最后一道防线，这次没守住

一、这次不一样在哪：最后一道防线，自己被攻破了

先说清楚这件事为什么值得单独写一篇，因为它和以往任何一次勒索事件都不一样。

过去我们对付勒索病毒，靠的是一个很朴素的分工：

这套做法不是想当然，是被反复验证过的。所以很多中小企业、工厂的 IT 负责人会说一句很实在的话：「我们不怕中毒，备份在 NAS 里。」 这句话在相当长一段时间里是成立的——NAS 是整个数据安全体系的最后一道防线。

而这次，攻击方打的恰恰就是这道防线。

C3RB3R 这波不再是横向扩散到 NAS，而是直接把 NAS 当成目标：进去之后先扫盘、再加密，顺手把 NAS 上给 Windows 机器做备份用的那几个共享目录也一起加密。于是出现了这次最让人难受的一类案例——主数据没了，备份也没了，两边在同一时间被锁。

如果一定要说这次最大的不同，就一句：

关于「他们是怎么发现的」，我们没有内部信息，也不打算编。但从攻击的针对性看，这句话大概不算推测：勒索这件事已经产业化了，攻击者会研究防守方的习惯动作。 当「备份到 NAS」变成一种普遍做法，它本身就会成为目标。这不是第一次，也不会是最后一次。

下面先把这次事件的事实部分讲清楚。

二、2026 年 10 月 28 日晚上，很多 NAS 同时变了样

那天晚上开始，B 站、小红书、什么值得买、Linux.do 这些社区集中冒出大量求助帖，症状像是复制的：

• 文件一夜之间全变样了，原扩展名后面被追加了 .LOCK3D（部分样本是 .L0CK3D，中间是数字 0），双击打不开；
• 每个目录里多了一封 read-me3.txt，标题写着 C3RB3R INSTRUCTIONS；
• 有人半夜听见 NAS 风扇狂转，登进控制台一看，磁盘可用空间归零；
• 更难受的是，有人跑了六年的机器，RAID 6 加本地自动备份，主数据和本机备份一起被端了。

做安全这行的人对这套症状很熟悉。360 反勒索团队和 Solar 应急响应团队在 29 日先后发了预警，把这个家族暂称为 C3RB3R（Cerber 的新变种）。根据公开的样本分析，它加密文件后会用内置的 RSA-2048 公钥封装每个文件的独立密钥，常见文档类扩展名整文件加密，其余按大小部分加密——所以目前没有可用的公开解密工具。

勒索信里的条件也做成了流水线：免费试解密一个不超过 1 MB 的文件以证明能力，赎金 0.085 BTC，五天内不付翻倍。

三、门到底在哪：三个入口，三种完全不同的防法

这次事件最有价值的地方，是它把「NAS 为什么会中招」这个问题摊开了。综合两家安全团队和社区溯源的公开信息，疑似入口有三个，而且三个入口对应的防线完全不同——这也解释了为什么很多人觉得自己该做的都做了，还是中招。

补充两点细节。第二个入口是这次的重灾区：10 月中旬 GitLab 刚爆出一个严重程度接近满分的未授权远程执行漏洞，而不少人的 NAS 上正跑着 GitLab 容器并映射到了公网——容器一旦打穿，挂在里面的整个存储卷就一起交出去了。第三个入口最隐蔽：攻击者根本不碰 DSM 登录页，只拿着从某台电脑上读到的、员工图方便存下的账号密码，走正常的 SMB 文件共享协议就能完成加密——所以改端口、开双重验证、禁 SSH 这些措施，在这条路上全部失效。

把这三行放在一起看，会发现一个共同点：三台受害设备，NAS 都是从公网能访问到的。 这也是所有安全团队在建议里重复最多的一句——先收敛暴露面。

顺带破除两个流传很广的说法：

• 「只有旧版本才中招」——不成立。 已有最新版受害的确认案例。
• 「升级到最新就安全」——也不成立。 升级是必须做的，但它只堵住第一个入口；容器和凭据这两条路，跟 DSM 版本没关系。

四、为什么「我们有备份」，这次还是没救回来

这是这次事件里最反直觉、也最值得企业客户注意的一点：很多受害者的备份，是跟主数据一起被加密的。

原因不复杂——他们的「备份」和「主数据」在同一个可写的位置上。

一句话总结这张表：能被加密程序写到的备份，就不算备份。 真正的保险只有一种——攻击者拿不到、改不了的那一份：离线硬盘、只读账号拉取的备份机、或者带保留策略的不可变存储。

五、于是很多公司开始买防火墙——这一步是对的

这次事情之后，我们接到最多的咨询就是「要不我们也上个防火墙？」

方向是对的。因为前面三个入口里，有两个能靠边界设备收窄：把不该暴露的端口关掉、把异常请求拦在门外、让每一次跨区访问都留痕。这也是我们在上一篇三网隔离的文章里做的事——只不过那篇讲的是医院里「医保网 / 妇幼网 / 互联网」怎么划开，这次是企业里「服务器区 / 办公区 / 公网」怎么划开，本质是同一件事：把边界划清楚，把跨区通信收窄成被批准的那几条。

具体到 NAS 这类设备，防火墙能帮上四件事：

• 不让它直接暴露在公网：只有指定的源、指定的端口能碰到它，其余一律丢弃；
• 把它划进独立区域：跟办公 PC 分开。办公区有人中招，横向扩散到 NAS 的路被拦在中间；
• 拦已知的攻击特征：扫描、漏洞利用、常见木马通信，在第一道关被识别并阻断；
• 留下记录：谁在什么时间访问了哪台设备的哪个端口，存下来。真出事时能说清楚，而不是互相猜。

但也得把话说全：防火墙只能覆盖三个入口里的前两个的一部分。

• 没打的补丁——如果 NAS 自己映射到了公网，防火墙能做的是拦住针对该漏洞的攻击特征（前提是 IPS 授权在有效期内）；但如果 NAS 完全没暴露，防火墙根本不需要出场。所以这件事的第一责任还是「收暴露面 + 打补丁」。
• 暴露的容器与套件——防火墙能不让它出现在公网，这是最有效的一招。但如果你就是要把 GitLab 开给外部同事用，那防火墙只能做到「限定谁能访问」，漏洞本身还得靠升镜像。
• 泄露的账号凭据——这一类防火墙基本防不住。 攻击者拿着合法账号走正常的 SMB 协议，从内网某台电脑发起访问，流量看起来和员工自己拷文件没有区别。要拦它，靠的是内网分段（NAS 单独一区，只有指定网段能访问）、账号最小权限、以及终端侧的防护。

到这里，关于这次事件本身该说的说完了。下面要说的是另一件事——它和这次事件有关系，但并不是这次事件才有的问题。

六、防火墙买回来，只是第一步

我们把一台防火墙真正「能用」需要的东西拆成三层，你对照着看自己的预算表里有没有：

1. 硬件是硬件，功能是授权

这是最容易踩的一个坑，也是最贵的一个。很多人以为「买了防火墙」就自动拥有了拦截病毒和攻击的能力，实际上多数型号出厂只带基础能力：路由、NAT、五元组包过滤、基本的访问控制。

真正用来认威胁的那些能力，属于订阅型功能，要单独买授权、按年续费：

这张表解释了一个很常见的困惑：「我家明明装了防火墙，怎么还是中了？」 因为设备的壳在，眼睛没开。

更隐蔽的是第二种情况：授权买了，但过期了。 特征库是有时效的——厂商每天在分析新样本，定义库每天在更新。授权到期不续，功能界面可能还能点，但库停在半年前。半年前的定义库，认不出这个月才出现的家族。 这次 C3RB3R 正是 10 月的新变种。

说句不好听的实话：没买授权的高端防火墙，最贵的那部分功能是关着的，实际作用约等于一台贵一点的路由器。

2. 策略不是插上就有，得一条条配

第二个误区是「接上就能用」。物理接上确实能通网——因为出厂策略往往是「默认放通」。而默认放通，等于什么都没防。

要让一台防火墙真正起作用，至少要把这几件事做完：

• 划区域：出口区、服务器区、办公区、访客区、无线区，各自一个安全域，别全塞在 inside 里；
• 定默认动作：域间默认拒绝，只放行业务真正需要的那几条——这是原则，也是最费时间的地方；
• 写具体策略：源、目的、服务、时间、动作，五要素写全。业务需要什么就放什么，不要图省事写成 any-any；
• 开安全 profile：把 IPS、反病毒、应用控制挂到策略上——注意，是「挂上去」才算生效，买了授权不等于自动生效；
• 开日志：会话日志、威胁日志、丢包日志。不开日志的设备，出事之后什么都查不到。

我们上门看过的现场里，最常见的三个错误配置长这样：

3. 得有人看，有人调

第三层最容易被忽略，因为它没有交付物：设备跑起来之后，谁来看它？

防火墙每天都在产生大量日志和告警。没人看的时候，它有三种典型结局：

• 告警太多，全被忽略——默认开全量告警，一天几百条，看两天就没人看了；
• 误拦了业务，直接关掉功能——某个软件连不上，图省事把 IPS 关了，从此设备退化成 NAT；
• 只在出事那天被打开——事后查日志，发现记录只留了三天，或者根本没开。

所以真正决定一台防火墙价值的，不是型号，是这三件事有没有人持续做：定期看告警并分级、按业务变化调策略、授权到期前提醒续费。

七、我们是怎么交付这件事的

顺带说个巧合。我们做的这套服务叫 NaaS（Network as a Service），这次出事的设备叫 NAS（Network Attached Storage），两个词只差一个字母——当然这只是拼写上的巧合，跟这次事件没有关系。

要说有关系的地方，只有一处：这次的事恰好落在我们每天干的活上。公网暴露面怎么收、NAS 该单独放在哪个区、谁能访问它、备份链路怎么断开、告警谁来接——这些事不新鲜，我们做了很多年。

这也是我们做订阅式服务（NaaS）的原因。如果只卖盒子，上面三层里有两层是没人负责的——授权第二年谁提醒你续？策略上线后谁按业务变化调？凌晨两点告警了谁看？

所以我们把安全设备放进订阅服务里，交付的是「能用」，而不是「有」：

• 设备与授权一起给：报价里就把硬件和所需授权写清楚，不给「先买盒子、授权以后再说」留口子；
• 策略由我们上门配：先摸清业务清单——哪些系统要出网、哪些端口要给外面、NAS 谁能访问，再按清单写策略，而不是套模板；
• 区域划分一起做：把服务器区、办公区、访客区划开，NAS 这类存储设备单独一区，这是三网隔离那套做法在企业里的版本；
• 授权到期我们提醒并代办续订：不让特征库悄悄过期——这是最不起眼、也最容易出事的一环；
• 告警有人看：异常流量、威胁命中、策略命中异常，纳入日常巡检，有情况主动联系，而不是等你发现文件打不开了才找我们。

顺带说一句我们不完全赞成的事：不建议为了「心里踏实」先随便买一台便宜的放上去。 一台没授权、没策略、没人看的防火墙，除了增加一个故障点，带来的安全感是假的——你会以为门关上了，其实只是多了个装饰。

八、不管你买不买，今晚可以先做这六件事

这部分不需要花一分钱，也不需要等采购流程。按顺序做，做完风险能降一大半：

1. 把 NAS 的公网入口关掉：删掉路由器上所有指向 NAS 的端口映射，关掉 UPnP；QuickConnect、DDNS 直连这类「方便功能」先停。远程访问改用 VPN。
2. 检查 DSM 和套件的版本：不只是 DSM，套件中心里的 PHP、Web Station、Calendar、MailStation 这些也要逐个升。装了不用就卸掉——不用的组件就是白送的攻击面。
3. 看容器：Container Manager 里跑的镜像全部升级；检查挂载点，别把整个存储卷挂进容器；不对外服务的容器，端口别映射出去。
4. 翻一遍账号：禁用默认的 admin；管理员全部开双重验证；开自动封锁（5 分钟内失败 5 次封 IP）；共享文件夹按最小权限给，归档目录设只读。
5. 查计划任务：看 /etc/crontab 和用户 cron 里有没有不认识的脚本——这是这次事件里「升级了还是被锁」的常见解释，攻击者可能早就埋好了。
6. 把备份改成「拉」而不是「推」：让另一台设备主动来读 NAS 的数据，NAS 侧只给只读账号；有条件就做一份离线盘，备份完拔掉。

如果六件事里只能做一件，做第 1 件。

九、结语：「最后一道防线」这个词，得重新定义了

这次事件里，被讨论最多的技术问题是「是不是 0day」。但对大多数企业来说，真正该记住的不是这个结论，而是另外两件事。

第一件：凡是能被一个程序写到的备份，都不算最后一道防线。 它只是一份离原始数据比较近的拷贝。以前 NAS 之所以能当防线用，是因为勒索软件到不了那里；现在人家直接奔着它来，它就变回了普通的一块硬盘——连带硬盘上的备份一起。

第二件：防线不能只有一道。 这次公开出来的受害设备有个共同点：NAS 都能从公网访问到。没有一台是靠什么高深手法被攻破的，门本来就开着。

所以买防火墙这个决定本身没问题，问题只在后面：设备是买来的，安全是配出来、看出来的。

如果你现在正打算买，建议在报价单之外多问三句话：

• 这台设备的哪些功能需要授权？授权是几年？到期后谁来提醒我？
• 策略谁配？按我的业务清单配，还是套模板？
• 上线之后，日志和告警谁看？多久看一次？

这三个问题回答不清楚，钱大概率会白花一半。