爱爱视频免费无码,亚洲一级特黄在线播放,免费特色三级片网址,日韩刁毛片免费播放

真情服務(wù)  厚德載物
今天是:
聯(lián)系我們

市場部:0564-3227239
技術(shù)部:0564-3227237
財務(wù)部: 0564-3227034
公司郵箱:lachs@126.com
技術(shù)郵箱:cc1982@163.com
地址:六安市淠望路103號

技術(shù)分類
推薦資訊
當(dāng)前位置:首 頁 > 技術(shù)中心 > 安全產(chǎn)品 > 查看信息
美國成品油管道公司已交贖金,勒索病毒怎么保障防得住?
作者:永辰科技  來源:深信服科技  發(fā)表時間:2021-5-26 19:25:10  點(diǎn)擊:1924

     最近,俄羅斯黑客 Darkside 搞了件大事。

這家去年8月才出道的“黑客新人”攻擊了美國最大成品油管道運(yùn)營公司,直接導(dǎo)致美國東海岸8800公里汽油輸送“大動脈”癱瘓,首都華盛頓和東部17州均受到嚴(yán)重影響,汽油期貨直接飆升至三年新高。據(jù)最新消息,該公司聲稱業(yè)務(wù)已恢復(fù)。

不過,據(jù)最新消息,5月13日,美國成品油管道運(yùn)營公司為此向黑客支付了500萬美元的贖金。

哪些行業(yè)會是勒索攻擊的高發(fā)地區(qū)?

根據(jù)深信服千里目安全實驗室發(fā)布的《2020勒索病毒年度報告》可知,如今網(wǎng)絡(luò)攻擊種類繁多,其中最令人恐懼的網(wǎng)絡(luò)攻擊之一便是勒索軟件(勒索病毒攻擊以防為主,目前大部分勒索病毒加密后的文件都無法解密)——通過加密主機(jī)數(shù)據(jù)文件從而勒索贖金的病毒程序。

各行業(yè)勒索病毒感染分布

各行業(yè)勒索病毒感染分布(圖源深信服千里目實驗室《2020年度勒索病毒報告》)

從行業(yè)來看,政企單位、科研教育、政府遭受的勒索攻擊最多,總占比接近3/4;由于這些行業(yè)的業(yè)務(wù)對數(shù)據(jù)文件依賴較大,安全防護(hù)薄弱,系統(tǒng)設(shè)施脆弱等因素,極易成為勒索病毒的主要攻擊目標(biāo)。

因此,深信服認(rèn)為有必要提供一個真實有效的安全解決方案,給予各行業(yè)一個清晰的防護(hù)思路,避免在遭遇勒索攻擊時造成無法挽回的損失。

打造一個全流程閉環(huán)的勒索防護(hù)解決方案迫在眉睫

深信服基于近1000個用戶的最佳實踐總結(jié)出勒索病毒的防護(hù)思路:在云網(wǎng)端的多層架構(gòu)下,針對勒索病毒在突破邊界、病毒投放、加密勒索、橫向傳播等各個環(huán)節(jié),實現(xiàn)實時攔截、快速查殺、多重監(jiān)測和有效處置,為客戶提供全方位的勒索防護(hù)能力。

在勒索病毒防護(hù)方面,深信服已有一套完整的安全解決方案。

勒索防護(hù)方案思路

勒索防護(hù)方案思路

具體而言,這套安全解決方案包含四個層次,即攔截——查殺——監(jiān)測——閉環(huán)處置。

一、攔截

攔截能力覆蓋發(fā)起勒索攻擊時和被勒索攻陷后,又細(xì)分為五個環(huán)節(jié),即勒索預(yù)防、勒索專項防護(hù)、慢速爆破防御、RDP 登錄二次攔截、進(jìn)程控制。

1、在勒索預(yù)防環(huán)節(jié),為確保終端安全性,必須安裝殺毒軟件、修復(fù)操作系統(tǒng)安全漏洞才能接入網(wǎng)絡(luò),減少終端中勒索病毒的風(fēng)險,可采用網(wǎng)絡(luò)準(zhǔn)入類產(chǎn)品,如深信服全網(wǎng)行為管理AC(以下簡稱深信服AC)建立終端入網(wǎng)安全基線。

2、在勒索專項防護(hù)環(huán)節(jié),由于漏洞修復(fù)成本極高導(dǎo)致內(nèi)網(wǎng)遺留大量未修復(fù)漏洞,給攻擊者預(yù)留了潛在的漏洞利用攻擊機(jī)會,故需采用有效識別漏洞且維護(hù)便捷方式,業(yè)內(nèi)常以網(wǎng)絡(luò)串接防護(hù)設(shè)備,如采用深信服下一代防火墻(以下簡稱深信服AF)內(nèi)置 8000+漏洞特征庫,并基于攻擊泛化的漏洞覆蓋技術(shù),從漏洞共性攻擊與利用方式,打造具備泛化能力的漏洞語法檢測引擎,同時通過云端全球共享情報5分鐘完成同步漏洞攻擊有效攔截率 98.7%。

而針對勒索擴(kuò)散行為,需快速縮小范圍,隔離問題主機(jī),可通過深信服終端檢測響應(yīng)平臺(以下簡稱深信服EDR)則利用無文件攻擊防護(hù)和勒索誘餌防護(hù)對勒索病毒進(jìn)行實時掃描監(jiān)測,防止病毒進(jìn)一步加密擴(kuò)散。

3、在慢速爆破防御環(huán)節(jié):目前大部分勒索病毒為繞過各系統(tǒng)自帶或安全設(shè)備的閾值破解防護(hù),使用慢速爆破難以被安全設(shè)備檢測的方式,這也是很多用戶使用傳統(tǒng)的IPS或防火墻仍中勒索病毒的原因。

對此,深信服AF自研口令暴破深度檢測引擎,基于多時間窗口尺度異常登錄檢測和精細(xì)化日志審計分析算法結(jié)合,并通過多種特征綜合判定登錄成功或失敗的狀態(tài),突破加密流量暴破、慢速/分布式暴破的檢測盲區(qū),跳出解密困局,檢測率高達(dá)95%。

4、在 RDP 登錄二次攔截環(huán)節(jié):RDP 爆破作為唯一或者主流的感染方式,先通過釣魚郵件/釣魚網(wǎng)站/漏洞利用等,再 RDP 爆破,或者直接 RDP 爆破。

典型代表:LockCrypt、 Crysis 、Planetary、GlobeImposter 等,主要利用了遠(yuǎn)程桌面協(xié)議 RDP 應(yīng)用的廣泛性以及攻破后使用上的便捷性。

需針對遠(yuǎn)程訪問服務(wù)器的行為進(jìn)行二次密碼驗證,防止黑客遠(yuǎn)程登錄服務(wù)器進(jìn)行勒索病毒投放,減輕服務(wù)器資產(chǎn)損失的風(fēng)險,可采用終端安全平臺,如深信服EDR。

5、在進(jìn)程控制環(huán)節(jié):由于勒索形成前會利用系統(tǒng)進(jìn)程進(jìn)行偽裝,故需針對服務(wù)器全系統(tǒng)進(jìn)程進(jìn)行可信識別與控制,如通過通過深信服EDR可信進(jìn)程的加固防護(hù)技術(shù),以進(jìn)程學(xué)習(xí)、手動導(dǎo)入的可信進(jìn)程的防護(hù)策略,阻止非可信的勒索進(jìn)程運(yùn)行與破壞可信進(jìn)程。

二、查殺層面

預(yù)防之后,最重要的是要對勒索病毒保持時刻警惕,經(jīng)常查殺。包含兩個環(huán)節(jié),即檢測和查殺環(huán)節(jié)。

隨著 AI 技術(shù)的誕生以及物聯(lián)網(wǎng)應(yīng)用的普及,勒索軟件呈爆發(fā)式增長,據(jù)統(tǒng)計每14秒就會發(fā)生一次勒索攻擊事件。因此,勒索病毒的種類也越來越多,單純的檢測方法無法完全檢測。

1、在檢測環(huán)節(jié),深信服 EDR 引入了5層多維度漏斗型檢測框架,通過文件信譽(yù)檢測引擎、基因特征引擎、人工智能引擎、行為檢測引擎、云腦引擎五個維度檢測勒索病毒。

2、在查殺環(huán)節(jié),深信服 EDR 基于文件信譽(yù)引擎將病毒文件的md5特征值進(jìn)行全網(wǎng)通報;也可針對md5特征,主動進(jìn)行全網(wǎng)威脅定位,從而在全網(wǎng)進(jìn)行圍剿式查殺。

與此同時,配合深信服下一代防火墻采用流模式和啟發(fā)式文件掃描技術(shù),對 HTTP、 SMTP、 POP3、 IMAP、 FTP、 SMB 等多種協(xié)議類型的近百萬種病毒進(jìn)行查殺,以及可對多線程并發(fā)、深層次壓縮文件等進(jìn)行有效控制和查殺。

此外,還可利用人工智能引擎通過對數(shù)億維的原始特征進(jìn)行分析和綜合,強(qiáng)大泛化能力,大幅提升對變種、未知勒索威脅的檢出及查殺效果。

三、監(jiān)測層面

查殺之后要做的工作時監(jiān)測勒索病毒的活動路徑。主要包含監(jiān)測和告警兩個環(huán)節(jié)。

監(jiān)測環(huán)節(jié)又細(xì)分為 C&C 非法通信檢測、流量行為監(jiān)測、攻擊鏈監(jiān)測、勒索誘捕監(jiān)測。

由于病毒變種數(shù)量多,傳統(tǒng)監(jiān)測方式難免會存在漏網(wǎng)之魚。

1、在勒索主機(jī)進(jìn)行 C&C非法 通信時,常以動態(tài)域名進(jìn)行隱藏,深信服 AF 創(chuàng)新引入 DGA 動態(tài)域名、DNS 隱蔽隧道等檢測技術(shù)識別惡意連接。

2、在流量行為監(jiān)測方面,則主要基于深信服安全感知平臺SIP(以下簡稱深信服SIP)內(nèi)置的勒索專項檢測系統(tǒng),采用業(yè)界獨(dú)創(chuàng)的動態(tài)流檢測技術(shù)(非規(guī)則漏洞檢測、異常點(diǎn)檢測、進(jìn)程級網(wǎng)端檢測、異常行為利用、多階段攻擊等APT場景檢測點(diǎn)等)。

勒索防護(hù)方案思路

深信服態(tài)勢感知平臺SIP勒索專項檢測頁面

利用AI 2.0和UEBA2.0技術(shù)(涵蓋13類攻擊類別以及400+算法模型)進(jìn)行綜合分析,能夠精準(zhǔn)的識別不同的勒索軟件家族,并通過專業(yè)分析識別出勒索病毒感染行為和加密特征,同時通過可視化界面為用戶展示內(nèi)網(wǎng)整體安全狀況,第一時間發(fā)現(xiàn)內(nèi)網(wǎng)橫向掃描、病毒擴(kuò)散、非法外聯(lián)等勒索病毒行為,全面分析新型勒索病毒的攻擊面及其影響范圍,幫助用戶在勒索病毒大面積感染前及時發(fā)現(xiàn)。

3、在告警環(huán)節(jié),利用微信告警通知用戶,緊急事件會在2分鐘內(nèi)發(fā)出,其他事件在告警策略--高級選項--告警頻率處所設(shè)定的時間內(nèi)發(fā)出。同類事件每日推送三次,超過三次不再推送告警提醒。每日8:00--22:00進(jìn)行告警推送,其余時間段不主動推送任何消息。

四、處置層面

包括三個環(huán)節(jié),即聯(lián)動響應(yīng)、自動化響應(yīng)、應(yīng)急處置。

1、在聯(lián)動響應(yīng)環(huán)節(jié),包括聯(lián)動封鎖、訪問控制、一鍵查殺、進(jìn)程取證、快照備份,并且可根據(jù)用戶的需要,自由組合多項措施進(jìn)行處置。

具體而言,當(dāng)深信服SIP、AF在實時監(jiān)測到勒索攻擊事件后,基于主機(jī)實體行為分析引擎EBA、聯(lián)動EDR快速定位出全網(wǎng)失陷主機(jī),執(zhí)行聯(lián)動封堵,如禁止主機(jī)對外訪問、清除病毒文件。

此外,深信服 EDR 還可對主機(jī)訪問的惡意域名進(jìn)行取證,定位訪問該域名的子進(jìn)程、父進(jìn)程的詳細(xì)信息。

此外,深信服“人機(jī)共智”MSS安全運(yùn)營服務(wù)為用戶提供勒索病毒預(yù)防與響應(yīng)專項場景服務(wù),服務(wù)專家基于安全運(yùn)營中心百余項勒索病毒Checklist,定期開展風(fēng)險排查,并協(xié)助用戶加固;安全運(yùn)營中心 7*24H持續(xù)監(jiān)測確保第一時間發(fā)現(xiàn)勒索攻擊、感染、傳播行為,第一時間為用戶精準(zhǔn)預(yù)警,服務(wù)專家在線5分鐘響應(yīng),高效閉環(huán)勒索病毒事件。

2、在自動化響應(yīng)環(huán)節(jié),針對勒索事件,配置自動響應(yīng)策略,當(dāng)SIP檢測到勒索事件時,自動根據(jù)響應(yīng)策略,執(zhí)行封堵,如聯(lián)動AF封鎖該目標(biāo)主機(jī)、聯(lián)動EDR禁止主機(jī)對外訪問、聯(lián)動EDR清除病毒文件。

3、在應(yīng)急處置環(huán)節(jié),又細(xì)分為四個環(huán)節(jié),即準(zhǔn)備、檢測&分析、遏制&消除&恢復(fù)、總結(jié)優(yōu)化。

在準(zhǔn)備環(huán)節(jié),準(zhǔn)備勒索病毒事件分析處理所需的資源,如通信保障、人員配合、工具等;

在檢測&分析環(huán)節(jié),通過查看系統(tǒng)日志、殺毒軟件告警日志等對勒索攻擊事件進(jìn)行檢測分析,并報告用戶安全管理人員;

在遏制&消除&恢復(fù)環(huán)節(jié),深信服分布式存儲 EDS 嘗試遏制勒索病毒軟件,限制其影響或范圍,同時收集證據(jù)、執(zhí)行根本原因分析。在根因分析完畢后快速采取措施進(jìn)行根除,幫助用戶恢復(fù)業(yè)務(wù)正常運(yùn)轉(zhuǎn);

在修復(fù)完成后,同用戶一起回顧事件過程,對事件原因、處置過程等進(jìn)行復(fù)盤,總結(jié)經(jīng)驗,并輸出事件報告。

綜上,深信服認(rèn)為只有通過攔截、查殺、監(jiān)測、處置四個階段對勒索病毒進(jìn)行精準(zhǔn)、快速的閉環(huán)處置,才能構(gòu)建整體的勒索病毒免疫力。

 
 
 
合作伙伴
微軟中國 | 聯(lián)想集團(tuán) | IBM | 蘋果電腦 | 浪潮集團(tuán) | 惠普中國 | 深信服 | 愛數(shù)軟件 | 華為
六安市永辰科技有限公司 版權(quán)所有 © Copyright 2010-2021 All Rights 六安市淠望路103號 最佳瀏覽效果 IE8或以上瀏覽器
訪問量:2863846    皖I(lǐng)CP備11014188號-1