我至今还记得去年夏天那个半夜的电话，是朋友公司的网管打来的，声音慌得不行：“服务器全被锁了，屏幕上跳出一堆红色警告，要比特币赎金！”我爬起来远程一看，445端口被爆破，勒索病毒直接加密了全公司的重要文件。幸好他们备份还算及时，最后没交赎金，但恢复系统也折腾了两天。这事让我意识到，很多中小公司甚至个人用户，压根没意识到一个端口的风险能有多大。
445端口这东西，说白了就像是你们家后院的一扇小门。平时你可能觉得无所谓，但勒索软件最爱钻这种空子——尤其是像WannaCry这类老牌病毒，或者新变种如LockBit，专门通过445端口的SMB协议漏洞传播。微软其实发过补丁，但总有人懒得更新，结果呢？据CyberEdge集团去年的报告，约56%的组织遭遇过勒索攻击，其中三成是因为开放了不必要的端口。
我的经验是，光靠杀毒软件真不够。安全得层层来，而关闭445端口就是最基础的那道物理锁。接下来我分享两种实测有效的方法，适合Win10系统，小白也能跟着操作。
方法一：用防火墙给端口“上锁”
防火墙是系统自带的守门员，配置好了能省心八成。打开“Windows Defender 防火墙”后，选“高级设置”创建一条入站规则。类型选“端口”，协议选TCP，特定端口填445。操作选“阻止连接”，配置文件全选（域、私有、公共），最后起个名字比如“Block_Port_445”。
这一步有个坑要注意：有些人的共享打印机或文件共享会依赖445端口，关闭后可能没法用局域网传文件。但说实话，现在大家都用云协作工具了，内部共享的需求少了很多。如果你真需要共享，不如用更安全的FTP或者VPN替代，别贪方便留漏洞。
方法二：改注册表根除风险
如果防火墙是临时锁，那注册表修改就是直接把门焊死。按Win+R输入regedit，找到路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters，在右边新建一个DWORD值，命名为“SMBDeviceEnabled”，值设为0。重启后，系统会彻底禁用SMB相关服务。
这方法更彻底，但手滑的风险也大——注册表改错了可能引发系统故障。所以我建议先备份注册表，或者用系统还原点兜个底。对了，有些老旧软件可能会依赖SMB协议，改之前最好测试下业务软件是否正常。
别忘了，安全是个系统工程
关闭端口只是第一层。勒索病毒现在越来越刁钻，光封端口可能防不住鱼叉邮件或零日漏洞。我有几个习惯推荐：第一，定期打系统补丁。微软每个月第二个周二发布更新，别拖，我设了自动更新，省心。第二，备份必须做。3-2-1原则：至少3份备份，2种不同介质，1份离线存放。我用的是脚本自动备份到NAS+冷存储硬盘，每周跑一次。
最后唠叨一句：安全意识才是核心。别乱点邮件附件，别用弱密码，管理员账户尽量降权。那次事件后，我给朋友公司做了次全员培训，后来再没出过大问题。其实防护没那么难，关键是你得开始行动——今晚就检查下端口吧，说不定就躲过一劫。
评论