19、预防和缓解勒索软件攻击的综合指南

预防和缓解勒索软件攻击的综合指南

勒索软件是一种恶意软件，它通过阻止用户访问计算机数据或锁定计算机功能，向毫无防备的受害者勒索钱财。勒索软件的出现给众多组织和个人带来了巨大的损失，例如在其出现的头三天内，就有报道称它感染了150个国家的35000台机器，导致医院、学校和加油站等多个组织遭受经济损失，攻击者每次攻击索要300 - 600美元的解密密钥。

勒索软件的入侵方式

勒索软件有多种不易被察觉的渗透计算机系统的方式，攻击者可能会使用恶意电子邮件、驱动下载或恶意广告。以下是勒索软件感染用户系统的五个阶段：
1. 利用系统漏洞 ：攻击者通过发送网络钓鱼电子邮件或使用恶意工具包来利用系统漏洞。
2. 交付可执行文件 ：通过加密通道将勒索软件可执行文件交付到用户系统。
3. 破坏备份文件 ：文件执行后，恶意软件会针对系统上的备份文件和其他文件夹，将这些文件删除以防止用户恢复。
4. 创建加密密钥 ：攻击者通过与命令和控制服务器进行安全的密钥交换来创建加密密钥。
5. 通知勒索信息 ：文件加密过程完成后，会通过一系列指令通知用户勒索和付款信息。

研究设计

为了分析保护计算机用户免受各种勒索软件攻击的相关预防方法，采用了系统文献综述的方法。具体步骤如下：
1. 文献来源与筛选
- 使用EBSCOhost、Science Direct、IEEE和Scopus等高质量在线数据库，以“勒索软件”为搜索词进行搜索，搜索结果限制为全文期刊文章。
- 共下载261个结果，根据标题和摘要判断，有128篇论文与本研究“不适用”。
- 去除29个重复条目后，得到94篇需要进一步分析的期刊论文。
| 来源 | 找到的论文数 | 不适用的论文数 | 重复的论文数 | 需分析的论文数 |
| ---- | ---- | ---- | ---- | ---- |
| EBSCOhost (SR1) | 71 | 26 | 22 | 23 |
| Science Direct (SR2) | 52 | 16 | 0 | 36 |
| IEEE (SR3) | 65 | 59 | 3 | 3 |
| Scopus (SR4) | 73 | 37 | 4 | 32 |
| 总计 | 261 | 128 | 29 | 94 |

2. 资源初步分析

   • 将94篇论文分为检测方法、预防和缓解方法、攻击方法和案例研究四个类别。
     | 类别 | 论文数量 |
     | ---- | ---- |
     | 预防和缓解 | 43 |
     | 攻击方法 | 11 |
     | 案例研究 | 22 |
     | 检测方法 | 8 |

3. 初步发现

   • 攻击方法 ：专注于勒索软件攻击方法的研究揭示了恶意软件渗透机器的详细阶段以及对计算机数据的威胁。例如，Zimba等人提出了一个针对关键基础设施（如发电厂、空中交通管制和污水处理厂）的勒索软件攻击模型。
   • 案例研究 ：案例研究让读者了解攻击情况、严重程度和受影响的组织。医院是勒索软件的主要目标，如肯塔基州亨德森的卫理公会医院的患者健康记录被加密，但最终从备份中恢复。这些研究为组织应对危机提供了丰富信息，也有助于研究人员和反恶意软件开发者开发预防和缓解勒索软件的工具。
   • 检测方法 ：检测方法在攻击发生前提供警告信号，以便用户快速采取行动。例如，Cabaj和Mazurczyk提出了一种基于软件定义网络的检测系统，通过观察勒索软件攻击的网络通信行为来检测其出现；Monika等人分析了Windows和Android环境下不同勒索软件家族的行为，确定了针对这两种操作系统的检测方法。
   • 预防和缓解策略 ：这是本文的重点，后续将对相关策略进行进一步分析。

预防和缓解策略分析

自勒索软件攻击爆发以来，网络安全专业人员一直在寻求帮助组织保护数据免受勒索的策略。一些公司在遭受攻击后制定缓解计划，而另一些则在攻击发生前进行预防。勒索软件预防是一种主动方法，而缓解是一种限制攻击造成损害的被动方法。

对43篇专注于预防和缓解的期刊文章进行进一步分析，发现一些研究针对特定平台（如Windows、Linux或Android），部分研究创建了计算机工具，如Gómez - Hernández提出的R - Locker工具和Jones提出的原型软件。此外，35篇论文明确提出了一些指导方针，但部分指导方针存在矛盾，如Yaqoob等人建议受害者支付赎金，而Erridge则禁止支付。不过，大多数研究提出的指导方针有相似之处，如备份数据是减轻勒索软件攻击的基本指导方针。

以下是从调查文献中整理出的指导方针及其相关文章数量：
| 指导方针 | 文章数量 |
| ---- | ---- |
| 实施备份策略 | 31 |
| 安装和更新防护软件 | 29 |
| 进行网络安全培训 | 11 |
| 实施访问控制 | 6 |
| 实施强而复杂的密码 | 5 |
| 不打开不可信的链接或附件 | 3 |
| 联系执法部门 | 3 |
| 聘请网络安全专业人员 | 2 |
| 实施安全政策 | 2 |
| 感染后关闭机器 | 1 |
| 阻止弹出窗口 | 1 |
| 加密自己的数据 | 1 |
| 更新计算机硬件 | 1 |

预防和缓解指导方针

这些指导方针虽然不能完全杜绝勒索软件攻击，但实施它们可以帮助预防和缓解攻击，部分指导方针更适用于企业用户。
1. 实施备份策略
- 组织应制定应急计划，定期备份计算机数据，以减少攻击造成的损失。用户应定期创建计算机数据的克隆，并进行时间戳标记。
- 可以使用云存储（如Dropbox）、外部存储（如USB闪存驱动器、可重写光盘或备份磁带）等专业程序进行备份。
- 重要的是要进行离线备份，因为勒索软件可能会感染数据备份工具，备份存储不应连接到互联网，且应每天进行备份以恢复最近的数据。
2. 安装和更新防护软件
- 应实施技术防护措施，作为预防和检测勒索软件的第一道防线。安装并经常更新反恶意软件软件，自动更新操作系统和网络浏览器的补丁。
- 其他反恶意软件程序包括连接公共Wi - Fi时使用虚拟专用网络软件，还可以使用勒索软件监控软件根据其行为或签名检测勒索软件。
- 但由于勒索软件家族的入侵签名不同，杀毒软件等并非完全有效的解决方案，更新计算机软件至关重要，因为每次软件更新都会提供更高级的功能来抵御不断演变的勒索软件攻击。
3. 进行网络安全培训
- 人类行为对网络安全有很大影响，培训用户预防和缓解勒索软件攻击很重要。大量勒索软件攻击者使用网络钓鱼电子邮件作为有效载荷，企业应开展网络安全意识项目，教育用户了解勒索软件攻击的危险以及如何预防和缓解攻击。
- 网络安全培训可以使员工能够分析、识别和应对漏洞，建立网络安全文化，对组织未来有益。培训应重点关注网络钓鱼信息，因为它们是最常见的勒索软件有效载荷，通过培训让员工能够识别并避免勒索软件有效载荷，从而使组织免受经济损失。
4. 实施访问控制
- 访问控制是网络“卫生”的基本做法之一，虽然它可能不是防止勒索软件攻击的最终解决方案，但根据组织内的角色限制访问可以作为一种缓解策略。通过访问控制，攻击者在通过恶意电子邮件和勒索软件获取普通用户凭据后，难以访问高级数据，从而防止计算机数据的进一步利用。
5. 实施强而复杂的密码
- 在良好的网络安全文化中，强密码是数据保护的重要因素。应将身份验证方法作为保护设备、网络和其他账户免受网络犯罪的优先事项。
- 用户不应为不同账户使用相同密码，密码应包含特殊字符、数字和字母的组合，使其复杂且强大。密码在数据加密、访问控制和备份应用等方面都很重要，没有适当的密码，就无法有效预防或缓解勒索软件攻击。可以通过网络安全培训教育用户了解密码的重要性，并通过公司政策强化使用强密码。
6. 不打开不可信的链接或附件
- 计算机可能通过驱动下载、恶意广告和网络钓鱼攻击等多种途径感染勒索软件。在网络安全培训中，用户应学会区分可信和不可信的链接或电子邮件附件。
- 勒索软件攻击者经常使用电子邮件附件和链接作为有效载荷来渗透计算机系统，用户应避免打开可疑网站，不点击来自未知发件人的附件。组织有责任阻止所有恶意网站并过滤员工电子邮件，以避免恶意消息，这是一种防止勒索软件渗透计算机系统的预防策略。
7. 联系执法部门
- 企业在受到勒索软件攻击时，应及时向执法部门报告。虽然报告网络犯罪不能防止损害，但可以引起广泛关注，促使立法者制定打击勒索软件的法律。
8. 聘请网络安全专业人员
- 大型企业可以聘请网络安全专业人员团队定期对整个网络进行全面的法医分析。这些专业人员可能包括道德黑客和渗透测试人员，他们可以挑战现有系统以暴露漏洞。企业也可以从外部公司（如信息安全咨询公司）外包相关服务。

预防和缓解勒索软件攻击的综合指南

实施安全政策

安全政策是组织网络安全体系的重要组成部分。一套完善的安全政策能够为员工提供明确的行为准则，规范他们在日常工作中的操作，从而减少因人为疏忽导致的勒索软件感染风险。

例如，制定严格的设备使用政策，规定员工只能在公司授权的设备上访问敏感数据，禁止使用未经授权的外部存储设备连接公司网络。同时，明确数据访问权限，根据员工的工作职责和岗位需求，分配相应的访问级别，避免数据的过度暴露。

安全政策还应包括对网络活动的监控和审计机制。通过定期审查网络日志，及时发现异常的访问行为和潜在的安全威胁。一旦发现可疑活动，能够迅速采取措施进行处理，防止勒索软件的进一步传播和破坏。

阻止弹出窗口

弹出窗口常常是勒索软件传播的一个途径。恶意的弹出窗口可能会诱导用户点击链接或下载文件，从而导致计算机感染勒索软件。

为了阻止弹出窗口，可以在浏览器中启用弹出窗口阻止功能。大多数现代浏览器都提供了这一选项，用户只需在浏览器的设置中找到相关选项并启用即可。此外，还可以安装专门的广告拦截软件，这些软件可以有效地阻止各种类型的弹出窗口和广告，减少用户接触到恶意内容的机会。

加密自己的数据

数据加密是保护数据安全的重要手段。通过对重要数据进行加密，可以确保即使数据被勒索软件加密或窃取，攻击者也无法获取其中的敏感信息。

可以使用操作系统自带的加密功能或第三方加密软件对数据进行加密。例如，Windows系统提供了BitLocker加密工具，用户可以使用该工具对整个硬盘或特定的文件夹进行加密。在加密过程中，用户需要设置一个强密码，只有输入正确密码才能访问加密的数据。

另外，对于存储在云端的数据，也应选择支持加密传输和存储的云服务提供商。这样可以在数据传输和存储过程中对其进行加密，进一步增强数据的安全性。

更新计算机硬件

随着勒索软件技术的不断发展，一些较旧的计算机硬件可能无法提供足够的安全防护。及时更新计算机硬件可以提高系统的性能和安全性，增强对勒索软件的抵御能力。

例如，更新计算机的处理器、内存和硬盘等硬件组件，可以提高系统的运行速度和稳定性，减少因系统性能不足导致的安全漏洞。同时，新的硬件通常会具备更先进的安全功能，如硬件级别的加密和防护机制，能够更好地保护计算机免受勒索软件的攻击。

总结与建议

为了更直观地展示这些预防和缓解勒索软件攻击的指导方针，下面通过一个mermaid流程图来呈现整个流程：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;

    A(开始):::process --> B(实施备份策略):::process
    A --> C(安装和更新防护软件):::process
    A --> D(进行网络安全培训):::process
    A --> E(实施访问控制):::process
    A --> F(实施强而复杂的密码):::process
    A --> G(不打开不可信的链接或附件):::process
    A --> H(联系执法部门):::process
    A --> I(聘请网络安全专业人员):::process
    A --> J(实施安全政策):::process
    A --> K(阻止弹出窗口):::process
    A --> L(加密自己的数据):::process
    A --> M(更新计算机硬件):::process
    B --> N(完成):::process
    C --> N
    D --> N
    E --> N
    F --> N
    G --> N
    H --> N
    I --> N
    J --> N
    K --> N
    L --> N
    M --> N

综上所述，预防和缓解勒索软件攻击需要综合运用多种策略。组织和个人应根据自身的实际情况，制定适合自己的网络安全方案。以下是一些具体的建议：
1. 定期评估网络安全状况，根据技术发展和威胁变化及时调整安全策略。
2. 加强员工的网络安全意识培训，提高他们对勒索软件的警惕性和应对能力。
3. 建立应急预案，在遭受勒索软件攻击时能够迅速采取措施，减少损失。
4. 与其他组织和机构分享经验和信息，共同应对勒索软件威胁。

通过采取这些措施，可以有效地降低勒索软件攻击的风险，保护组织和个人的数据安全。