Sorry 勒索病毒持续爆发，全光网如何做到生产业务不停产？

近期，“Sorry”勒索病毒持续引发关注。与传统勒索攻击不同，这类攻击一旦进入网络环境，并不只是加密某一台电脑上的文件，还可能主动扫描网络中的其他主机和服务，通过横向传播扩大感染范围。

对于酒店、民宿、度假村等住宿场景来说，真正需要警惕的并不是某台办公电脑单独“中毒”，而是攻击从办公终端进一步蔓延到PMS、前台系统、监控、门禁、客控等业务网络。一旦核心系统受到影响，轻则业务受阻，重则直接影响酒店正常营业。

因此，面对勒索病毒持续出现，住宿行业不能只依赖终端杀毒，而需要从网络架构入手，把“阻止攻击进入”和“限制攻击扩散”结合起来。全光网的价值，也正在于为酒店构建一张具备隔离、认证和安全防护能力的网络底座。

一、勒索病毒为什么容易从一个终端扩散到整个业务网络？

网络没有隔离，感染就可能从“一个点”变成“一大片”

酒店网络中通常同时存在办公电脑、前台终端、客房WiFi、电视、摄像头、门禁、客控以及服务器等大量设备。如果不同业务长期处于相对开放的网络环境，一台终端被攻击后，攻击者就可能继续探测其他设备和服务，寻找新的突破口。

尤其是酒店大量使用的摄像头、门禁、电视、客控等设备，很多属于哑终端，无法像普通电脑一样安装和运行完整的安全防护软件。如果网络侧缺乏有效的接入认证和业务隔离，这些设备就容易成为安全管理中的薄弱环节。

酒店真正承担不起的，是核心业务一起停摆

勒索病毒造成的影响往往不是“电脑打不开”这么简单。PMS异常可能影响入住办理，前台系统中断会影响日常运营，客控系统出现故障可能影响客房服务，监控网络受到影响则会进一步增加安防管理压力。

所以，酒店网络防勒索的核心目标应该从“发现病毒后再处理”，前移到“即使一个终端被攻陷，也不要让它影响整个业务网络”。

二、全光网先把业务划开，让勒索病毒扩散有边界

面对横向传播风险，网络隔离是酒店需要优先考虑的一道防线。

智慧光迅全光网可以根据酒店实际业务，对办公、客房WiFi、监控、门禁、客控、电视等网络进行分区，让不同业务按照实际需求建立访问关系，而不是所有终端都处在一个相对开放的网络环境中。

例如办公终端出现异常时，可以限制其访问监控、客控等核心业务网络；客房终端出现风险，也不让异常流量随意进入酒店内部管理系统。这样即使局部网络出现安全事件，也能够尽可能将影响控制在相应区域，降低勒索病毒横向扩散造成大面积业务中断的风险。

网络隔离解决的是“病毒能不能到处跑”，而接入认证解决的则是“什么设备才有资格进入网络”。

哑终端也要纳入认证，不能成为安全盲区

酒店里的摄像头、门禁、客控、打印机等设备，大多属于无法进行人工登录操作的哑终端。如果设备接入网络后就默认获得访问权限，一旦设备自身存在漏洞或被攻击者利用，就可能成为进入内网、继续横向探测的入口。

针对这类设备，智慧光迅可以通过802.1X哑终端认证，在设备接入网络时完成身份识别和准入控制。即使终端没有用户登录界面，也可以根据预先配置的认证信息完成网络认证，只有通过认证的设备才能接入相应网络。

这样，酒店网络管理就不再只是“认证上网的人”，还能够进一步识别和管理接入网络的设备。结合业务网络隔离，让不同哑终端按照实际业务进入对应区域，从接入源头减少未知设备随意进入内网的可能，也为后续的安全策略执行提供基础。

三、光有隔离还不够，还要把攻击拦在业务系统之外

网络分区能够限制攻击传播范围，但面对来自互联网的攻击，酒店还需要在网络出口建立安全防护。

智慧光迅可以将防火墙、IPS、WAF、防病毒等安全能力融入网络架构，对外部访问和异常流量进行识别与拦截。对于酒店对外开放的业务系统，可以通过WAF降低常见Web攻击带来的风险；对于网络中的异常访问行为，则可以结合入侵防护等能力进行检测和阻断。

这样就形成了一条从外到内的防护路径：外部攻击先经过安全防护，内部终端需要经过身份认证，不同业务之间再通过网络隔离限制访问范围。即使某个环节出现风险，也尽量避免攻击一路深入到酒店核心业务系统。

同时，网络日志和安全事件还需要能够被记录、查询和追溯。当出现异常访问时，可以进一步定位相关用户、终端和网络行为，为安全排查和后续处置提供依据。

对于酒店来说，没有任何一种网络架构能够承诺“绝对不会感染勒索病毒”。真正有价值的安全建设，是在攻击发生之后，依然能够把风险控制在局部，让核心业务尽可能保持正常运行。

全光网的作用，也并非简单地把铜线换成光纤，而是以稳定的网络基础设施为底座，把业务隔离、802.1X哑终端认证、安全防护、日志审计等能力结合起来。

当外部攻击试图进入酒店网络时，有安全防护能力进行拦截；当设备需要接入网络时，通过802.1X进行身份认证；当终端已经进入网络后，再通过业务隔离限制不同区域之间的访问；一旦出现异常行为，还能够通过日志进行追踪和排查。

这样一来，即使局部终端受到勒索攻击，也不容易让风险快速蔓延到整个酒店网络。

对于住宿行业而言，网络安全最终服务的还是业务连续性。面对持续出现的勒索病毒，与其等到系统被加密后再紧急恢复，不如提前把网络划出边界、把设备管起来、把攻击挡在外面。

FAQ

Q：勒索病毒为什么会导致生产业务停产？

勒索病毒的攻击链是：入口入侵→内网横向移动→加密核心系统。一旦核心业务系统（PMS、MES、ERP等）被加密，生产调度、入住办理、支付结算全部中断，业务被迫停止。如果内网没有做分区隔离，一台中招可能导致全网瘫痪。

Q：全光网能100%防止勒索病毒吗？

没有任何方案能保证100%防住所有攻击。全光网的价值在于：即使某一区域被攻破，也能将攻击影响控制在隔离域内，保障核心生产业务继续运行。这就是“业务不停产”的核心逻辑——不是不让病毒进来，而是让病毒跑不到生产系统。

Q：全光网的加密能力对防勒索有什么帮助？

全光网PON链路层基于AES-128对业务帧逐帧加密，每台ONU协商独立密钥。攻击者即使物理截获光纤信号，也只能得到密文。同时，投屏等业务场景下的敏感数据在传输全程加密，防止数据被窃取。