开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

社区首页 >专栏 >勒索病毒在服务器上是怎么跑起来的？拆解端侧检测的三个层次（2026版）

勒索病毒在服务器上是怎么跑起来的？拆解端侧检测的三个层次（2026版）

用户12748360

发布于 2026-10-13 16:56:32

发布于 2026-10-13 16:56:32

240

举报

概述

本文剖析勒索病毒在 Windows 与 Linux 服务器上的运行机制，结合攻防数据指出攻击者入侵后横向移动时间已压缩至半小时内。提出端侧勒索三层纵深检测框架：已知特征检测拦截存量威胁，已知行为检测识别攻击前置动作与勒索典型行为，未知行为检测依托业务基线识别新型未知攻击。配套多级差异化阻断、密钥劫持解密、攻击链路溯源处置能力，并结合 LockBit 攻击波音案例完成实战验证，给出安全能力自查要点，

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

入侵检测系统

勒索病毒防治

#服务器防勒索

#勒索攻击溯源

#云工作负载安全

目录

引言：留给防守方的时间，已经不到半小时

一、解剖勒索软件：它在服务器上干了什么
- 1.1 Windows勒索：一条跑了二三十年的成熟产业链
- 1.2 Linux勒索：不足五年，功能简单但正在爬坡

二、检测的三个层次：从“认脸”到“认行为模式”
- 2.1 第一层：已知特征检测——先把“脸熟的”拦在门外
- 2.2 第二层：已知行为检测——不认脸，认动作
- 2.3 第三层：未知行为检测——给服务器建立“正常”的基线

三、检出之后怎么办：阻断、解密与溯源
- 3.1 多级阻断：不是所有场景都适合“一刀切杀死进程”
- 3.2 密钥劫持与解密：赶在加密完成前“偷走钥匙”
- 3.3 攻击链路分析与原始日志溯源

四、复盘：LockBit攻击波音，每个环节该由哪层来拦

五、结语：三层检测能力自查表

参考来源