九游老哥云
500万的勒索赎金预算，批照旧不批？
2021-02-03
又到了一年一度做企业预算的时刻，今年，小W遇到了一个难题 。作为一家大型制造企业的IT认真人，小W在2021年的预算表中增添了一项500万元的“勒索咨询服务费”，用途备注是勒索赎金 。以往，这笔这项预算历来没有过 。向导怎么想，会不会被驳回，小W心里打鼓 。
设置这笔预算费的是有配景缘故原由的：2020年，公司遇到了勒索事务，生产线瘫痪了2周，并且为此支付了400万 。虽然勒索事务爆发后，做了简朴的加固，可是生产线上的工业控制主机，并没有完全升级，尚有被攻击的危害 。这笔预算的目的，是为了再次遇到勒索事务时有所准备 。
据九游老哥科技宣布的《2020互联网清静事务视察报告》中指出，2020年清静事务主要有如下几类：误差类、勒索软件、信息泄露、工控攻击事务及恶意软件 。其中，勒索软件事务占整年网络攻击的四分之一，最高勒索赎金超4000w美金 。
勒索软件生长趋势
勒索软件有三个生长趋势 。第一个趋势是勒索软件的APT化 。APT是高级一连性威胁的英文缩写，高级是指攻击手法高级，一连指的是攻击时间长 。三年前，WannaCry大规模的蠕虫勒索软件，只是通过微软操作系统的误差撒播，并未体现出高级一连性的特点 。近年来，勒索软件有针对性的找攻击目的，破费更长的时间攻击渗透，不达目的不撒手 。
图中是微软对几种勒索软件的一个剖析图，可见整个勒索软件攻击历程包括初始探测、获取密码、横向移动、一连保存、释放恶意代码、实现对文件的加密 。此图可以和ATT&CK的攻击手段做映射，侧面反应了勒索软件攻击的重大性，长期性 。
图：微软-勒索软件攻击链
第二个趋势，在加密勒索基础上，数据走漏勒索增添 。原来勒索软件加密文件，不给赎金，勒索不给解密密钥 。现在的勒索软件团伙，不但仅是加密数据，还会偷窃数据 。勒索团伙的目的很明确，就是索取赎金 。若是不给赎金，他会使用把数据放到暗网售卖的方法举行威胁，数据走漏勒索方法逐渐增添 。
第三个趋势，勒索软件对制造企业的攻击成增添趋势 。其中缘故原由包括两点：一是制造型企业的清静防护不到位，许多工业控制主机的系统，较量老旧，容易击破；二是制造型企业支付赎金的意愿比其他行业高 。制造型企业的生产线一旦受到影响，日均损失将相当严重 。为了镌汰歇工停产的影响，制造企业不得已选择支付赎金，尽快恢复生产，镌汰损失 。
勒索软件入侵途径
勒索软件的入侵有多个途径，以RDP暴力破解、垂纶邮件和软件误差为主要方法 。2020年头，由于新冠疫情缘故原由，远程办公成为主要的办公方法，远程桌面和VPN的普遍使用，让众多装备袒露在互联网上 。系统若是未接纳双因素认证（2FA），就有可能被暴力破解攻击 。
图：COVEWARE-勒索软件攻击方法
第二大类型是垂纶邮件，也叫做鱼叉攻击 。邮件中有URL链接，或者附件保存恶意代码，一旦不小心翻开装备就会熏染 。
第三大类型是互联网上开放的系统或者软件保存误差 。攻击者通过定向扫描，或者盘问果真的网络威胁情报举行踩点，发明保存误差的系统，实验攻击，进入后再横向移动，逐步控制整个系统，再睁开数据窃取和勒索加密的操作 。
勒索软件清静解决计划
针对勒索软件的入侵方法，简单的产品不可阻止勒索软件的入侵 。需要综合的系统的解决计划 。九游老哥科技推出“三阶六步”的解决计划对抗勒索软件 。“三阶”是指事前、事中、事后三个阶段，“六步”指的是事前做好准备、备份和防护，事中做检测缓和解，事后做响应和还原六个办法 。
事前：准备和防护
事前的准备和防护是最主要的办法 。防护需要围绕着勒索软件的初始进入来睁开 。在终端、网络、邮件等系统上，安排防护和过滤清静步伐 。并且，在提高员工意识培训，数据备份，应急响应等角度做充分的准备事情 。
1）镌汰互联网袒露面，按期清静误差检查和加固，实时更新系统和应用补丁 。需要检查袒露在互联网上装备清单，这些系统开放端口和应用的误差情形，做到非须要不开放，开放的服务需要多因素认证（MFA），并且包管系统和应用的版本最新 。关于远程办公场景，在家办工的员工，需要会见公司或者云端的应用，可以思量零信托清静解决计划；
2）安排终端清静产品 。终端防病毒系统，EDR软件等；
3）安排邮件过滤产品 。过滤垃圾邮件，垂纶邮件，关于高级一连威胁，思量安排邮件沙箱产品，检测和过滤鱼叉邮件，过滤伪装的未知威胁的附件；
4）企业按期组织清静意识培训；
5）准备勒索应急响应流程，提前计齐整旦泛起勒索病毒事务的缓解步伐和营业恢复流程；
6）数据备份 。备份坚持“3-2-1”原则，即有3份备份，漫衍在2个地方，并且1个是离线的备份 。在线的备份系统，阻止使用CIFS或者NFS等简朴网络共享协议，阻止勒索软件加密备份系统上的数据 。对备份系统也需要格外�；�，避免攻击者删除备份数据 。
事中：检测缓和解
事中阶段指的是，一旦勒索软件进入企业网络系统，若是能在第一时间发明，也可以阻止更大的损失 。对熏染的主机，需要实时隔离，阻止勒索软件熏染更多的主机 。这个阶段使用终端安排EDR，网络层面安排NDR、NTA等检测系统，加上威胁情报输入，能够实时发明入侵的蛛丝马迹，隔离受影响主机 。同时，SOAR的计划，在威胁剖析的基础上自动的执行隔离切断操作 。
事后：响应和还原
在事后阶段，要举行应急响应和营业恢复 。凭证事前做的应急响应流程，凭证办法开展事情 。调研“零号病人”，即最初被熏染的是哪台装备，遭到什么方法入侵，熏染的是哪种类型的勒索软件以及熏染的规模等 。事后视察的目的，是为了不再泛起勒索事务 。
当下的勒索软件，与之前的WannaCry勒索相比，有了很大的转变 。勒索软件威胁，使用了系统误差、密码偷窃、数据走漏等高级一连性的特点 。这要求企业网络清静认真人，转变头脑，重视勒索软件危害 。参考九游老哥科技“三阶六步”的整体防御、纵深防御思绪，在事前阶段，围绕阻断勒索软件的初始渗透路径上做好防护，以“3-2-1”原则举行数据备份，提防于未然，有用消除勒索软件危害 。
参考文章：
1. 《2020互联网清静事务视察报告》--九游老哥科技
2. 微软：镌汰勒索软件的危害
https://www.microsoft.com/security/blog/2020/04/28/ransomware-groups-continue-to-target-healthcare-critical-services-heres-how-to-reduce-risk/
3. COVEWARE：2020年Q3勒索软件统计报告
https://www.coveware.com/blog/q3-2020-ransomware-marketplace-report
