一、 勒索病毒已成當(dāng)前網(wǎng)絡(luò)安全的主要危害
勒索病毒最早可追溯到1989年，隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展。眾所周知，2017年爆發(fā)的勒索病毒W(wǎng)annaCry“永恒之藍(lán)”在世界范圍內(nèi)爆發(fā)，僅僅一天的時間就有242.3萬個IP地址遭受該病毒攻擊，近3.5萬個IP地址被該勒索軟件感染，其中我國境內(nèi)受影響IP約1.8萬個。高校、醫(yī)院、政府、企業(yè)等單位為主的網(wǎng)絡(luò)大范圍癱瘓。臺灣、北京、上海、江蘇、天津等地成為受災(zāi)重區(qū)。隨后，在移動端發(fā)現(xiàn)大量“WannaCry”勒索病毒變種。近年來勒索病毒仍在持續(xù)演變，索軟件不斷擴大的市場規(guī)模催生了新的盈利模式，同時出現(xiàn)了大量以售賣勒索軟件為主要營生的黑灰產(chǎn)業(yè)，現(xiàn)已公認(rèn)勒索病毒是危害全球網(wǎng)絡(luò)安全的最主要因素之一。2022年國內(nèi)勒索安全大事件如下：
² 重慶某醫(yī)院服務(wù)器感染Phobos勒索軟件
² 廣東某企業(yè)多臺主機同時感染Hive和Buran勒索軟件
² 浙江某運營商遭TellYouThePass勒索病毒攻擊
² 浙江某企業(yè)遭Mallox勒索病毒攻擊
² 浙江某高校辦公終端感染Coffee勒索軟件
² 安徽省某企業(yè)服務(wù)器感染TellYouThePass勒索軟件
² 廣東省某企業(yè)多臺服務(wù)器感染Phobos勒索軟件
² 微軟Exchange服務(wù)器被攻擊用于部署Cuba勒索軟件
² 深圳某醫(yī)療行業(yè)單位辦公終端感染TargetCompany勒索軟件
二、 勒索病毒感染特性
1. 中毒癥狀明顯
受感染電腦將被病毒鎖定，電腦中包括照片、文檔、音視頻在內(nèi)的幾乎所有文件將被加密，并彈出一個警告界面,大致意思是，你的文件已經(jīng)被鎖，如果想解除，那么需要你支付比特幣可解鎖，否則7天后將永久無法恢復(fù)。
2. 傳播方式多樣
² RDP爆破：黑客可采用RDP爆破內(nèi)網(wǎng)中某一臺終端，成功獲取該主機的控制權(quán)；然后散播勒索病毒。
² 垃圾郵件：向目標(biāo)用戶郵箱廣播發(fā)送垃圾郵件，附加惡意鏈接或郵件附件，用戶通過word宏等加載powershell加載。
² 網(wǎng)站掛馬：感染相關(guān)網(wǎng)站，讓訪問用戶下載捆綁有惡意程序的軟件。
² 漏洞攻擊：利用操作系統(tǒng)或應(yīng)用軟件等漏洞，通過無文件方式powershell、JS、VBS等腳本釋放加載。
² 惡意下載器下載：通過系統(tǒng)激活工具等常見流行工具中內(nèi)置的下載器下載勒索病毒并傳播。
² U盤感染：U盤隨意使用，內(nèi)外網(wǎng)混用等，易于傳播病毒。
3. 病毒變種頻繁
自勒索病毒爆發(fā)至今，圍繞TargetCompany、Phobos、TellYouThePass、BadRabbit、GlobeImposter等10多個典型病毒家族，至少已衍生上百種勒索病毒變種，并在病毒產(chǎn)業(yè)化的誘導(dǎo)下，繼續(xù)以驚人的速度衍生新的變種。
4. 加密算法難解
在大多數(shù)的感染勒索病毒案例中，想恢復(fù)被加密的數(shù)據(jù)是非常非常困難的。由于大多數(shù)加密的密鑰基本上都采用了非對稱的算法，使用公鑰加密，私鑰解密，根本不可逆向解密，必須拿到攻擊者手中對應(yīng)的解密私鑰才有可能無損還原被加密文件。黑客正是通過這樣的行為向受害用戶勒索高昂的贖金，這些贖金必須通過數(shù)字貨幣支付，一般無法溯源，因此危害巨大。
三、 勒索病毒攻擊過程分析
所謂知己知彼，方能百戰(zhàn)不殆。想要做好勒索病毒防范首先需了解勒索病毒攻擊全過程。通過與絕大多數(shù)勒索病毒的常見攻擊方式相比，可將勒索病毒的攻擊行為簡化為5個階段：
² 第一階段-偵查目標(biāo)：偵查目標(biāo)，充分利用社會工程學(xué)了解目標(biāo)網(wǎng)絡(luò)。
² 第二階段-傳送工具：主要是指制作定向攻擊工具,利用包括含有惡意代碼的垃圾郵件、網(wǎng)站掛馬、惡意腳本等方式，將勒索病毒輸送到目標(biāo)系統(tǒng)中。
² 第三階段-觸發(fā)病毒：在目標(biāo)系統(tǒng)中，觸發(fā)勒索病毒執(zhí)行。
² 第四階段-執(zhí)行加密：勒索病毒執(zhí)行加密行為，加密系統(tǒng)中的照片、文檔、視頻等信息資源。
² 第五階段-橫向轉(zhuǎn)移：勒索病毒潛入內(nèi)網(wǎng)并將其作為跳板，肆無忌憚的在內(nèi)部橫向流竄，對企業(yè)造成極大的安全威脅。
四、 北信源EDR一站式勒索防護(hù)方案
北信源作為國內(nèi)終端安全領(lǐng)軍企業(yè)，憑借多年終端安全經(jīng)驗，全新打造北信源主機安全檢測響應(yīng)系統(tǒng)（EDR）安全產(chǎn)品。通過對多種勒索傳播事件分析，形成專項勒索解決方案，一站式解決用戶困境，形成勒索病毒防護(hù)閉環(huán)。其中包括對勒索病毒的風(fēng)險識別能力、安全防御能力、安全檢測能力、安全響應(yīng)能力，最終實現(xiàn)風(fēng)險可視化、防御主動化、響應(yīng)自動化的安全目標(biāo)，全方位保障用戶的業(yè)務(wù)安全。
1. 減少暴露面
在勒索攻擊發(fā)生前，需要整體梳理、實時定位內(nèi)網(wǎng)風(fēng)險，減少暴露面，全面防護(hù)端口掃描、漏洞利用、暴力破解等多種攻擊手段，阻止病毒病毒進(jìn)入內(nèi)網(wǎng)。
² 提升口令安全性
北信源EDR對終端的密碼管理權(quán)限變化及使用狀況（包括密碼長度、安全性、弱口令等方面）進(jìn)行安全檢查及報警，同時對不符合要求的終端進(jìn)行提示或強制修改，能夠防止弱口令出現(xiàn)。
² 高危漏洞檢測與修復(fù)
北信源EDR為用戶提供強大的漏洞檢測、補丁分發(fā)等安全功能。用戶可全面檢測終端補丁的安裝狀況，并對沒有安裝補丁的設(shè)備進(jìn)行遠(yuǎn)程補丁安裝,可將最新補丁升級包及時分發(fā)到終端計算機，并提示安裝修補，防止勒索病毒通過漏洞入侵系統(tǒng)。
² 關(guān)閉高危端口
北信源EDR提供高危端口檢測能力，幫助用戶時刻關(guān)注自身主機對外開放的端口情況，避免一些高危端口開放。
2. 已知勒索主動出擊
明確資產(chǎn)潛在脆弱性，并對其不斷修繕，是勒索病毒防護(hù)的第一道屏障，在此基礎(chǔ)上北信源EDR更進(jìn)了一步，能夠?qū)账鞑《局鲃映鰮簟?/p>
² 勒索病毒專項查殺
北信源EDR搭載反勒索殺毒引擎，對勒索行為進(jìn)行分析和預(yù)判，發(fā)現(xiàn)勒索病毒后第一時間攔截勒索軟件對文件的加密和破壞行為，保護(hù)數(shù)據(jù)安全，同時反勒索殺毒引擎為用戶建立文件墻，保護(hù)重要文件不被篡改和破壞，做到事中防護(hù)。
² 勒索病毒主動防護(hù)
結(jié)合勒索病毒行為特征，北信源EDR在客戶端內(nèi)置針對勒索病毒的檢測分析模型，基于人工智能引擎，可實時發(fā)現(xiàn)并中止勒索病毒行為。
² 阻斷橫向移動途徑
經(jīng)過層層防御可能也無法絕對避免勒索病毒的感染，北信源EDR設(shè)置有微隔離功能，可對不同業(yè)務(wù)系統(tǒng)、不同部門、不同角色、不同終端進(jìn)行細(xì)粒度的安全隔離與訪問控制，以防勒索病毒進(jìn)入內(nèi)網(wǎng)后進(jìn)行擴散，將勒索病毒可能造成的危害最小化。
3. 疑似勒索精準(zhǔn)定位
北信源EDR內(nèi)置大數(shù)據(jù)分析平臺，可采集終端進(jìn)程動態(tài)、網(wǎng)絡(luò)訪問記錄、注冊表修改、DNS請求等多維度信息，結(jié)合ATT&CK技術(shù)框架對終端發(fā)生的高危行為快速關(guān)聯(lián)識別。針對未知的勒索病毒，行為分析既可以對漏洞利用、遠(yuǎn)程控制等不觸發(fā)殺毒軟件的攻擊方法進(jìn)行研判，又可以對勒索病毒落地后的行為進(jìn)行分析，能夠第一時間發(fā)現(xiàn)病毒落地后的危險行為并進(jìn)行追蹤。
² IOC威脅情報
北信源EDR內(nèi)置千萬數(shù)據(jù)量級威脅情報庫，結(jié)合終端實時上報的文件、網(wǎng)絡(luò)、進(jìn)程等采集點信息，實現(xiàn)外部情報與本地行為信息的命中匹配，對勒索病毒快速精準(zhǔn)定位并進(jìn)行威脅溯源和線索擴展；
² 勒索病毒誘餌
通過在內(nèi)網(wǎng)資產(chǎn)操作系統(tǒng)的關(guān)鍵目錄中插入誘餌文件，捕獲勒索病毒加密行為，一旦發(fā)現(xiàn)誘餌文件發(fā)生被加密操作，立即反向定位勒索病毒進(jìn)程，并進(jìn)行終端告警、中止該進(jìn)程；
4. 勒索行為立體溯源
采用大數(shù)據(jù)分析架構(gòu)，通過采集終端進(jìn)程信息、文件操作日志、內(nèi)網(wǎng)安全流量等數(shù)據(jù)進(jìn)行融合聯(lián)動分析，輔助用戶對安全風(fēng)險、勒索事件精準(zhǔn)定位，發(fā)現(xiàn)網(wǎng)內(nèi)失陷主機并進(jìn)行反向溯源，找尋威脅的來龍去脈，讓勒索病毒無處遁形。
5. 應(yīng)急響應(yīng)處置聯(lián)動
北信源EDR提供應(yīng)急響應(yīng)模型，當(dāng)平臺發(fā)現(xiàn)內(nèi)網(wǎng)終端有疑似勒索行為時，可將攻擊過程立體展現(xiàn)，輔助用戶進(jìn)行威脅追蹤。平臺內(nèi)置多種響應(yīng)能力，包括核心位置防御、虛擬補丁、惡意行為阻斷、勒索病毒誘捕、黑客入侵?jǐn)r截等。供用戶在發(fā)現(xiàn)勒索病毒入侵后，在各階段進(jìn)行響應(yīng)處置。
目前，北信源EDR已經(jīng)通過了中國信通院的測評，是第一批入圍的廠家。未來，北信源還將不斷探索維護(hù)網(wǎng)絡(luò)信息安全的有效措施，共同為國家互聯(lián)網(wǎng)安全提供有力支撐。
數(shù)字化轉(zhuǎn)型時代 北信源完善布局 提供更安全、智能、便捷的產(chǎn)品及服務(wù)
北信源作為國內(nèi)終端安全管理領(lǐng)域龍頭企業(yè)，國內(nèi)網(wǎng)絡(luò)與信息安全領(lǐng)域領(lǐng)先的解決方案提供商，26年來持續(xù)深耕網(wǎng)絡(luò)安全領(lǐng)域，截至2021年年底，北信源已在全國近30個省市構(gòu)建了營銷與服務(wù)網(wǎng)絡(luò)，目前已累計14年穩(wěn)居中國終端安全管理市場占有率第一。憑借自身優(yōu)秀的產(chǎn)品體系、強大的研發(fā)能力、完整的解決方案和良好的售后服務(wù)，北信源在全國范圍推進(jìn)了客戶覆蓋，目前客戶群已涵蓋90%以上的政府和行業(yè)部門，為我國的數(shù)千萬終端提供智能、完善的安全服務(wù)。
近年來，為應(yīng)對數(shù)字化轉(zhuǎn)型時代下網(wǎng)絡(luò)安全的新變化，北信源從終端殺毒、終端安全管控、數(shù)據(jù)安全向大數(shù)據(jù)安全、云安全、移動安全、工控安全、物聯(lián)網(wǎng)安全、智慧城市安全、國產(chǎn)化安全等方向全面拓展，致力于提供5G時代下更安全、更智能、更便捷的自主可控安全生態(tài)體系和軟硬件一體化全方位解決方案。去年9月，北信源正式入選第九屆CNCERT網(wǎng)絡(luò)安全應(yīng)急服務(wù)支撐單位，為國家互聯(lián)網(wǎng)應(yīng)急中心提供安全漏洞信息報送、網(wǎng)絡(luò)安全事件報送、重大安全事件響應(yīng)、專項支撐、交流培訓(xùn)等多個維度的應(yīng)急服務(wù)支撐。同年，北信源率先參與加入“關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)風(fēng)險治理框架體系”，并受邀入駐國家等級保護(hù)2.0與可信計算3.0攻關(guān)示范基地。此外，北信源陸續(xù)與華為、金山辦公、中移集成、麒麟軟件等達(dá)成合作，融合眾多信創(chuàng)平臺構(gòu)建完整生態(tài)鏈，合力打造信息技術(shù)應(yīng)用創(chuàng)新體系，為行業(yè)客戶和城市客戶提供安全可信的軟硬件一體化解決方案，提供更加全面、靈活的網(wǎng)絡(luò)安全保障。
未來，公司將持續(xù)以網(wǎng)絡(luò)安全為基礎(chǔ)，以“信息安全及信創(chuàng)、移動辦公及安全通訊應(yīng)用、智慧社區(qū)及健康醫(yī)療”三大格局作為依托，進(jìn)一步完善和提升終端安全體系防護(hù)能力，為政府、重要行業(yè)及廣大互聯(lián)網(wǎng)用戶提供更安全、更智能、更便捷的產(chǎn)品和服務(wù)，為我國信息技術(shù)安全可控和互聯(lián)網(wǎng)安全發(fā)展提供更強勁的動力，為數(shù)字經(jīng)濟保駕護(hù)航！
作者：趙勇
免責(zé)聲明：市場有風(fēng)險，選擇需謹(jǐn)慎！此文僅供參考，不作買賣依據(jù)。
