近日,安全牛發(fā)布了《勒索攻擊防護技術(shù)應(yīng)用指南(2024版)》,綠盟科技以其在勒索攻擊防護方向深厚的沉淀,入選2024年度勒索攻擊防護技術(shù)領(lǐng)域十大代表性廠商。
隨著數(shù)字中國的深入推進,公共數(shù)據(jù)、企業(yè)數(shù)據(jù)、個人數(shù)據(jù)的應(yīng)用價值越來越高,針對網(wǎng)絡(luò)、信息、數(shù)據(jù)的攻擊層出不窮,給網(wǎng)絡(luò)空間安全帶來極大的威脅。2023年勒索攻擊數(shù)量增加73%,贖金總額高達11億美金以上,已成為造成的損失最高的網(wǎng)絡(luò)犯罪之一。
勒索病毒攻擊防護綜合解決方案
綠盟科技《勒索病毒攻擊防護綜合解決方案》以其科學(xué)合理、行之有效的勒索攻擊防護獲得業(yè)界認可?？偨Y(jié)形成了全方位監(jiān)控采集、自適應(yīng)協(xié)同分析、自動化編排響應(yīng)、全流程管理協(xié)同的全天候、全方位、全場景的方案。特別是方案中提出事前風(fēng)險排查、事中應(yīng)急處置、事后清除威脅的三大模塊九大核心能力,得到了業(yè)界專家和服務(wù)客戶的一致認可。
*勒索病毒攻擊防護綜合解決方案
事前風(fēng)險排查
核心能力1:勒索攻擊快速預(yù)警
從勒索攻擊的視角出發(fā),關(guān)注攻擊事前、攻擊事中、攻擊事后,做到事前應(yīng)對勒索、提前感知,最大限度地降低風(fēng)險的發(fā)生概率:
勒索威脅情報服務(wù)
在勒索情報平臺感知范圍內(nèi)的客戶風(fēng)險預(yù)警,實時、精準(zhǔn)。
勒索攻擊性技術(shù)(藍軍)情報訂閱服務(wù)
提供在野組織技戰(zhàn)術(shù)情報,為客戶藍軍提供技戰(zhàn)術(shù)指導(dǎo),幫助客戶提升攻防演練作戰(zhàn)能力,同時促進客戶更有效地完成威脅模擬和驗證,輔助確定風(fēng)險和威脅的優(yōu)先級。
核心能力2:勒索防護專項評估
邊界防護評估
重點檢查邊界區(qū)域雙向安全防御策略;邊界場景目前主要評測的常見安全設(shè)備包括NF、 WAF,IPS 等。
內(nèi)網(wǎng)滲透評估
從客戶內(nèi)部網(wǎng)絡(luò)的計算機 A 模擬攻擊計算機 B,即東西方向的網(wǎng)絡(luò)模擬攻擊,內(nèi)網(wǎng)評估場景目前主要評測檢測類安全產(chǎn)品,包括UTS, IDS,旁路的 IPS, WAF 等。
終端加固評估
自動化BAS設(shè)備會模擬攻擊終端設(shè)備,檢查終端安全軟件是否可以防御和檢測惡意軟件和基于行為的攻擊。終端場景目前主要評估終端安全類產(chǎn)品如EDR、EPP等。
勒索攻擊模擬評估
內(nèi)置常見勒索攻擊用例和場景,支持對域名解析、勒索病毒落盤、勒索病毒執(zhí)行、模擬執(zhí)行等場景開展模擬驗證,可以自定義選擇攻擊節(jié)點和目標(biāo)節(jié)點、進行各種組合測試,以達到靈活驗證。
核心能力3:常態(tài)化勒索攻擊演練
以演代練、以練促防,助力防勒索安全建設(shè)。
場景設(shè)計
演練方案,明確演練場景類型、演練目的、描述。
演練組織架構(gòu)
演練小組(攻擊小組、應(yīng)急小組、檢測運維人員、業(yè)務(wù)部門、監(jiān)管方、安全企業(yè))。
演練流程
明確參與主體,結(jié)合安全預(yù)案梳理處置流程。
演練配套
演練涉及資產(chǎn)準(zhǔn)備、演練工具準(zhǔn)備(防護軟件、攻擊工具等)、演練涉及環(huán)境準(zhǔn)備。
演練場景
事件發(fā)生前、勒索事件發(fā)生、應(yīng)急排查、故障恢復(fù)、演練上報、總結(jié)完善。
二、事中應(yīng)急處置
核心能力4:勒索攻擊應(yīng)急響應(yīng)
針對已經(jīng)發(fā)生的勒索攻擊,第一時間開展勒索攻擊應(yīng)急響應(yīng)處置,進行應(yīng)急響應(yīng)服務(wù)。包括:
初始響應(yīng)階段
勒索軟件的確認-通知高層管理者-通知法務(wù)團隊-啟動網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)。
遏制階段
識別受影響的主機-隔離受影響的主機-重置受影響的主機。
分析階段
通過保存證據(jù)、識別勒索軟件家族信息、確定攻擊手段&感染途徑,進行全面地分析。
補救措施階段
將威脅指標(biāo)添加到管理平臺,運行防病毒防惡意軟件掃描,修復(fù)已知漏洞,根除勒索病毒。
恢復(fù)階段
將受感染的主機恢復(fù)到良好狀態(tài),通過備份恢復(fù)數(shù)據(jù)和策略配置。
最后,進行事件復(fù)盤。
核心能力5:勒索病毒隔離阻斷
勒索攻擊最主要的一個環(huán)節(jié),就是終端側(cè)的攻擊。綠盟一體化終端安全管理系統(tǒng)(NSFOCUS Unified Endpoint Security Management System, 簡稱UES)依托綠盟自主研發(fā)的終端異常行為分析引擎及高效精準(zhǔn)的威脅情報數(shù)據(jù),可有效檢測APT攻擊、勒索挖礦、僵木蠕、0Day漏洞等已知和未知威脅場景,同時提供快速響應(yīng)措施阻斷威脅蔓延,做好端側(cè)實時有效的防護,防止勒索病毒的擴散。
Step1-“開門”
黑客攻擊主機,設(shè)置 SSH后門來保持持久訪問。充分應(yīng)用 UES 網(wǎng)絡(luò)威脅模型,是從網(wǎng)絡(luò)安全角度檢測主機安全,當(dāng)前支持暴力破解,對主流破解方式如 SSH、RDP、SMB等可進行監(jiān)控和發(fā)現(xiàn),可區(qū)分出破解成功和持續(xù)破解等狀態(tài)。提供持久化后門監(jiān)測能力,對攻擊者發(fā)起的反彈shell行為可提供檢測及有效阻止。
Step2-“錨準(zhǔn)”
執(zhí)行powershell命令進行資產(chǎn)掃描,確定攻擊目標(biāo)。UES具有惡意樣本檢出功能。當(dāng)前支持檢測惡意程序、釣魚程序、黑客程序、Powershell、Webshell、挖礦程序等。
Step3-“投毒”
利用命令和控制以及遠程監(jiān)控和管理軟件,將文件推送到受感染的主機。UES勒索防護模型,對已知勒索病毒特征及家族進行準(zhǔn)確識別,對未知勒索病毒通過主機行為分析+動態(tài)誘捕能力作為主動防御技術(shù),采用部署誘餌文件,檢測惡意程序加密誘餌文件這個行為特征來判斷勒索行為。
Step4-“篡位”
禁用和卸載安全解決方案以及從web瀏覽器和本地安全系統(tǒng)服務(wù)進行權(quán)限升級。UES具有檢測主機異常行為的功能,從惡意程序運行時所產(chǎn)生特征(當(dāng)前進程名、進程命令行、父進程、注冊表行為)等特征發(fā)現(xiàn)惡意操作。
Step5-“感染”
通過橫向移動、數(shù)據(jù)滲透和勒索軟件部署實現(xiàn)其他主機失陷,攻陷企業(yè)內(nèi)網(wǎng)?；诹阈湃卫砟?采用智能自適應(yīng)算法模型確定微隔離策略,對主機的入棧和出棧流量進行控制和審計,從而可以減少終端對外暴漏面,并可有效防止攻擊的東西向擴散。
核心能力6:勒索病毒持續(xù)監(jiān)控
從全局態(tài)勢出發(fā),基于機器學(xué)習(xí)和安全事件分析模型,實時分析上報的安全數(shù)據(jù),預(yù)測網(wǎng)絡(luò)中存在的安全隱患/重大風(fēng)險并以可視化方式呈現(xiàn),及時幫助客戶識別勒索攻擊并采取措施;多維度展示威脅事件、風(fēng)險終端、攻擊鏈、資產(chǎn)等統(tǒng)計信息,方便管理員日常管理。
三、事后清除威脅
核心能力7:數(shù)據(jù)恢復(fù)消除影響
數(shù)據(jù)加密是保護數(shù)據(jù)安全的通用做法,設(shè)置4種加密模式,可支持各類應(yīng)用場景。強制加密:基于進程和文件類型的關(guān)系規(guī)則設(shè)置加密策略,可對所有文件強制加密保護,并且加解密過程無感知。智能加密:根據(jù)文件類型、文件屬性、文件大小、文件內(nèi)容制定識別規(guī)則,結(jié)合加密技術(shù)達到對重要數(shù)據(jù)的精準(zhǔn)保護。明密結(jié)合:在保障核心數(shù)據(jù)全程加密的情況下(打開、編輯、另存等依然處于加密狀態(tài)),允許一般數(shù)據(jù)明文存儲(新建、編輯、保存等依然為明文)。按需加密:人可授權(quán)部分人員主動加密能力,對自主判斷需要加密的數(shù)據(jù)進行加密處理。實現(xiàn)數(shù)據(jù)安全和靈活應(yīng)用的完美結(jié)合。
在加密數(shù)據(jù)的同時,提供本地備份、遠程備份和多版本備份能力,識別并防止被勒索病毒感染加密的文件覆蓋正常的文件備份。面對雙重勒索,無懼數(shù)據(jù)泄露風(fēng)險,同時實現(xiàn)快速還原恢復(fù)數(shù)據(jù),消除數(shù)據(jù)勒索影響。
核心能力8:勒索攻擊溯源取證
在端點側(cè)全面記錄事件活動軌跡,關(guān)聯(lián)事件的主機、惡意進程、進程文件的子/父級進程、進程運行時間、詳細路徑、安全屬性、網(wǎng)絡(luò)訪問關(guān)系、相互調(diào)用關(guān)系多角度分析,迅速定位失陷主機并還原事件發(fā)生過程,形成完整事件證據(jù)鏈并構(gòu)建完整威脅場景進行立體呈現(xiàn)。
核心能力9:啟動勒索保險理賠
以風(fēng)險共擔(dān)的理念,與保險公司合作,創(chuàng)新性地推出了數(shù)據(jù)勒索保險。通過完整的保險采購、保險理賠與全生命周期的服務(wù)流程,確保勒索攻擊防護的實時有效。
采購流程
1)銷售 “保險+風(fēng)險管控+服務(wù)”解決方案。
2)提供等級保護測評報告。
3)提供風(fēng)險評估服務(wù)。
4)輸出量化風(fēng)險數(shù)據(jù)。
5)確認保費簽訂保單。
保險流程
核保階段-承保階段-理賠階段。
服務(wù)流程
包括事前識別與降低、事中監(jiān)控與發(fā)現(xiàn)、事后響應(yīng)與補償。
