安全网络规划核心是“怎么连、连什么、谁来连、连了之后怎么守”；需最小化公网暴露、分段隔离私网、实施零信任访问控制、构建物理/逻辑隔离的不可变备份体系。
设计安全的公网与私网规划，核心不是“能不能连”，而是“怎么连、连什么、谁来连、连了之后怎么守”。勒索病毒从不攻击“不能上网的设备”，它专挑暴露面大、权限松、补丁漏、备份弱的联网节点下手。真正的防护起点，是把网络结构本身变成一道防线。
公网入口：只开最小必要通道，且绝不直通NAS或核心服务器
绝大多数勒索感染源于公网暴露面失控。比如直接将NAS的5000端口（DSM管理）、445端口（SMB共享）映射到公网上，等于在互联网地图上给黑客标出“数据金库入口”。
- 禁用传统端口映射（Port Forwarding）：这是最危险的做法，应彻底放弃
- 改用反向代理+身份网关：例如用Nginx或Cloudflare Tunnel代理访问，所有请求先经认证（如2FA、设备信任检查），再转发至内网服务；真实NAS不暴露任何端口
- 业务系统对外仅开放HTTPS（443）：其他协议（如RDP、SSH、SMB）一律禁止公网可达；远程办公统一走零信任网关（如Tailscale、ZTNA）
- 启用IP白名单+地理围栏：对必须开放的管理接口（如堡垒机Web登录），限制仅允许公司固定出口IP或特定国家地区访问
私网分段：按数据敏感度和功能角色切片隔离
一个扁平化内网=全网一损俱损。勒索病毒一旦突破边界，会利用SMB、RDP、PsExec等协议横向移动。必须让攻击者“进得来，但走不远”。
- 划分三个基础区域：办公终端区（员工电脑）、业务服务区（NAS、文件服务器、数据库）、运维管理区（跳板机、备份服务器、监控平台）
- 区域间默认禁止通信：仅开通明确需要的策略，例如“办公区→NAS”的443/HTTPS（WebDAV）、“运维区→NAS”的22/SSH（仅限密钥认证）
- NAS自身关闭非必要服务：禁用Telnet、FTP、SMBv1、UPnP、DDNS客户端；关闭未使用的套件（如Media Server若不用，就卸载）
- 为NAS配置独立VLAN或防火墙策略：确保其无法主动连接外网（防止恶意套件回连），也限制其访问办公终端（防横向扩散）
访问控制：身份即边界，权限最小化
勒索软件常靠弱口令爆破或凭证复用进入。私网内部的信任不能靠IP，而要靠持续验证的身份。
- 所有管理接口强制启用双因素认证（2FA）：包括NAS DSM后台、路由器后台、备份系统Web界面
- 禁用admin/root默认账户：创建专属管理员账号，密码满足12位以上+大小写+数字+符号，定期轮换
- 普通用户仅授予读写权限到指定共享文件夹：禁用“管理员组”自动继承权限；敏感目录（如财务、人事）单独设权限组，开启审核日志
- 启用账户异常登录告警：如非工作时间、异地IP、高频失败尝试，立即触发邮件/SMS通知
备份网络：物理/逻辑隔离，确保勒索无法触达
备份不是“多存一份”，而是“存一份不可篡改、不可删除、不可连通的副本”。勒索病毒会主动搜索并删除本地备份、网络共享备份甚至云同步目录。
- 采用3-2-1-1-0原则：3份数据、2种介质、1份异地、1份不可变（immutable）、0次手动干预删除机会
- 备份服务器不接入办公网：通过专用备份网卡直连NAS，或使用离线磁带/USB硬盘定时拔插
- 云备份启用对象锁定（Object Lock）或WORM模式：如AWS S3 Object Lock、Backblaze B2 Retention Policy，防止API调用删除
- 备份任务由专用服务账户执行：该账户仅对目标共享有读取权，无NAS系统管理权，无法登录、无法安装套件
