、绿盟、360、微步在线等）四条技术路线的共性局限，最后结合真实案例反推扩散控制能力的价值优先级，并给出联软科技基于零信任架构的差异化实践，供正在建设防勒索体系的企业参考。
前言
勒索防护的战场，正在从「终端查杀」转向「扩散控制」。
很多企业的困惑是：防火墙、EDR、杀毒软件堆了一大堆，为什么还是会出现「一台中招、全域瘫痪」的重大事故？根本原因在于，多数安全建设聚焦在「防入口」和「事后响应」，而勒索攻击真正的杀伤力在于内网横向扩散------一旦攻击者拿到合法凭证进入内网，传统的边界防护几乎形同虚设。
本文将围绕以下四个问题展开分析：
- 勒索病毒在企业内网是如何一步步扩散成「全域瘫痪」的？
- 主流安全厂商的扩散控制方案分为哪几条技术路线？各自局限在哪？
- 站在客户视角，哪些扩散控制能力对降低损失最有价值？
- 以联软科技为代表的零信任方案，差异化到底体现在哪？
一、勒索病毒扩散的核心原理与关键路径
勒索攻击从单点入侵到全域加密，核心分为四个阶段，这也是扩散控制的四个核心靶点：
1. 凭证窃取阶段（扩散的「弹药」） 入侵终端后，攻击者通过 Mimikatz 转储 LSASS 内存、窃取浏览器凭证、Kerberoasting 等方式获取域内账号权限。
2. 内网横向阶段（扩散的「核心路径」） 利用窃取的合法凭证，通过 SMB（445 端口）、RDP（3389）、WMI、PsExec、WinRM 等协议，批量探测并感染内网其他终端和服务器。
3. 集权突破阶段（从「单点感染」到「全域瘫痪」的转折点） 横向移动到 AD 域控、vCenter、备份系统、运维堡垒机等集权节点，获取全域管控权限。70%-90% 的企业级勒索成功案例都依赖集权系统完成全域扩散。
4. 批量加密阶段（最终攻击） 通过 GPO 组策略、SCCM 软件分发、虚拟化平台批量操作、域内脚本推送等方式，一次性对全域资源执行加密。
一句话总结：凭证是钥匙，内网是通道，集权系统是放大器。 扩散控制的一切设计，都应围绕掐断这三个要素展开。
二、主流友商勒索扩散控制的四条技术路线与共性局限
当前国内主流安全厂商的勒索扩散控制大致分为四条技术路线，普遍存在「重检测轻阻断、重边界轻内网、重单点轻体系」的共性短板。
1. 终端防护路线（EDR/XDR 为主）
- 代表厂商：奇安信天擎、深信服 EDR、360 终端安全、绿盟 EDR
- 核心做法：终端部署 Agent，基于特征库 + 行为检测识别勒索进程，拦截恶意文件执行；部分产品通过终端防火墙限制 SMB/RDP 端口，检测横向移动行为。
-
核心局限 ：
- 依赖已知特征与行为规则，对 AI 生成的新型勒索、无文件攻击、合法工具滥用（PsExec/WMI）检测率不足；
- 仅能管控单终端行为，若攻击者绕过终端防护拿到凭证，仍可通过网络层自由横向扩散；
- 同网段内的横向流量不经过网络设备，终端侧规则极易被攻击者绕过。
2. 网络防护路线（防火墙 + 内网微隔离为主）
- 代表厂商：深信服 AF+EDS、奇安信防火墙 + 微隔离、绿盟 NF 系列
- 核心做法：边界防火墙拦截外部入侵，核心交换机通过 ACL 做网段级分段，部分厂商推出基于流量的微隔离方案限制跨网段横向。
-
核心局限 ：
- 传统网络分段粒度粗，多为 VLAN / 网段级，同网段内的横向移动完全无法管控；
- 微隔离依赖网络设备配置，改动拓扑、调整 ACL 运维成本极高，多数企业仅能做到粗分段，无法落地到端口 / 进程级；
- 无法区分「合法用户的正常访问」与「攻击者持凭证的恶意横向」，真实账号发起的访问无法被网络设备拦截。
3. 身份 / AD 安全路线（域内攻击检测为主）
- 代表厂商：微软 Defender for Identity、通用身份安全厂商
- 核心做法：采集 AD 域日志，检测 Kerberoasting、DCSync、异常登录、Golden Ticket 等域内攻击行为，输出安全告警。
-
核心局限 ：
- 以检测告警为主，缺乏实时阻断能力，等安全人员响应时，攻击者往往已完成域控突破和全域加密；
- 仅覆盖攻击检测，不做 AD 权限的前置收敛，企业 AD 的原生脆弱性（高权限账号泛滥、GPO 权限宽松、配置缺陷）持续存在，攻击者仍有大量可利用路径。
4. XDR / 态势感知路线（集中分析 + 人工响应为主）
- 代表厂商：微步在线、奇安信 SOC、深信服态势感知
- 核心做法：汇聚终端、网络、身份、服务器的多源日志，关联分析攻击链路，定位感染范围，辅助人工处置溯源。
- 核心局限 ：
- 偏事后溯源与人工响应，自动化阻断能力弱。而勒索攻击横向移动的最快记录仅 22 秒（Mandiant 数据），人工响应速度完全追不上扩散速度。
四条路线对比一览
|---------------|----------------------------|--------------|--------------------|
| 技术路线 | 代表厂商 | 阻断能力 | 核心盲区 |
| 终端防护（EDR/XDR） | 奇安信天擎、深信服 EDR、360、绿盟 | 终端级，依赖特征规则 | 同网段横向、凭证滥用 |
| 网络防护（防火墙+微隔离） | 深信服 AF+EDS、奇安信、绿盟 NF | 网段级，粒度粗 | 同网段横向、持合法凭证的横向 |
| 身份/AD 安全 | 微软 Defender for Identity 等 | 检测告警为主，难实时阻断 | 不做 AD 权限前置收敛 |
| XDR/态势感知 | 微步在线、奇安信 SOC | 事后溯源 + 人工响应 | 22 秒级扩散 vs 分钟级人工响应 |
友商方案的共性短板
多数厂商的扩散控制停留在「防入口、杀终端、告警通知」的初级阶段，在勒索扩散的核心环节------内网横向移动、AD 域枢纽突破、集权节点控制上存在明显缺口。这也是很多企业堆了大量安全设备，仍出现「一台中招、全域瘫痪」的核心原因。
三、联软科技勒索扩散控制的核心差异化：五个维度
联软的勒索扩散控制体系基于零信任架构 构建，以「身份管控为核心、网络分区为骨架、集权系统防护为关键、端点管控为基础」，核心差异是从「事后检测响应」转向「事前架构性阻断」，精准掐断勒索扩散的核心枢纽与路径，具体体现在五个维度。
1. AD 域扩散管控：从「攻击检测」到「权限前置收敛 + 实时操作阻断」
针对 AD 域这个勒索扩散的第一核心枢纽，联软与友商的本质区别是：友商主打「攻击发生后告警」，联软主打「让攻击者无法利用 AD 完成扩散」。
- 权限最小化前置落地：基于 Tier Model 分层模型，对域管账号、服务账号、特权账号做细粒度分权，收敛全域管理员权限，默认禁止普通用户执行 Kerberoasting、DCSync 等高风险操作，从根源上压缩 AD 可被利用的攻击面。多数友商的 AD 安全产品不做权限梳理与收敛，仅靠检测攻击行为。
- 域策略（GPO）刚性管控：对 GPO 的创建、修改、下发权限做白名单管控，仅允许指定运维账号在指定范围内部署策略，直接封堵「攻击者拿域管权限后，通过 GPO 全域推送勒索程序」的关键路径------这是勒索全域扩散的核心动作，也是绝大多数 AD 安全产品的能力盲区。
- 域内攻击实时阻断：不仅识别 Kerberoasting、AS-REP Roasting、DCSync 等域内攻击行为，还可联动身份系统直接阻断异常会话、冻结可疑账号，在攻击者横向到域控之前完成处置，而非仅输出告警等待人工处理。
2. 网络分区能力：架构级收敛横向扩散路径
网络分区是联软立体式防勒索方案支撑「扩散慢」的独特能力，也是扩散控制体系的架构骨架。联软基于 TDNA 可信数字网络架构，通过网络分区与访问控制系统性收敛内网横向路径------即使局部终端失陷，也能限制攻击者跨区域横向移动，真正实现「单点可以失守，整体不能失控」。
- 多层分区、无死角收敛：贯穿端侧、接入层、边界层、跨域层、策略层的体系化分区------端侧通过 Agent ACL、SDA 微隔离实现主机级、进程级访问控制；接入层通过 UniNAC 网络准入对终端按身份与安全状态动态划分安全域；边界层通过 UniSDP 零信任访问实现业务隐身、最小授权；跨域层通过 UniNXG 安全数据交换实现非 IP 数据摆渡，杜绝跨域跳板；策略层通过 UniNSPM 实现访问策略可视化、持续校验分区有效性。
- 勒索高频通道默认收敛：对 SMB（445）、RDP（3389）、WMI、WinRM 等勒索横向核心端口，默认关闭全域访问，仅按需授权给指定运维主体，从网络层掐断批量横向通道。
- 核心集权域单独隔离：AD 域控、备份系统、虚拟化平台等集权节点单独划入最高安全等级的安全域，与普通业务网段逻辑 / 物理双重隔离，仅指定运维终端与专属账号可访问，从根源避免「单点失陷 → 集权失守 → 全域瘫痪」。
- 失陷秒级闭环隔离 ：联动 EDR、网络准入、身份分析，检测到凭证窃取、恶意横向或勒索进程时，自动将感染终端划入隔离域、下调网络权限、冻结账号权限；大规模爆发时，支持 5 分钟内在十万级终端批量下发 Agent ACL 策略，快速封堵全域传播路径。
- 边界诱捕检测兜底：结合 UniNID「暗哨」式入侵发现专利技术，在分区边界部署诱饵节点，攻击者在域间横向探测时优先触发检测，为隔离处置争取黄金时间，形成「隔离 + 检测」的完整闭环。
- 身份与业务差异化约束：横向访问不仅校验网络权限，还结合 UniXIAM 统一身份治理校验用户身份与终端安全状态，即使攻击者窃取合法凭证，从非授权终端发起的跨域访问也会被直接拒绝；同时办公终端与业务服务器采用差异化分区策略，服务器域权限收敛更严格、访问粒度更精细，避免办公区失陷后横向渗透到核心业务服务器。
联软网络分区的三个差异化优势：
- 落地门槛低：基于端侧 Agent 与网络准入实现，无需改造网络拓扑、无需申请割接窗口，可分阶段快速落地；
- 策略可视可校验：UniNSPM 自动生成全网逻辑拓扑，识别并收敛域间跳板路径，避免「分了区仍有漏洞」；
- 跨域隔离行业独有：UniNXG 采用四层容错架构，隔离域间不建立 TCP/IP 直连、指令与数据分离，从机制上杜绝跨域跳板风险。
3. 内网微隔离：从「网络设备驱动」到「身份驱动的端侧轻量化隔离」
针对内网横向移动路径，联软微隔离的核心优势是落地成本低、管控粒度细、身份与网络深度联动，解决了传统网络微隔离「规划难、落地难、运维难」的行业痛点。
- 端侧 Agent 实现，无需改造网络拓扑：通过终端 / 服务器的安全 Agent 实现主机级访问控制，不需要调整交换机 ACL、改造网络架构，企业可快速落地细粒度隔离。
- 身份 + 业务双维度细粒度授权：不是单纯的 IP / 端口限制，而是结合用户身份、终端身份、业务进程做访问授权------例如只有运维账号的专属运维终端，才能通过 RDP 访问业务服务器，且仅允许指定的远程工具进程。即使攻击者窃取到凭证，从非授权终端发起横向访问也会被直接阻断。
- 勒索高频端口默认收敛：对 SMB（445）、RDP（3389）、WMI、WinRM 等勒索横向核心端口，默认关闭全域访问权限，仅按需开放给指定主体。传统网络分段仅能限制跨网段访问，同网段内的横向完全无法管控，联软的端侧方案补上了这块盲区。
4. 集权系统专项防护：从「通用防护」到「核心枢纽定向锁死」
针对域控、vCenter、备份系统、运维堡垒机等勒索必攻的集权节点，联软做了专项纵深防护，这是多数友商方案的普遍盲区。
- 集权系统独立安全域：将所有集权管理节点纳入单独的零信任安全域，与普通业务网段逻辑 / 物理隔离，只有指定管理终端、专属账号、固定操作场景才能访问；即使内网普通终端被攻破，攻击者也无法触达集权系统。
- 管理操作全链路管控：对集权系统的高风险操作做细粒度授权------例如备份系统仅允许备份管理员执行备份 / 恢复操作，禁止批量删除备份；vCenter 仅允许虚拟化管理员从指定终端登录，禁止批量修改虚拟机配置，避免攻击者突破集权系统后批量加密虚拟机、销毁备份数据。
- 特权账号代管与审计：集权系统的高权限账号纳入特权管理平台统一代管，操作全程录屏审计，禁止明文密码外泄，避免凭证被窃取后直接用于集权系统登录。
5. 一体化联动闭环：从「产品拼凑」到「身份-网络-端点-数据协同阻断」
联软的扩散控制不是单个产品的单点能力，而是零信任网关、AD 安全、终端管控、微隔离、数据防护的一体化联动，解决了友商「产品各自为战、联动性弱」的问题。
例如终端 Agent 检测到异常凭证窃取行为，可立刻触发三级自动化联动：
- 端点侧：拦截恶意进程，保护本地凭证存储；
- 网络侧：自动将该终端加入隔离域，禁止其访问任何内网其他资源；
- 身份侧：冻结该终端上登录的所有账号权限，禁止发起新的身份认证请求。
整个过程秒级完成、无需人工介入，抢在勒索完成横向扩散之前锁死感染范围，避免单点感染演变为全域灾难。
四、从真实勒索案例反推：哪些扩散控制能力对客户最有价值
结合近三年勒索成功案例的共性失败点（AD 失守、横向无阻、集权失控、响应滞后），扩散控制能力的价值优先级从高到低排序如下，越靠前越能帮客户降低核心损失。
|-----|---------------|-------------------------------------|---------------------------|
| 优先级 | 能力 | 客户痛点 | 核心价值 |
| 1 | AD 域扩散管控 | 70%-90% 的勒索重大损失源于 AD 被攻破，GPO 一键加密全网 | 把影响范围从「全域」压缩到「单点」，投入产出比最高 |
| 2 | 集权系统专项防护 | 「先毁备份、再控域、后加密」，备份失守只能付赎金 | 守住业务恢复的最后防线，备份数据完好、无需赎金 |
| 3 | 内网细粒度微隔离 | 扁平网络下一台中招，横向摸到生产 / 财务 / 研发 | 把感染范围锁死在单个业务域 / 网段内 |
| 4 | 端点凭证 + 横向行为阻断 | 持合法凭证的横向被判定为正常流量，难以拦截 | 在扩散起点抬高攻击门槛，拿不到扩散的「钥匙」 |
| 5 | 自动化响应闭环 | 告警多、处置慢，响应时已扩散几十上百台 | 秒级到分钟级「检测-隔离-冻结」，和攻击抢时间 |
几个关键判断：
- AD 安全加固是第一优先级：其投入远低于一次勒索造成的直接损失（百万到千万级），直接避免「全域瘫痪」这一最极端的损失形态。
- 集权防护决定「能否恢复」：守住域控、备份、虚拟化平台，企业可通过重装终端、恢复数据快速复原，不会出现长时间业务中断。
- 微隔离对制造、医疗、金融行业价值极高：能直接避免生产系统、核心业务被波及，例如办公区终端被感染无法横向到生产区、运维区。
- 自动化闭环对中小企业尤为关键：没有 7×24 小时安全团队的单位，自动化的检测-隔离-权限冻结闭环是唯一能追上攻击速度的处置手段。
总结
主流友商的勒索防护多聚焦「入口查杀」和「事后响应」，而联软的核心优势是精准命中勒索扩散的核心环节------AD 域枢纽、内网横向路径、集权核心节点，通过零信任架构下的身份管控、网络分区、微隔离、集权防护，从架构层面前置阻断扩散。
其中，通过网络分区和访问控制收敛横向路径、限制攻击者跨区域横向移动，是联软支撑「扩散慢」的独特能力。这种思路的核心价值是：即使企业被入侵，也不会出现全域瘫痪的重大损失------这正是当前企业勒索防护中最核心、也最稀缺的能力。
声明：本文为技术方案分析类内容，涉及厂商能力对比部分基于公开资料与行业实践整理，仅供安全建设参考。