本发明给出了一种防御勒索病毒对主机文档二次加密的方法及系统，包括：当通过勒索防御手段触发勒索病毒告警并处置后，获取勒索病毒对应操作进程的信息，并将其加入黑名单；通过黑名单中的信息关联主机环境信息，对勒索病毒数据进行深度清理；主机系统重新启动后，启动文件感知程序，感知到存在修改文档的进程时，对修改进程所操作的文件进行筛查，并将具体操作信息与黑名单数据进行匹配分析，判断主机环境中是否存在残留的勒索病毒数据；若存在，则进行清理并写入黑名单，否则放行相应进程。本发明可对系统中残留的勒索病毒数据进行准确的定位和深度清理，并准确对重启后的主机进行防御，保证操作系统和主机文档不被勒索病毒二次破坏和修改。