勒索病毒綜合防護(hù)方案
發(fā)布時(shí)間：2022-05-11 17:40行業(yè)背景
近年來(lái)，隨著網(wǎng)絡(luò)的快速發(fā)展，大部分傳統(tǒng)行業(yè)逐漸實(shí)現(xiàn)了數(shù)字化、網(wǎng)絡(luò)化及智能化的轉(zhuǎn)型，在擁抱產(chǎn)業(yè)互聯(lián)網(wǎng)化的浪潮中，也暴露出一系列網(wǎng)絡(luò)安全問(wèn)題。2017年開始勒索病毒大規(guī)模爆發(fā)，乘機(jī)發(fā)難，瘋狂斂財(cái)，影響日漸擴(kuò)大。近幾年由勒索病毒攻擊造成的國(guó)內(nèi)外大小事件層出不窮，全球范圍內(nèi)的政府、交通、能源、醫(yī)療等社會(huì)基礎(chǔ)服務(wù)設(shè)施，成為了勒索病毒攻擊的目標(biāo)。
根據(jù)奇安信《2019年網(wǎng)絡(luò)安全應(yīng)急響應(yīng)分析報(bào)告》得出：2019年全年政府機(jī)構(gòu)、大中型企業(yè)安全事件遭受攻擊常見木馬排名前三的為勒索病毒、挖礦木馬以及一般木馬。攻擊政府機(jī)構(gòu)、大中型企業(yè)的常見勒索病毒分別為GlobeImposter勒索軟件、Wannacry勒索軟件、Crysis勒索軟件、GandCrab勒索軟件等。面對(duì)日益猖狂的勒索病毒，政企單位需要加強(qiáng)自身網(wǎng)絡(luò)安全防護(hù)建設(shè)，建立起完善的安全防護(hù)措施，構(gòu)建防御、檢測(cè)、響應(yīng)和預(yù)測(cè)的自適應(yīng)安全防御體系，才能有效的檢測(cè)和防護(hù)勒索病毒，保證內(nèi)部網(wǎng)絡(luò)及信息系統(tǒng)的安全。
業(yè)務(wù)挑戰(zhàn)
近年來(lái)，隨著網(wǎng)絡(luò)的快速發(fā)展，大部分傳統(tǒng)行業(yè)逐漸實(shí)現(xiàn)了數(shù)字化、網(wǎng)絡(luò)化及智能化的轉(zhuǎn)型，在擁抱產(chǎn)業(yè)互聯(lián)網(wǎng)化的浪潮過(guò)程中，也暴露出一系列網(wǎng)絡(luò)安全問(wèn)題。2017年開始，勒索病毒大規(guī)模爆發(fā)，瘋狂斂財(cái)，由勒索病毒攻擊造成的國(guó)內(nèi)外大小事件層出不窮，全球范圍內(nèi)的政府、交通、能源、醫(yī)療等社會(huì)基礎(chǔ)服務(wù)設(shè)施，成為了勒索病毒攻擊的目標(biāo)。
奇安信《2019年網(wǎng)絡(luò)安全應(yīng)急響應(yīng)分析報(bào)告》顯示：2019年政府機(jī)構(gòu)、大中型遭遇的病毒攻擊事件中，勒索病毒排名第一，以GlobeImposter、Wannacry、Crysis、GandCrab等居多。
解決方案
面對(duì)日益猖狂的勒索病毒，奇安信推出勒索病毒防護(hù)解決方案，幫助政企單位加強(qiáng)自身網(wǎng)絡(luò)安全防護(hù)建設(shè)，建立起完善的安全防護(hù)措施，構(gòu)建防御、檢測(cè)、響應(yīng)和預(yù)測(cè)的自適應(yīng)安全防御體系，實(shí)現(xiàn)對(duì)勒索病毒的有效檢測(cè)和防護(hù)，保證內(nèi)部網(wǎng)絡(luò)及信息系統(tǒng)的安全。
方案部署架構(gòu)圖如下：
在針對(duì)勒索病毒防護(hù)安全建設(shè)過(guò)程中，方案關(guān)注以下關(guān)鍵能力建設(shè)：
1.防御能力：通過(guò)一系列策略集、產(chǎn)品和服務(wù)，通過(guò)減少被攻擊面來(lái)提升攻擊門檻，并在受影響前攔截攻擊動(dòng)作。
2.檢測(cè)能力：用于發(fā)現(xiàn)逃過(guò)防御網(wǎng)絡(luò)的攻擊，從而降低威脅造成的“停擺時(shí)間”以及其他潛在的損失。
3.響應(yīng)能力：目標(biāo)是實(shí)現(xiàn)高效調(diào)查和補(bǔ)救被檢測(cè)分析功能(或外部服務(wù))查出的安全事件，以提供入侵認(rèn)證和攻擊來(lái)源分析，并產(chǎn)生新的預(yù)防手段來(lái)避免未來(lái)的安全事件。
4.預(yù)測(cè)能力：通過(guò)對(duì)外部黑客行動(dòng)的學(xué)習(xí)，主動(dòng)鎖定對(duì)現(xiàn)有系統(tǒng)和信息具有威脅的新型攻擊，并對(duì)漏洞劃定優(yōu)先級(jí)和定位。該情報(bào)將反饋到預(yù)防和檢測(cè)功能，從而構(gòu)成整個(gè)處理流程的閉環(huán)。
一、防御能力建設(shè)
方案通過(guò)從網(wǎng)絡(luò)入口到需要防御目標(biāo)均設(shè)置防御節(jié)點(diǎn)的方式，進(jìn)行防御能力建設(shè)：
1. 智慧防火墻
在互聯(lián)網(wǎng)接入?yún)^(qū)域及其他區(qū)域邊界處部署智慧防火墻，通過(guò)防火墻規(guī)則、威脅情報(bào)及云端威脅情報(bào)中心對(duì)內(nèi)部網(wǎng)絡(luò)失陷主機(jī)進(jìn)行定位,實(shí)現(xiàn)網(wǎng)絡(luò)邊界處對(duì)失陷主機(jī)的檢測(cè)、發(fā)現(xiàn)和及時(shí)處理，防止因?yàn)槭葜鳈C(jī)造成的信息外泄或者對(duì)外發(fā)起惡意攻擊，使政企單位面臨經(jīng)濟(jì)損失及法律風(fēng)險(xiǎn)。
2. 終端安全管理系統(tǒng)
在網(wǎng)絡(luò)內(nèi)部終端部署天擎終端安全管理系統(tǒng)，構(gòu)建有效抵御已知病毒、勒索病毒、漏洞、未知惡意代碼和高級(jí)威脅APT攻擊的終端安全防御體系。
天擎能夠?qū)崿F(xiàn)：
? 終端木馬、病毒查殺
? 勒索病毒檢測(cè)和防護(hù)
? 違規(guī)終端接入管控
? 終端違規(guī)軟件管控
? 終端漏洞的及時(shí)修復(fù)
? 終端安全狀況的統(tǒng)一管控
目前，天擎可以對(duì)大部分勒索病毒進(jìn)行檢測(cè)和查殺，并通過(guò)敲詐先賠服務(wù)免除客戶后顧之憂。
此外，天擎EDR模塊能夠與天眼威脅感知系統(tǒng)聯(lián)動(dòng)，準(zhǔn)確檢測(cè)內(nèi)部的失陷主機(jī)，并通過(guò)天擎進(jìn)行響應(yīng)處置；天擎還可以與智慧防火墻聯(lián)動(dòng)，實(shí)現(xiàn)對(duì)內(nèi)部風(fēng)險(xiǎn)主機(jī)或失陷主機(jī)進(jìn)行安全管控。
3. 終端安全準(zhǔn)入系統(tǒng)
在內(nèi)部網(wǎng)絡(luò)部署終端安全準(zhǔn)入系統(tǒng)，實(shí)現(xiàn)終端發(fā)現(xiàn)、訪客注冊(cè)、認(rèn)證授權(quán)、合規(guī)檢查、隔離修復(fù)、訪問(wèn)控制、入網(wǎng)追溯等“一站式”的入網(wǎng)控制管理流程。所有終端接入網(wǎng)絡(luò)，訪問(wèn)核心區(qū)域資源，都必須進(jìn)行身份認(rèn)證，同時(shí)進(jìn)行入網(wǎng)安全檢查，對(duì)不符合安全要求的終端，根據(jù)事先設(shè)置的策略進(jìn)行隔離和修復(fù)，直到達(dá)到合規(guī)入網(wǎng)的管理規(guī)范要求為止。而且，終端安全準(zhǔn)入系統(tǒng)還可以提高天擎客戶端的部署率，保障入網(wǎng)終端是在安全可控范圍內(nèi)，保證內(nèi)網(wǎng)的安全。
4. 服務(wù)器安全管理系統(tǒng)
在物理服務(wù)器系統(tǒng)上部署天擎，通過(guò)內(nèi)核級(jí)加固、強(qiáng)制訪問(wèn)控制、應(yīng)用自保護(hù)、沙盒等技術(shù)等提高服務(wù)器操作系統(tǒng)對(duì)抗黑客攻擊及惡意代碼的能力，有效檢測(cè)及攔截已知和未知安全威脅，全方位保障服務(wù)器操作系統(tǒng)、業(yè)務(wù)系統(tǒng)和數(shù)據(jù)內(nèi)容的安全。系統(tǒng)支持主流的硬件平臺(tái)、操作系統(tǒng)和應(yīng)用，同時(shí)支持物理機(jī)和虛擬化架構(gòu)（xen、vmware、hyper-v等），支持異構(gòu)網(wǎng)絡(luò)部署，實(shí)現(xiàn)跨平臺(tái)的統(tǒng)一管理。
二、檢測(cè)能力建設(shè)
方案主要通過(guò)在內(nèi)部網(wǎng)絡(luò)中部署奇安信天眼威脅感知系統(tǒng)，進(jìn)行檢測(cè)能力建設(shè)。天眼可基于自有的多維度海量互聯(lián)網(wǎng)數(shù)據(jù)，進(jìn)行自動(dòng)化挖掘與云端關(guān)聯(lián)分析，提前洞悉各種安全威脅，并向客戶推送定制的專屬威脅情報(bào)。同時(shí)，天眼還能實(shí)現(xiàn)未知威脅的早期快速發(fā)現(xiàn)，并可對(duì)受害目標(biāo)及攻擊源頭進(jìn)行精準(zhǔn)定位，實(shí)現(xiàn)入侵途徑及攻擊者背景的研判與溯源。
天眼能夠?qū)崿F(xiàn)：
? 檢測(cè)發(fā)現(xiàn)傳統(tǒng)防護(hù)手段漏過(guò)的未知威脅
? 在隔離網(wǎng)絡(luò)環(huán)境下檢測(cè)未知威脅
? 對(duì)企業(yè)內(nèi)的海量數(shù)據(jù)進(jìn)行安全分析
? 對(duì)企業(yè)內(nèi)已發(fā)現(xiàn)的問(wèn)題進(jìn)行攻擊回溯
? 精準(zhǔn)及時(shí)地處理通過(guò)威脅情報(bào)發(fā)現(xiàn)的終端的安全威脅
三、響應(yīng)能力建設(shè)
方案通過(guò)產(chǎn)品之間的聯(lián)動(dòng)響應(yīng)以及應(yīng)急響應(yīng)服務(wù)機(jī)制，實(shí)現(xiàn)響應(yīng)能力建設(shè)。
1. 天擎&天眼、防火墻&天眼聯(lián)動(dòng)響應(yīng)
天擎通過(guò)EDR模塊與天眼聯(lián)動(dòng)，構(gòu)建對(duì)未知漏洞（0day）利用、未知惡意代碼植入、勒索病毒、APT等攻擊過(guò)程從精確檢測(cè)到深度防御的縱深防范閉環(huán)體系，實(shí)現(xiàn)終端的安全防護(hù)。
智慧防火墻通過(guò)NDR模塊與天眼聯(lián)動(dòng)，構(gòu)建網(wǎng)絡(luò)層面的已知威脅與未知威脅的發(fā)現(xiàn)，并通過(guò)防火墻聯(lián)動(dòng)實(shí)現(xiàn)有效的網(wǎng)絡(luò)層安全防護(hù)。
2. 應(yīng)急響應(yīng)服務(wù)機(jī)制建立
建立安全事件應(yīng)急響應(yīng)機(jī)制，對(duì)安全事件進(jìn)行檢測(cè)、分析、協(xié)調(diào)、處理，保護(hù)資產(chǎn)安全屬性的活動(dòng)，并協(xié)同建立有效的防御策略來(lái)抵御網(wǎng)絡(luò)安全威脅。
四、預(yù)測(cè)能力建設(shè)
方案通過(guò)將奇安信云端海量數(shù)據(jù)的分析成果定期同步至方案中涉及到產(chǎn)品，實(shí)現(xiàn)對(duì)APT攻擊、勒索病毒、新型木馬、特種免殺木馬的規(guī)則化描述。同時(shí)通過(guò)威脅情報(bào)解讀定期推送分享服務(wù)，向政企單位分享APT攻擊行為和事件情報(bào)、攻擊團(tuán)伙情報(bào)、惡意代碼和漏洞利用情報(bào)、攻擊團(tuán)伙活躍態(tài)勢(shì)情報(bào)等，建立預(yù)測(cè)預(yù)警能力。
客戶價(jià)值
1. 協(xié)助客戶建立有效的自適應(yīng)安全防御體系，有效實(shí)現(xiàn)勒索病毒防護(hù)。
2. 為客戶提供覆蓋“邊界+終端+云端”、基于威脅情報(bào)的多層次智慧檢測(cè)、防御措施。
3. 為客戶建立數(shù)據(jù)驅(qū)動(dòng)的“自動(dòng)化+人工響應(yīng)”的有效處置機(jī)制。
4. 為客戶建立“云端威脅情報(bào)+本地威脅檢測(cè)”的安全預(yù)測(cè)預(yù)警能力。