紧急通知！周一电脑开机前要警惕 广东专家：先断网 再开机

喜静好动

5月14日，网络安全厂商蓝盾股份联合广东省公安厅网警总队、中山大学等共同召开WannaCry病毒威胁解读及加固建议的专题活动。广东省公安厅网警总队副总队长蔡旭，中山大学数据科学与计算机学院的教授、博导、中山大学网络空间安全系主任、中山大学网络空间安全研究所所长张方国，蓝盾信息安全技术股份有限公司首席技术官杨育斌参与该专题活动，并就WannaCry病毒威胁主题进行深入探讨。

教育网受损最严重 恶劣程度超过熊猫烧香

会上，广东省公安厅网警总队副总队长蔡旭就本次病毒进行舆情通报：“WannaCry”波及全球范围内的100多个国家，医院、政府等关键信息系统受到沉重打击，如英国有超过40家医院电脑受到大规模攻击后沦陷。我国诸多行业都受到大规模感染，其中教育网受损最为严重，攻击造成大量教学系统瘫痪。

蔡旭表示，此次事件的恶劣程度远超熊猫烧香，除了教育和医院领域，很多很多企业内网的重要服务器也被加密，已经严重影响到了企业的的业务延续性和信息安全保障。出入境、银行提款机，加油站也分别受到了攻击和影响。

教育网未限制445端口所以成为重灾区

中山大学网络空间安全研究所所长张方国就“WannaCry“给出了溯源分析：“永恒之蓝”可远程攻击Windows的445端口（文件共享），如果系统没有安装今年3月的微软补丁（MS17-010），无需用户任何操作，只要开机上网，“永恒之蓝”就能在电脑里执行任意代码，植入勒索病毒等恶意程序。可谓严重。

张方国称，国内之前曾多次出现利用445端口传播的蠕虫病毒的案例，因此部分运营商和个人用户封掉了445端口。但是教育网并无此限制，存在大量暴露着445端口的机器，因此成为不法分子使用NSA黑客武器攻击的重灾区。

建议：尽快安装补丁关闭相关端口

蓝盾股份首席技术官杨育斌给出了加固建议：用户需要尽快为电脑安装微软已发布的MS17-010补丁；低版本系统用户尽快升级到高版本系统；所有Windows 服务器、个人电脑，全部使用防火墙过滤或关闭445、135、137、138、139端口，及时关闭网络共享；同时尽快转移电脑重要文件，加强移动安全介质、网盘等软件安装入口管理，预防计算机受到病毒影响。

为了更好地防范各类网络安全事件，蓝盾股份建议用户保持良好的电脑使用习惯，强化网络安全意识，不要点击可疑链接及邮件，遇到问题可及时紧急联系蓝盾股份等专业网络安全服务商，对校园网及个人终端的漏洞进行全面的核查和紧急补救。

周一可能会更大规模爆发

杨育斌还提醒，周一上班日可能会大面积爆发病毒，因为很多电脑已经感染，只是周末没上班没有开机所以没发现。

“大家也不要恐慌，不要传谣，建议明天上班之前先断网，开机备份资料后打好补丁再联网。感染病毒后不要向黑客支付比特币赎金，国外有很多交付赎金也没有解锁资料的先例。”

应建立网络安全应急机制

中国计算机学会常务理事、中山大学软件工程硕士生导师臧根林则建议，目前在信息安全方面，无论民众教育还是国家应急都远远不够。像这次的电脑病毒爆发，个人中招不知道向哪个政府部门报告，政府部门也没有有效组织宣传指导大家如何防范和处置，甚至政府部门自己中招了也是靠一些网络安全公司在指导解决，没有国家队的影子，没有良好的应急机制。

所以，臧根林建议，由国家网信办或工信部牵头，模仿自然灾害的应急处理机制，设置有效的措施，让群众或企业、政府单位在出现电脑病毒灾害时能及时汇报灾情，国家可以及时预警、及时判断灾情程度、及时采取措施等。可以让目前社会上从事网络信息安全的企业技术队伍当成“预备役”队伍来用，一旦有重大灾情爆发，不是各个企业单打独斗各自为战，而是由国家层面有组织地进行抗灾活动；

此外，应加强网络信息安全宣传，让群众知道一旦发生了电脑病毒灾情，应如何报告、如何处置，防止扩大损失； 而政府部门和民生相关的业务处理系统一定要做好灾备工作，要有快速恢复能力，否则会加大社会恐慌，造成更大损失。

附件：

蓝盾首席技术官杨育斌给出的针对Wannacry永恒之蓝病毒的安全防范指南

一、 安全防范措施

个人用户

1. 立即拔掉个人电脑网线断开网络连接，防止个人电脑被病毒感染；

2. 立即通过离线方式更新操作系统补丁；

3. 立即通过操作系统防火墙关闭本地的445及其他关联端口（135、137、139）的外部网络访问权限（具体操作方法见附录2）；

4. 立即通过U盘和移动硬盘做好重要文件备份工作。

企业网络管理员

1. 边界交换机、路由器、防火墙以及内网核心主干交换路由等设备禁止双向135/137/139/445端口的TCP连接；

2. 更新入侵防御、入侵检测、APT等安全设备漏洞库、开启防御策略；

3. 对局域网内设备445及其他关联端口135、137、139进行扫描，发现潜在风险的设备进行安全加固。

二、 应急处置

对于已感染的设备，进行以下操作：

1. 立即断开已感染设备的网络连接，防止病毒进一步扩散；

2. 尝试通过深度文件恢复工具对已被加密文件进行恢复；

3. 使用PE盘进入操作系统，将可用文件进行备份，并对备份数据进行离线处理。