信息來源:安全牛
阻止所有勒索軟件攻擊是不現(xiàn)實的。但在事件發(fā)生時阻止惡意軟件擴(kuò)散,防止影響業(yè)務(wù),避免成為登上新聞頭條的大事件,卻還是有可能的。
每個月有近 150 萬新的網(wǎng)絡(luò)釣魚站點創(chuàng)建。僅 2018 年一年就檢測到超過 8.5 億勒索軟件感染事件。這些統(tǒng)計數(shù)據(jù)表明了勒索軟件對每位 IT 從業(yè)者和各類公司企業(yè)所造成的威脅。
勒索軟件是惡意軟件的一種,通過加密計算機(jī)中的內(nèi)容,迫使用戶支付贖金以換取文件解密或機(jī)器解鎖。此類惡意軟件能夠暫停生產(chǎn),影響公司盈利。但是,安全人員可以采取果斷行動,最小化勒索軟件的影響。
有備無患,為防止攻擊者在企業(yè)網(wǎng)絡(luò)上建立立足點,公司企業(yè)應(yīng)設(shè)置以下措施:
(1) 最佳實踐:如健壯的補丁策略、定期系統(tǒng)備份、多因子身份驗證、應(yīng)用白名單和本地管理員權(quán)限限制。
(2) 意識項目:教育用戶網(wǎng)絡(luò)釣魚及其他形式社會工程的相關(guān)知識。
(3) 安全工具:提供垃圾郵件過濾、鏈接過濾、域名系統(tǒng)封鎖/過濾、病毒檢測和入侵檢測及防御。
(4) 零信任框架:識別、驗證和監(jiān)視每一個連接、登錄和資源使用。
(5) 最小權(quán)限策略:限制用戶安裝和執(zhí)行軟件應(yīng)用的權(quán)限。
最小化勒索軟件的影響,不僅僅是保護(hù)系統(tǒng)免受攻擊,還涉及在事件發(fā)生時采取行動以將影響限制在最小范圍內(nèi)。這一點非常關(guān)鍵,因為所有系統(tǒng)都可能被有充足時間和資源的攻擊者突破。
所以,必須安排堅實的事件響應(yīng) (IR) 項目。提前規(guī)劃能夠筑牢該 IR 能力的信心。為此,企業(yè)應(yīng)審查自身 IR 策略,并參與桌面推演。而且,企業(yè)還應(yīng)使用操作基準(zhǔn)來提升在事件發(fā)生前進(jìn)行響應(yīng)的能力。
黑客持續(xù)進(jìn)化,攻擊愈趨復(fù)雜。企業(yè)環(huán)境總有一天會被勒索軟件攻擊突破。當(dāng)這一切發(fā)生時,以下四招能幫您最小化影響并恢復(fù)企業(yè)數(shù)據(jù)。
招數(shù)一:隔離
在做任何事之前,首先確保將已感染設(shè)備移出網(wǎng)絡(luò)。如果是物理網(wǎng)絡(luò)連接,那就拔出網(wǎng)線。如果是無線連接,關(guān)閉無線路由器/無線集線器。同時,卸下所有直接掛載的存儲以拯救設(shè)備上的數(shù)據(jù)。這些措施的目標(biāo)都是防止感染擴(kuò)散。
招數(shù)二:識別
這招常被忽視。只需花費幾分鐘時間查清到底發(fā)生了什么,企業(yè)就可以獲悉重要的信息,比如感染了哪一種勒索軟件、哪些文件通常容易遭勒索軟件加密,以及解密的選項。企業(yè)還有可能學(xué)會如何在不支付贖金,或無需從頭恢復(fù)系統(tǒng)的情況下,挫敗勒索軟件。
招數(shù)三:報告
這是被很多安全人員無視的又一招數(shù),要么因為顏面無光,要么由于時間的限制。然而,通過報告勒索軟件攻擊,企業(yè)可以幫助其他公司避免類似的情況。而且,他們也可以向司法機(jī)構(gòu)提供對攻擊者更好的了解。報告勒索軟件攻擊的途徑有很多。在美國可以聯(lián)系當(dāng)?shù)?FBI 分支機(jī)構(gòu),或者注冊 FBI 的互聯(lián)網(wǎng)犯罪投訴中心網(wǎng)站提交報告。聯(lián)邦貿(mào)易委員會的 OnGuardOnline 網(wǎng)站和澳大利亞競爭與消費者委員會的 Scamwatch 同樣收集此類數(shù)據(jù)。
招數(shù)四:恢復(fù)
基本上,從勒索軟件攻擊中恢復(fù)有三個選項:
(1) 支付贖金:這個選項并不推薦,因為不保證企業(yè)在支付贖金之后能夠拿回數(shù)據(jù)。相反,攻擊者可能在解密數(shù)據(jù)前要求更多的錢。
(2) 清除勒索軟件:取決于所涉勒索軟件的類型,企業(yè)有可能在無需完全重建的情況下清除勒索軟件。但這個過程可能相當(dāng)耗時,所以也不是優(yōu)先考慮。
(3) 清理并重建:最簡單、最安全的恢復(fù)方法就是清理受感染系統(tǒng),從已知良好備份重建。重建后,公司企業(yè)需確保不留下勒索軟件的任何痕跡,防止再次被加密。一旦企業(yè)重建了環(huán)境,真正的工作就開始了。此時,企業(yè)需執(zhí)行完整的環(huán)境審查,弄清感染到底是怎么開始的,確定降低再被感染的可能性需采取什么措施。
將所有勒索軟件攻擊都擋在門外是不可能的。但在事件發(fā)生時阻止惡意軟件擴(kuò)散,防止影響業(yè)務(wù),避免成為登上新聞頭條的大事件,卻還是有可能的。
通過運用動態(tài)隔離、微分隔和其他現(xiàn)代網(wǎng)絡(luò)安全技術(shù),擋住大部分攻擊,并快速應(yīng)對闖進(jìn)來的惡意黑客,公司企業(yè)將能保持業(yè)務(wù)正常運轉(zhuǎn),達(dá)成企業(yè)盈利目標(biāo)。