内网环境中毒扩散是许多企业的噩梦。一旦某台终端被植入勒索或蠕虫病毒，若不及时隔离，数小时内可能瘫痪整个业务网络。防范关键在于“横向移动”阻断。首先，严格实施网络分段。将服务器、办公终端、工控设备划分到不同VLAN，核心业务间通过防火墙策略限制非必要端口。尤其要封禁445、39等常被漏洞利用的端口，阻断病毒通过SMB协议横向扩散。其次，部署端点检测与响应（EDR）系统。EDR能实时监控异常进程创建、注册表修改及横向连接行为，一旦发现某终端对外发起大量扫描或异常RDP连接，立即自动隔离该节点。再者，强化权限管理。采用最小权限原则，普通员工账户不应具备域管理员权限。关闭不必要的共享文件夹，并启用受控文件夹访问，防止勒索病毒加密关键数据。最后，建立应急隔离预案。当发现中毒迹象时，网络管理员应第一时间在交换机上禁用对应端口，或通过准入系统强制失陷主机下线。定期进行攻防演练，确保应急流程人人皆知。防御内网扩散，核心是“提前分段、实时监控、快速隔离”。_24小时接单的黑客群