一场快得人类来不及反应的云攻击

微软研究人员近日披露了一起事件，应该让每一个运行云基础设施的组织警醒：一次自动化的、AI驱动的攻击在大约七分钟内摧毁了100个Azure账户中的资源。这不是笔误。七分钟 barely 够安全分析师读完一条警报，更不用说调查和响应了。然而在这个短暂的时间窗口内，攻击者成功清除了云资产，其规模通常需要人工操作数小时甚至数天才能完成。

微软未确认是否提出了赎金要求，也未确认数据是否被成功窃取。在所有受影响的账户上均未发现勒索信。但研究人员观察到的行为模式与安全团队通常关联到勒索软件和勒索活动的情形相符：大规模摧毁资源、蓄意干扰备份系统，以及在多个账户间同时进行快速协调行动。换言之，即使没有要求付款的勒索信，这次攻击的外观和行为都像是为速度而非隐蔽性而构建的勒索软件。

为什么预配置的锁定是存亡之间的关键差异

这起事件中最引人注目的细节是究竟是什么阻止了损害进一步蔓延：预先配置了资源锁定的账户幸存了下来。Azure资源锁定是一项内置功能，允许管理员将关键资源标记为受保护，防止意外或未经授权的删除或修改，即使是拥有广泛权限的账户也无法操作。在这起事件中，这个简单且常被忽视的配置设置是正常运行的云环境与被清空的环境之间唯一的屏障。

这鲜明地提醒我们，攻击速度往往超过响应速度。传统的事件响应假设有时间在严重损害发生前检测入侵、升级警报并进行干预。当一次攻击能在七分钟内摧毁100个账户时，这一假设就崩塌了。在此次事件中，唯一发挥作用的防御是那些在攻击开始前就已开启的防御。是预先设置好的锁定、权限和备份配置在提供保护，而不是安全团队在实时应急中匆忙应对。

自动化、AI加速攻击大趋势的一部分

这起事件符合安全研究人员已追踪一段时间的模式：威胁行为者越来越多地使用自动化和AI工具来压缩从初始访问到最大损害之间的时间。勒索软件组织已被记录到将AI编码助手和自定义工具武器化，以加速恶意载荷的开发和部署，减少过去拖慢攻击者的人工操作。

更广泛的风险格局也印证了这一点。近几周来，涉及被利用的软件漏洞、民族国家黑客活动和与真实财务后果挂钩的勒索截止日期的报道层出不穷，正如关于活跃漏洞利用和高风险数据泄露截止日期的报道所示。综合来看，这些事件描绘出一幅一致的图景：攻击者正变得更快、更自动化，且更少依赖过去给防御者留下反应窗口的人工侦察。

这对你意味着什么

本网站的大多数读者并非在运行企业级Azure租户，但这里的教训远不止适用于大型组织。无论你是在管理企业云账户、个人备份服务，还是仅仅在线存储敏感文件，核心要点都是一样的：在攻击已经开始后，预先配置的安全设置是唯一可靠发挥作用的保护。

如果你管理任何云环境，哪怕是很小的环境，请检查你的提供商是否提供资源锁定、删除保护或类似的安全保障，并现在就开启，而不是等到事件发生后再开启。审查谁对你的账户拥有管理访问权限，以及该访问权限是否确实必要。确认备份存储在拥有账户访问权限的攻击者也无法触及和删除的地方，因为干扰备份正是此次攻击中观察到的模式之一。这些步骤都不需要高级技术技能，只需要愿意在危机迫使你面对之前花几分钟进行配置。

关键要点

这起事件是一个明确的信号，表明云安全正在转向一种模式：准备工作比反应时间更重要。一次AI勒索软件攻击在七分钟内清空100个Azure账户，一旦开始就不存在人工干预的现实空间。避免了完全损失的组织是那些事先已经锁定了关键资源的组织。

对于任何管理云基础设施的人来说，无论是个人还是专业用途，可操作的步骤都很直接：今天就启用资源锁定或同等保护，定期审查账户权限，并确保备份与攻击者可能攻破的访问控制相隔离。当攻击能以如此速度推进时，等待警报触发已不再是一种可行的策略。