企業(yè)是否會(huì)投入大量資金用于防范勒索軟件攻擊?也許會(huì)，但是企業(yè)的領(lǐng)導(dǎo)團(tuán)隊(duì)可能更愿意將資金花費(fèi)在其他地方。
作為IT經(jīng)理，其注意力經(jīng)常關(guān)注在自己的工作職責(zé)上。例如管理團(tuán)隊(duì)、企業(yè)的數(shù)據(jù)、用戶訪問(wèn)請(qǐng)求等。防范勒索軟件攻擊可能并不在IT經(jīng)理的主要關(guān)注事項(xiàng)中。為了避免或減輕攻擊帶來(lái)的損害，需要采用勒索軟件檢測(cè)技術(shù)。
勒索軟件檢測(cè)：定義和重要性
在深入研究可以用來(lái)檢測(cè)基礎(chǔ)設(shè)施中勒索軟件的五種方法之前，先了解勒索軟件的基本情況。
勒索軟件最早出現(xiàn)在20世紀(jì)80年代末。一位名叫JosephPopp的攻擊者通過(guò)誘使受害者使用他提供的軟盤，能夠隱藏他們硬盤上的文件。然后，他要求受害者支付費(fèi)用來(lái)修復(fù)被勒索軟件屏蔽的軟件。
盡管勒索軟件的技術(shù)和威脅多年來(lái)變得越來(lái)越復(fù)雜，但其攻擊的前提仍然和Popp實(shí)施的勒索一樣。勒索軟件攻擊威脅要公布受害者的重要數(shù)據(jù)，除非向他們支付贖金。
勒索軟件攻擊者可能以企業(yè)甚至企業(yè)中的個(gè)人為目標(biāo)。2022年2月對(duì)瑞士一家機(jī)場(chǎng)的針對(duì)性攻擊導(dǎo)致近24個(gè)航班停飛和延誤。瑞士這家機(jī)場(chǎng)很快就遏制了威脅。盡管如此，在公眾信任、時(shí)間和機(jī)會(huì)方面的損失仍然很大。
一些企業(yè)可能會(huì)培訓(xùn)員工發(fā)現(xiàn)勒索軟件，或?qū)Ｗ⒂趦?nèi)部網(wǎng)絡(luò)安全實(shí)踐，以應(yīng)對(duì)這些攻擊。不過(guò)，這可能還不足以保證其數(shù)據(jù)安全。檢測(cè)勒索軟件是一個(gè)持續(xù)的挑戰(zhàn)，但有一些方法可以緩解這一挑戰(zhàn)。關(guān)注特定的行為或檢測(cè)企業(yè)基礎(chǔ)設(shè)施中發(fā)生的變化，可以幫助減少運(yùn)營(yíng)環(huán)境中遭遇勒索攻擊的可能性。
實(shí)時(shí)變化檢測(cè)
快速有效的勒索病毒檢測(cè)的關(guān)鍵是采用實(shí)時(shí)變化檢測(cè)和文件完整性監(jiān)控技術(shù)和流程。那么，什么是實(shí)時(shí)變更檢測(cè)?實(shí)時(shí)更改檢測(cè)是一種網(wǎng)絡(luò)安全實(shí)踐，通過(guò)這種檢測(cè)可以配置網(wǎng)絡(luò)來(lái)記錄所有配置和數(shù)據(jù)更改。
這個(gè)過(guò)程為企業(yè)提供了一個(gè)易于跟蹤的“面包屑”蹤跡，可以用于跟蹤未經(jīng)授權(quán)的或可疑的活動(dòng)，直到找到其源頭，幫助企業(yè)在遭遇到重大損害發(fā)生之前識(shí)別勒索軟件和其他威脅。
以下了解實(shí)時(shí)更改檢測(cè)的五個(gè)核心支柱，為企業(yè)提供使用這些技術(shù)來(lái)檢測(cè)和減輕勒索軟件影響所需的工具。
(1)強(qiáng)化和可信基準(zhǔn)測(cè)試
企業(yè)必須建立可信的互聯(lián)網(wǎng)安全中心(CIS)基準(zhǔn)來(lái)管理其實(shí)時(shí)變更檢測(cè)實(shí)踐。可信基準(zhǔn)測(cè)試是與互聯(lián)網(wǎng)安全中心(CIS)基礎(chǔ)設(shè)施相關(guān)的基礎(chǔ)配置和最佳實(shí)踐。
采用系統(tǒng)強(qiáng)化實(shí)踐有助于確保遵守互聯(lián)網(wǎng)安全中心(CIS)基準(zhǔn)測(cè)試。企業(yè)可以實(shí)施的三個(gè)最有影響力的實(shí)踐是：
完整性漂移：通過(guò)檢查更改來(lái)監(jiān)視系統(tǒng)和配置的完整性，使企業(yè)能夠在需要時(shí)進(jìn)行修復(fù)。
配置管理：深入了解環(huán)境，輕松識(shí)別未來(lái)的更改。
自動(dòng)系統(tǒng)強(qiáng)化：使用像CimTrak這樣的工具，可以自動(dòng)監(jiān)控不合規(guī)區(qū)域并消除漂移。這種做法還將減少勒索軟件攻擊者可以利用的入口點(diǎn)。
該技術(shù)對(duì)于利用高級(jí)報(bào)告實(shí)踐持續(xù)掃描遵從性挑戰(zhàn)并實(shí)時(shí)最小化漏洞至關(guān)重要。
(2)配置管理
接下來(lái)，需要檢查系統(tǒng)配置標(biāo)準(zhǔn)。配置管理是指為網(wǎng)絡(luò)、硬件和軟件設(shè)置所需的操作狀態(tài)的過(guò)程。此外，這個(gè)過(guò)程涉及維護(hù)系統(tǒng)的配置標(biāo)準(zhǔn)，以確保它們處于最佳位置。
配置管理的關(guān)鍵部分是確保關(guān)鍵IT資產(chǎn)不被惡意操作(如勒索軟件攻擊或意外)篡改。
如果沒(méi)有適當(dāng)?shù)呐渲霉芾恚瑢o(wú)法確保系統(tǒng)始終正常運(yùn)行。此外，識(shí)別勒索軟件攻擊將更具挑戰(zhàn)性，因?yàn)閷⒑茈y識(shí)別何時(shí)發(fā)生了未經(jīng)授權(quán)的更改。
變更控制是任何勒索軟件檢測(cè)技術(shù)的關(guān)鍵部分。接下來(lái)詳細(xì)地討論這個(gè)概念。
(3)變更控制
變更控制是指對(duì)環(huán)境中發(fā)生的變更負(fù)責(zé)的過(guò)程。
企業(yè)需要使用像CimTrak這樣的工具來(lái)跟蹤整個(gè)系統(tǒng)中的更改。CimTrak創(chuàng)建了系統(tǒng)中所有更改的詳細(xì)審計(jì)跟蹤，其中包括:
有什么樣的變更
誰(shuí)實(shí)施的變更
變更的地方
變更發(fā)生的時(shí)間
變更是如何進(jìn)行的
這些數(shù)據(jù)對(duì)于幫助企業(yè)的團(tuán)隊(duì)追蹤未經(jīng)授權(quán)的更改的來(lái)源非常重要，這對(duì)于勒索軟件檢測(cè)工作非常重要。
但是僅僅識(shí)別未經(jīng)授權(quán)的更改是不夠的。為了保證網(wǎng)絡(luò)安全，需要能夠回滾或阻止這些更改。
(4)回滾、修復(fù)和更改預(yù)防
勒索軟件檢測(cè)技術(shù)不僅僅是在企業(yè)的系統(tǒng)中識(shí)別勒索軟件威脅。為了保證其網(wǎng)絡(luò)和數(shù)據(jù)的安全，企業(yè)需要有流程和工具來(lái)糾正未經(jīng)授權(quán)的更改，以免造成重大損害。
企業(yè)需要采取如下的流程:
回滾：使用可以定期存儲(chǔ)配置快照的工具。這一功能允許企業(yè)在最短的停機(jī)時(shí)間內(nèi)恢復(fù)以前的設(shè)置。
更改修復(fù)：一旦檢測(cè)到未經(jīng)授權(quán)的更改，將希望立即采取行動(dòng)。CimTrak允許“自我修復(fù)”，在檢測(cè)到更改時(shí)自動(dòng)逆轉(zhuǎn)更改。
更改預(yù)防：對(duì)于某些核心設(shè)置或系統(tǒng)，可以選擇完全阻止更改，而不是在更改發(fā)生后采取步驟回滾或修復(fù)。
強(qiáng)健的回滾、修復(fù)和更改預(yù)防技術(shù)可以幫助企業(yè)減輕勒索軟件的影響，并維護(hù)持續(xù)兼容的基礎(chǔ)設(shè)施。
可以選擇的最后一種用于檢測(cè)勒索軟件和補(bǔ)救措施的方法是文件白名單。
(5)文件白名單
最后，企業(yè)可以在勒索軟件檢測(cè)技術(shù)中使用文件白名單或受信任的文件注冊(cè)中心。文件白名單是將特定的更改(如供應(yīng)商驗(yàn)證的補(bǔ)丁或更新的文件)標(biāo)記為授權(quán)更改的實(shí)踐。
采取這個(gè)步驟將消除由有效更改產(chǎn)生的更改噪聲。這將使IT經(jīng)理能夠?qū)⑵鋾r(shí)間和注意力集中在真正對(duì)其網(wǎng)絡(luò)安全工作最重要的變化上。
當(dāng)使用文件白名單時(shí)，更改仍然會(huì)被記錄下來(lái)，允許在必要時(shí)引用它們。但是，IT經(jīng)理和其團(tuán)隊(duì)只會(huì)收到可能與惡意軟件、零日攻擊、流氓用戶或其他威脅有關(guān)的攻擊警報(bào)。這一過(guò)程讓企業(yè)能夠更有效地利用有限的時(shí)間來(lái)防止攻擊和保護(hù)數(shù)據(jù)。
超越勒索軟件檢測(cè)：提高網(wǎng)絡(luò)安全
檢測(cè)和減輕勒索軟件攻擊的影響對(duì)企業(yè)網(wǎng)絡(luò)安全工作至關(guān)重要。通過(guò)實(shí)現(xiàn)旨在持續(xù)監(jiān)視網(wǎng)絡(luò)合規(guī)性、未經(jīng)授權(quán)的更改等的工具，可以改進(jìn)企業(yè)的整體網(wǎng)絡(luò)安全狀況。
現(xiàn)代網(wǎng)絡(luò)安全威脅需要?jiǎng)?chuàng)新的解決方案。CimTrak的文件完整性監(jiān)控軟件就是這樣一種解決方案。CimTrak提供系統(tǒng)完整性保證，致力于實(shí)時(shí)識(shí)別、禁止和糾正未知或未經(jīng)授權(quán)的更改。這使企業(yè)的團(tuán)隊(duì)能夠在更短的時(shí)間內(nèi)以更少的努力維護(hù)持續(xù)兼容的IT基礎(chǔ)設(shè)施。
