一、 勒索病毒已成當(dāng)前網(wǎng)絡(luò)安全的主要危害
勒索病毒最早可追溯到1989年，隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展。眾所周知，2017年爆發(fā)的勒索病毒W(wǎng)annaCry“永恒之藍(lán)”在世界范圍內(nèi)爆發(fā)，僅僅一天的時(shí)間就有242.3萬(wàn)個(gè)IP地址遭受該病毒攻擊，近3.5萬(wàn)個(gè)IP地址被該勒索軟件感染，其中我國(guó)境內(nèi)受影響IP約1.8萬(wàn)個(gè)。高校、醫(yī)院、政府、企業(yè)等單位為主的網(wǎng)絡(luò)大范圍癱瘓。臺(tái)灣、北京、上海、江蘇、天津等地成為受災(zāi)重區(qū)。隨后，在移動(dòng)端發(fā)現(xiàn)大量“WannaCry”勒索病毒變種。近年來(lái)勒索病毒仍在持續(xù)演變，索軟件不斷擴(kuò)大的市場(chǎng)規(guī)模催生了新的盈利模式，同時(shí)出現(xiàn)了大量以售賣勒索軟件為主要營(yíng)生的黑灰產(chǎn)業(yè)，現(xiàn)已公認(rèn)勒索病毒是危害全球網(wǎng)絡(luò)安全的最主要因素之一。2022年國(guó)內(nèi)勒索安全大事件如下：
² 重慶某醫(yī)院服務(wù)器感染Phobos勒索軟件
² 廣東某企業(yè)多臺(tái)主機(jī)同時(shí)感染Hive和Buran勒索軟件
² 浙江某運(yùn)營(yíng)商遭TellYouThePass勒索病毒攻擊
² 浙江某企業(yè)遭Mallox勒索病毒攻擊
² 浙江某高校辦公終端感染Coffee勒索軟件
² 安徽省某企業(yè)服務(wù)器感染TellYouThePass勒索軟件
² 廣東省某企業(yè)多臺(tái)服務(wù)器感染Phobos勒索軟件
² 微軟Exchange服務(wù)器被攻擊用于部署Cuba勒索軟件
² 深圳某醫(yī)療行業(yè)單位辦公終端感染TargetCompany勒索軟件
二、 勒索病毒感染特性
1. 中毒癥狀明顯
受感染電腦將被病毒鎖定，電腦中包括照片、文檔、音視頻在內(nèi)的幾乎所有文件將被加密，并彈出一個(gè)警告界面,大致意思是，你的文件已經(jīng)被鎖，如果想解除，那么需要你支付比特幣可解鎖，否則7天后將永久無(wú)法恢復(fù)。
2. 傳播方式多樣
² RDP爆破：黑客可采用RDP爆破內(nèi)網(wǎng)中某一臺(tái)終端，成功獲取該主機(jī)的控制權(quán)；然后散播勒索病毒。
² 垃圾郵件：向目標(biāo)用戶郵箱廣播發(fā)送垃圾郵件，附加惡意鏈接或郵件附件，用戶通過(guò)word宏等加載powershell加載。
² 網(wǎng)站掛馬：感染相關(guān)網(wǎng)站，讓訪問(wèn)用戶下載捆綁有惡意程序的軟件。
² 漏洞攻擊：利用操作系統(tǒng)或應(yīng)用軟件等漏洞，通過(guò)無(wú)文件方式powershell、JS、VBS等腳本釋放加載。
² 惡意下載器下載：通過(guò)系統(tǒng)激活工具等常見(jiàn)流行工具中內(nèi)置的下載器下載勒索病毒并傳播。
² U盤感染：U盤隨意使用，內(nèi)外網(wǎng)混用等，易于傳播病毒。
3. 病毒變種頻繁
自勒索病毒爆發(fā)至今，圍繞TargetCompany、Phobos、TellYouThePass、BadRabbit、GlobeImposter等10多個(gè)典型病毒家族，至少已衍生上百種勒索病毒變種，并在病毒產(chǎn)業(yè)化的誘導(dǎo)下，繼續(xù)以驚人的速度衍生新的變種。
4. 加密算法難解
在大多數(shù)的感染勒索病毒案例中，想恢復(fù)被加密的數(shù)據(jù)是非常非常困難的。由于大多數(shù)加密的密鑰基本上都采用了非對(duì)稱的算法，使用公鑰加密，私鑰解密，根本不可逆向解密，必須拿到攻擊者手中對(duì)應(yīng)的解密私鑰才有可能無(wú)損還原被加密文件。黑客正是通過(guò)這樣的行為向受害用戶勒索高昂的贖金，這些贖金必須通過(guò)數(shù)字貨幣支付，一般無(wú)法溯源，因此危害巨大。
三、 勒索病毒攻擊過(guò)程分析
所謂知己知彼，方能百戰(zhàn)不殆。想要做好勒索病毒防范首先需了解勒索病毒攻擊全過(guò)程。通過(guò)與絕大多數(shù)勒索病毒的常見(jiàn)攻擊方式相比，可將勒索病毒的攻擊行為簡(jiǎn)化為5個(gè)階段：
² 第一階段-偵查目標(biāo)：偵查目標(biāo)，充分利用社會(huì)工程學(xué)了解目標(biāo)網(wǎng)絡(luò)。
² 第二階段-傳送工具：主要是指制作定向攻擊工具,利用包括含有惡意代碼的垃圾郵件、網(wǎng)站掛馬、惡意腳本等方式，將勒索病毒輸送到目標(biāo)系統(tǒng)中。
² 第三階段-觸發(fā)病毒：在目標(biāo)系統(tǒng)中，觸發(fā)勒索病毒執(zhí)行。
² 第四階段-執(zhí)行加密：勒索病毒執(zhí)行加密行為，加密系統(tǒng)中的照片、文檔、視頻等信息資源。
² 第五階段-橫向轉(zhuǎn)移：勒索病毒潛入內(nèi)網(wǎng)并將其作為跳板，肆無(wú)忌憚的在內(nèi)部橫向流竄，對(duì)企業(yè)造成極大的安全威脅。
四、 北信源EDR一站式勒索防護(hù)方案
北信源作為國(guó)內(nèi)終端安全領(lǐng)軍企業(yè)，憑借多年終端安全經(jīng)驗(yàn)，全新打造北信源主機(jī)安全檢測(cè)響應(yīng)系統(tǒng)（EDR）安全產(chǎn)品。通過(guò)對(duì)多種勒索傳播事件分析，形成專項(xiàng)勒索解決方案，一站式解決用戶困境，形成勒索病毒防護(hù)閉環(huán)。其中包括對(duì)勒索病毒的風(fēng)險(xiǎn)識(shí)別能力、安全防御能力、安全檢測(cè)能力、安全響應(yīng)能力，最終實(shí)現(xiàn)風(fēng)險(xiǎn)可視化、防御主動(dòng)化、響應(yīng)自動(dòng)化的安全目標(biāo)，全方位保障用戶的業(yè)務(wù)安全。
1. 減少暴露面
在勒索攻擊發(fā)生前，需要整體梳理、實(shí)時(shí)定位內(nèi)網(wǎng)風(fēng)險(xiǎn)，減少暴露面，全面防護(hù)端口掃描、漏洞利用、暴力破解等多種攻擊手段，阻止病毒病毒進(jìn)入內(nèi)網(wǎng)。
² 提升口令安全性
北信源EDR對(duì)終端的密碼管理權(quán)限變化及使用狀況（包括密碼長(zhǎng)度、安全性、弱口令等方面）進(jìn)行安全檢查及報(bào)警，同時(shí)對(duì)不符合要求的終端進(jìn)行提示或強(qiáng)制修改，能夠防止弱口令出現(xiàn)。
² 高危漏洞檢測(cè)與修復(fù)
北信源EDR為用戶提供強(qiáng)大的漏洞檢測(cè)、補(bǔ)丁分發(fā)等安全功能。用戶可全面檢測(cè)終端補(bǔ)丁的安裝狀況，并對(duì)沒(méi)有安裝補(bǔ)丁的設(shè)備進(jìn)行遠(yuǎn)程補(bǔ)丁安裝,可將最新補(bǔ)丁升級(jí)包及時(shí)分發(fā)到終端計(jì)算機(jī)，并提示安裝修補(bǔ)，防止勒索病毒通過(guò)漏洞入侵系統(tǒng)。
² 關(guān)閉高危端口
北信源EDR提供高危端口檢測(cè)能力，幫助用戶時(shí)刻關(guān)注自身主機(jī)對(duì)外開(kāi)放的端口情況，避免一些高危端口開(kāi)放。
2. 已知勒索主動(dòng)出擊
明確資產(chǎn)潛在脆弱性，并對(duì)其不斷修繕，是勒索病毒防護(hù)的第一道屏障，在此基礎(chǔ)上北信源EDR更進(jìn)了一步，能夠?qū)账鞑《局鲃?dòng)出擊。
² 勒索病毒專項(xiàng)查殺
北信源EDR搭載反勒索殺毒引擎，對(duì)勒索行為進(jìn)行分析和預(yù)判，發(fā)現(xiàn)勒索病毒后第一時(shí)間攔截勒索軟件對(duì)文件的加密和破壞行為，保護(hù)數(shù)據(jù)安全，同時(shí)反勒索殺毒引擎為用戶建立文件墻，保護(hù)重要文件不被篡改和破壞，做到事中防護(hù)。
² 勒索病毒主動(dòng)防護(hù)
結(jié)合勒索病毒行為特征，北信源EDR在客戶端內(nèi)置針對(duì)勒索病毒的檢測(cè)分析模型，基于人工智能引擎，可實(shí)時(shí)發(fā)現(xiàn)并中止勒索病毒行為。
² 阻斷橫向移動(dòng)途徑
經(jīng)過(guò)層層防御可能也無(wú)法絕對(duì)避免勒索病毒的感染，北信源EDR設(shè)置有微隔離功能，可對(duì)不同業(yè)務(wù)系統(tǒng)、不同部門、不同角色、不同終端進(jìn)行細(xì)粒度的安全隔離與訪問(wèn)控制，以防勒索病毒進(jìn)入內(nèi)網(wǎng)后進(jìn)行擴(kuò)散，將勒索病毒可能造成的危害最小化。
3. 疑似勒索精準(zhǔn)定位
北信源EDR內(nèi)置大數(shù)據(jù)分析平臺(tái)，可采集終端進(jìn)程動(dòng)態(tài)、網(wǎng)絡(luò)訪問(wèn)記錄、注冊(cè)表修改、DNS請(qǐng)求等多維度信息，結(jié)合ATT&CK技術(shù)框架對(duì)終端發(fā)生的高危行為快速關(guān)聯(lián)識(shí)別。針對(duì)未知的勒索病毒，行為分析既可以對(duì)漏洞利用、遠(yuǎn)程控制等不觸發(fā)殺毒軟件的攻擊方法進(jìn)行研判，又可以對(duì)勒索病毒落地后的行為進(jìn)行分析，能夠第一時(shí)間發(fā)現(xiàn)病毒落地后的危險(xiǎn)行為并進(jìn)行追蹤。
² IOC威脅情報(bào)
北信源EDR內(nèi)置千萬(wàn)數(shù)據(jù)量級(jí)威脅情報(bào)庫(kù)，結(jié)合終端實(shí)時(shí)上報(bào)的文件、網(wǎng)絡(luò)、進(jìn)程等采集點(diǎn)信息，實(shí)現(xiàn)外部情報(bào)與本地行為信息的命中匹配，對(duì)勒索病毒快速精準(zhǔn)定位并進(jìn)行威脅溯源和線索擴(kuò)展；
² 勒索病毒誘餌
通過(guò)在內(nèi)網(wǎng)資產(chǎn)操作系統(tǒng)的關(guān)鍵目錄中插入誘餌文件，捕獲勒索病毒加密行為，一旦發(fā)現(xiàn)誘餌文件發(fā)生被加密操作，立即反向定位勒索病毒進(jìn)程，并進(jìn)行終端告警、中止該進(jìn)程；
4. 勒索行為立體溯源
采用大數(shù)據(jù)分析架構(gòu)，通過(guò)采集終端進(jìn)程信息、文件操作日志、內(nèi)網(wǎng)安全流量等數(shù)據(jù)進(jìn)行融合聯(lián)動(dòng)分析，輔助用戶對(duì)安全風(fēng)險(xiǎn)、勒索事件精準(zhǔn)定位，發(fā)現(xiàn)網(wǎng)內(nèi)失陷主機(jī)并進(jìn)行反向溯源，找尋威脅的來(lái)龍去脈，讓勒索病毒無(wú)處遁形。
5. 應(yīng)急響應(yīng)處置聯(lián)動(dòng)
北信源EDR提供應(yīng)急響應(yīng)模型，當(dāng)平臺(tái)發(fā)現(xiàn)內(nèi)網(wǎng)終端有疑似勒索行為時(shí)，可將攻擊過(guò)程立體展現(xiàn)，輔助用戶進(jìn)行威脅追蹤。平臺(tái)內(nèi)置多種響應(yīng)能力，包括核心位置防御、虛擬補(bǔ)丁、惡意行為阻斷、勒索病毒誘捕、黑客入侵?jǐn)r截等。供用戶在發(fā)現(xiàn)勒索病毒入侵后，在各階段進(jìn)行響應(yīng)處置。
目前，北信源EDR已經(jīng)通過(guò)了中國(guó)信通院的測(cè)評(píng)，是第一批入圍的廠家。未來(lái)，北信源還將不斷探索維護(hù)網(wǎng)絡(luò)信息安全的有效措施，共同為國(guó)家互聯(lián)網(wǎng)安全提供有力支撐。
數(shù)字化轉(zhuǎn)型時(shí)代 北信源完善布局 提供更安全、智能、便捷的產(chǎn)品及服務(wù)
北信源作為國(guó)內(nèi)終端安全管理領(lǐng)域龍頭企業(yè)，國(guó)內(nèi)網(wǎng)絡(luò)與信息安全領(lǐng)域領(lǐng)先的解決方案提供商，26年來(lái)持續(xù)深耕網(wǎng)絡(luò)安全領(lǐng)域，截至2021年年底，北信源已在全國(guó)近30個(gè)省市構(gòu)建了營(yíng)銷與服務(wù)網(wǎng)絡(luò)，目前已累計(jì)14年穩(wěn)居中國(guó)終端安全管理市場(chǎng)占有率第一。憑借自身優(yōu)秀的產(chǎn)品體系、強(qiáng)大的研發(fā)能力、完整的解決方案和良好的售后服務(wù)，北信源在全國(guó)范圍推進(jìn)了客戶覆蓋，目前客戶群已涵蓋90%以上的政府和行業(yè)部門，為我國(guó)的數(shù)千萬(wàn)終端提供智能、完善的安全服務(wù)。
近年來(lái)，為應(yīng)對(duì)數(shù)字化轉(zhuǎn)型時(shí)代下網(wǎng)絡(luò)安全的新變化，北信源從終端殺毒、終端安全管控、數(shù)據(jù)安全向大數(shù)據(jù)安全、云安全、移動(dòng)安全、工控安全、物聯(lián)網(wǎng)安全、智慧城市安全、國(guó)產(chǎn)化安全等方向全面拓展，致力于提供5G時(shí)代下更安全、更智能、更便捷的自主可控安全生態(tài)體系和軟硬件一體化全方位解決方案。去年9月，北信源正式入選第九屆CNCERT網(wǎng)絡(luò)安全應(yīng)急服務(wù)支撐單位，為國(guó)家互聯(lián)網(wǎng)應(yīng)急中心提供安全漏洞信息報(bào)送、網(wǎng)絡(luò)安全事件報(bào)送、重大安全事件響應(yīng)、專項(xiàng)支撐、交流培訓(xùn)等多個(gè)維度的應(yīng)急服務(wù)支撐。同年，北信源率先參與加入“關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)風(fēng)險(xiǎn)治理框架體系”，并受邀入駐國(guó)家等級(jí)保護(hù)2.0與可信計(jì)算3.0攻關(guān)示范基地。此外，北信源陸續(xù)與華為、金山辦公、中移集成、麒麟軟件等達(dá)成合作，融合眾多信創(chuàng)平臺(tái)構(gòu)建完整生態(tài)鏈，合力打造信息技術(shù)應(yīng)用創(chuàng)新體系，為行業(yè)客戶和城市客戶提供安全可信的軟硬件一體化解決方案，提供更加全面、靈活的網(wǎng)絡(luò)安全保障。
未來(lái)，公司將持續(xù)以網(wǎng)絡(luò)安全為基礎(chǔ)，以“信息安全及信創(chuàng)、移動(dòng)辦公及安全通訊應(yīng)用、智慧社區(qū)及健康醫(yī)療”三大格局作為依托，進(jìn)一步完善和提升終端安全體系防護(hù)能力，為政府、重要行業(yè)及廣大互聯(lián)網(wǎng)用戶提供更安全、更智能、更便捷的產(chǎn)品和服務(wù)，為我國(guó)信息技術(shù)安全可控和互聯(lián)網(wǎng)安全發(fā)展提供更強(qiáng)勁的動(dòng)力，為數(shù)字經(jīng)濟(jì)保駕護(hù)航！
作者：趙勇
免責(zé)聲明：市場(chǎng)有風(fēng)險(xiǎn)，選擇需謹(jǐn)慎！此文僅供參考，不作買賣依據(jù)。
關(guān)鍵詞：
