- Windows 勒索软件防护基于受控文件夹访问，它只允许受信任的应用程序修改敏感位置的文件。
- Windows 11 和 Windows 10 都标配了受保护的文件夹，并允许您添加其他受信任的路径和应用程序，以便为每个用户定制安全设置。
- 除了上述功能外，备份、定期更新以及浏览和打开文件时的良好习惯也是最大限度降低数据被劫持风险的关键。
勒索软件已成为所有 Windows 用户最头疼的问题之一：它会加密您的文件、锁定您的计算机，更糟糕的是，它还会索要赎金才能恢复访问权限——而这种赎金几乎从未真正奏效过。Windows 11（以及 Windows 10）有一个专门的功能来应对这个问题，但默认情况下是禁用的，您需要知道如何点击才能启用它。
本文将详细介绍 Windows 勒索软件防护功能，包括“受控文件夹访问”的工作原理、如何在 Windows 11 和 Windows 10 中逐步激活该功能、哪些文件夹默认受到保护、如何添加自定义文件夹、如何允许特定应用程序访问，以及您应该采取哪些其他措施（备份、更新、常识等），以避免数据泄露给您带来麻烦。
什么是勒索软件？它为什么如此危险？
勒索软件是一种恶意软件，旨在锁定您的计算机或文件，直到您支付赎金为止。它通常会加密文档、照片、视频，有时甚至会加密操作系统本身，阻止您正常打开任何内容。
这类威胁可能通过虚假或不可信的网站、盗版下载、可疑的电子邮件附件、社交媒体或聊天信息中的链接，甚至通过受感染的U盘传播。恶意网站或电子邮件通常可以通过拼写错误、劣质的徽标复制或略微更改的公司名称（例如，“PayePal”而不是“PayPal”）等细节来检测。
一旦进入系统，勒索软件就可以在网络中传播到其他计算机或共享驱动器，因此它不仅会影响您的家用电脑，还会影响公司计算机、服务器，甚至公共基础设施，利用Windows 中的安全漏洞。
问题在于，许多勒索软件变种会在加密前窃取机密信息，然后威胁如果不支付赎金就泄露信息，以此勒索受害者。这使得此类攻击成为当今个人和组织面临的最大网络安全威胁之一。
什么是Windows勒索软件防护？
Windows 10 和 Windows 11 都内置了Microsoft Defender 防病毒软件和防火墙，它们会在后台扫描文件、进程和网络流量。在此基础上，微软又增加了一层名为“勒索软件防护”的额外保护，其核心功能是“受控文件夹访问”。
此功能旨在保护某些系统和用户配置文件文件夹，确保只有受信任的应用程序才能修改它们。这样，如果勒索软件或其他恶意软件试图加密或删除文件，Windows 会阻止更改并显示通知。
实际上，这种保护措施可以防止未知或可疑的应用程序对这些文件夹中的文件进行未经授权的更改。因此，即使威胁成功实施，您也很难丢失重要的文档、照片或项目。
此外，该功能与Microsoft Defender for Endpoint和企业管理工具（Intune、Configuration Manager 等）集成得特别好，从而可以进行大规模配置部署和审核，以及集中审查阻止事件。
受控文件夹访问的工作原理
“受控文件夹访问”基于一个简单的理念：只有受信任的应用程序才能修改特定受保护位置的文件。其他所有操作都会被阻止或以审计模式记录，具体取决于您的配置。
Windows 会根据应用程序的普及程度和信誉度维护一个受信任应用程序列表。如果一个程序被广泛使用，长期运行且未出现恶意行为，并且 Microsoft 也未检测到任何问题，则该程序会被视为受信任，并允许在受保护的文件夹中正常运行。
如果某个应用不在列表中，它对受保护文件夹中文件的写入、删除或修改尝试将被阻止（如果您使用的是仅日志模式，则会进行审计）。您还可以手动为已知安全的特定应用添加例外。
此功能对勒索软件尤其有效，因为攻击通常集中于加密文档、照片、视频或项目。通过对这些文件夹进行更严格的访问权限控制，恶意软件会遇到一道屏障，从而阻止或极大地阻碍其攻击目标的实现。
对于企业环境，可以通过Microsoft Intune 、Configuration Manager 或 Microsoft Defender for Endpoint配置受控文件夹访问。在这种情况下，管理员可以集中查看生成的事件，并根据组织的实际需求调整策略。
Windows 中默认受保护的文件夹
启用受控文件夹访问后，Windows 会自动保护多个用户配置文件和系统文件夹，这些文件夹通常是您存储文档和个人内容的地方。
默认情况下受保护的路由包括（例如）：
- c:\Users\文件
- c:\Users\Public\Documents
- c:\Users\图片
- c:\Users\Public\Pictures
- c:\Users\视频
- c:\Users\Public\Videos
- c:\Users\音乐
- c:\Users\Public\Music
- c:\Users\收藏夹
这些位置通常是你在文件资源管理器的“此电脑”下看到的位置，它们通常是攻击者的首要目标，因此 Windows 默认保护它们是有道理的。
另外， 某些系统配置文件 如 LocalService, NetworkService o systemprofile 它们也有各自的受保护文件夹（例如， C:\Windows\System32\config\systemprofile\Documents（如果存在）。这有助于保护操作系统自身的内部进程和服务。
受保护的系统文件夹无法从列表中移除，这正是为了确保不会意外禁用这一基本安全层。不过，您可以添加自己的路径，将保护范围扩展到其他目录或驱动器。
如何在 Windows 11 中启用勒索软件防护
在 Windows 11 中，这些设置很容易找到，但并非总是显而易见。按照以下步骤操作，即可立即启用此功能。
1. 打开 Windows 安全中心
最快捷的方法是按下 Windows 键，然后输入 “Windows 安全” 并打开应用程序。您也可以前往 首页 > 设置 > 隐私和安全 > Windows 安全 然后从那里进入。
2. 转到“防病毒和威胁防护”
在应用内，你会看到几个版块。你感兴趣的是…… “防病毒和威胁防护”点击后将打开一个新窗口，显示 Microsoft Defender 的状态和各种选项。
3. 找到“勒索软件防护”
滚动到屏幕底部，直到找到该方块。 “防范勒索软件”下面你会看到一个链接，内容大致如下： “勒索软件防护管理”. 点击那里。
4. 启用“受控文件夹访问”
在新屏幕上，您将看到开关 “控制对文件夹的访问权限” （或根据版本/语言的不同，显示为“受控文件夹访问”）。此功能通常默认处于禁用状态。启用后，将出现一个用户帐户控制窗口，要求您确认；确认后更改即可生效。
从那一刻起，您的文件、文件夹和某些内存区域将受到保护，免受未知或恶意应用程序的未经授权的修改。
配置受保护文件夹和允许的应用程序
启用受控文件夹访问后，最好查看一下文件夹列表和允许的应用程序列表，以便根据您的实际工作方式进行调整。
在同一个勒索软件防护部分，您会找到：
- 屏蔽历史记录查看哪些应用程序尝试修改文件但已被阻止。
- 受保护的文件夹在这里您可以查看已受保护的文件夹并添加新文件夹。
- 允许应用程序访问受控文件夹之一：允许某个被阻止但你认为安全的程序运行。
如果您通常将项目保存在自定义文件夹（例如D:\Projects或外部驱动器）中，强烈建议您将其添加为受保护文件夹。请注意，该文件夹内的所有子文件夹也将被保护。
关于应用程序，如果您发现某个合法程序（例如视频编辑器或其他办公软件）无法保存对受保护文件夹的更改，您可以手动将其添加到允许列表中。但是，请务必确保它是可信软件，并且始终从官方来源下载。
如何在 Windows 10 中启用勒索软件防护
在 Windows 10 中，操作方法相同，只是设置路径略有不同。即便如此，整个过程同样简单，只需几分钟即可完成。
1. 打开 Windows 安全中心
按下 主页>设置， 进入 “更新和安全性” 然后在左侧面板中选择 “Windows 安全”您也可以直接在“开始”菜单中输入“Windows 安全中心”。
2. 转到“病毒和威胁防护”
进入 Windows 安全中心后，点击 “抵御病毒和威胁” 打开带有内置防病毒选项的窗口。
3. 管理勒索软件防护
在该部分中查找链接 “勒索软件防护管理”它通常显示在屏幕底部。点击即可访问具体选项。
4. 启用受控文件夹访问
就像在 Windows 11 中一样，你会看到以下选项： 启用文件夹访问控制将开关拨到“开启”位置，并在安全弹出窗口中确认。从那时起，该功能将开始保护您的重要文件夹。
从那里，您可以添加其他受保护的文件夹、查看锁定历史记录，并像在 Windows 11 中一样，从同一屏幕上显示的选项中允许特定应用程序。
使用 OneDrive 和备份作为额外的安全保障。
Windows勒索软件防护功能固然很有帮助，但它并不能替代备份。理想情况下，您应该将此功能与完善的备份系统结合使用，包括云端备份和离线备份。
如果您使用 Microsoft 帐户登录并设置OneDrive，Windows 可以自动同步您的文档、图片、桌面和其他文件夹，并提供内置的勒索软件检测和恢复功能，包括Windows 文件历史记录，以恢复您文件的先前副本。
除了云端备份之外，强烈建议定期在离线存储设备（例如不使用时断开连接的外部硬盘）上创建备份。这样，即使攻击突破了您的防御，您仍然可以从勒索软件无法触及的位置恢复数据。
怀疑电脑感染病毒该怎么办
如果您发现异常行为（例如电脑突然变得非常慢、打开奇怪的窗口、文档无法正常打开等），或者您听说过新的恶意软件攻击活动，最明智的做法是进行全面扫描。
在 Windows 安全中心，转到“病毒和威胁防护”，然后使用 Microsoft Defender 运行快速扫描或完整扫描。您还可以选择离线扫描，该扫描会在系统重启后，在潜在威胁加载之前进行扫描。
如果勒索软件已经入侵您的电脑，通常会显示勒索信息，要求您支付赎金才能解锁您的电脑或文件。此时：
- 不要支付赎金无法保证能够找回数据，而且你还会资助犯罪分子。
- 尝试使用 Windows 安全中心清理您的计算机。 或者使用可信赖的反恶意软件解决方案。
- 使用备份。 （OneDrive、外部驱动器等）在系统清除恶意软件后恢复受影响的文件。
如果您已经误付了款，最明智的做法是立即联系您的银行和您所在国家的有关部门（警察、网络安全机构等），尝试阻止交易并举报欺诈行为。
查看受控文件夹访问事件
当受控文件夹访问阻止或审核某个操作时，Windows 会记录特定事件，这些事件既可以在本地查看，也可以在企业环境中通过 Microsoft Defender 门户查看。
在使用 Microsoft Defender for Endpoint 的组织中，可以运行高级查询来查看已阻止或已审核的违规行为，例如，通过使用ControlledFolderAccessViolationBlocked或ControlledFolderAccessViolationAudited操作类型的筛选器。
在本地，您可以使用Windows 事件查看器导入自定义视图（例如cfa-events.xml文件），并查看诸如以下事件：
| 事件 ID | 描述 |
|---|---|
| 5007 | 配置变更 微软Defender |
| 1124 | 已审核的受控文件夹访问权限 |
| 1123 | 已阻止访问受控文件夹 |
| 1127 | 尝试写入被阻止的受保护扇区 |
| 1128 | 尝试在受审计的受保护部门进行写作 |
这种程度的细节有助于（尤其是在公司中）完善策略并检测需要权限的合法应用程序，而不会损害系统的整体安全性。
Microsoft Defender 中的排除项和通配符
除了针对勒索软件的特定保护外，Microsoft Defender 还允许您定义排除项，以便某些文件、文件夹、文件类型或进程不会实时扫描。
在 Windows 安全中心的防病毒保护部分，您可以转到“添加或删除排除项”，然后选择：
- 档案排除特定文件。
- 夹：排除整个路由及其所有内容。
- 档案类型：按文件扩展名排除，例如 .docx、.pdf 等。
- 过程排除某个可执行文件，使其打开的文件不被实时分析。
也可以使用 通配符 (*) 和环境变量 在某些排除项中，例如排除所有扩展名以“st”结尾的文件（使用 *st）或位于特定文件夹中的所有进程（例如， C:\MyProcess\*).
虽然这是一个避免与某些程序发生性能冲突的有用功能，但必须极其谨慎地使用，因为任何被排除的元素都不再受到实时分析的保护，并可能成为恶意软件的入口点。
避免勒索软件的更多提示
Windows勒索软件防护固然重要，但并非唯一需要的防护措施。为了最大程度地降低风险，建议遵循一系列基本最佳实践。
保持 Windows 和应用程序最新
网络犯罪分子不断利用…… 操作系统和日常程序中的漏洞要尽快关闭它们，请前往 开始 > 设置 > Windows 更新 并确保已启用自动更新并定期安装。
使用一款好的杀毒软件，不要禁用它。
Microsoft Defender 是一款 内置且功能相当强大的杀毒软件当然，如果您愿意，也可以选择第三方解决方案（付费或免费均可），只要它们值得信赖即可。重要的是，您拥有一个活跃且保持更新的实时保护引擎。
外部备份和云备份
正如我们之前提到的，拥有以下条件至关重要： 将备份保存到主计算机以外的位置将云存储（OneDrive、Google Drive、Dropbox 等）与离线外部驱动器结合使用，是应对任何灾难（无论是勒索软件还是硬件故障）的非常可靠的策略。
要谨慎对待电子邮件、链接和下载内容。
大多数感染始于 不小心点击了链接或附件要警惕来路不明的电子邮件、未知发件人、要求提供紧急信息或付款的危言耸听的信息，当然还有从盗版或可疑网站下载的软件。
不时重启电脑
看起来很傻，但是 每周至少重启一次 它有助于确保系统和应用程序更新正确应用，并提高整体性能和稳定性。
正确配置所有这些并启用受控文件夹访问功能后，您的 Windows 11（或 Windows 10）将能更好地应对勒索软件和其他类似威胁，最大限度地降低重要文件被劫持或加密到无法修复的地步。
