勒索病毒攻击事件频发,企业上云应如何应对

2020-06-22 10,363

6月10日,一则名为“某企业全球业务遭勒索软件攻击,部分产线被迫暂停运营”的消息进入了网络安全行业的视野。经该企业证实,这是一起网络攻击事件,导致其全球部分业务陷入停顿状态。早期的一份报告表明Snake勒索软件可能是罪魁祸首。和其他文件加密恶意软件一样,Snake会将文件和文档混乱,攻击者以此作为威胁要求支付加密货币赎金。其实早在此之前,该公司就发布过一条推文,声明其客户服务和金融服务因黑客攻击不可用



无独有偶,4月27日,B 站知名 UP 主“机智的党妹”发布了一个视频——《我被勒索了!》。据视频介绍,党妹遭遇网络攻击,并被黑客勒索,公司花费十几万在内部网络搭建的一个 NAS 系统,却在4月26 日(即投入使用第一天)遭遇黑客攻击,导致现阶段所有正在制作的视频素材全部被勒索软件加密,无法打开。


近年来,企业受到勒索病毒攻击的事件层出不穷,带来了很多严重危害。随着企业上云,云上企业面对勒索病毒是否更安全?又应该如何防范呢?云鼎实验室作为腾讯云安全的护航者,一直以来都致力于打造最安全的产业云。针对此类情况,腾讯安全云鼎实验室专家也有些建议。


如何甄别是否感染勒索病毒


通常来说勒索病毒都会有一系列恶意行为,主要包括对服务器的所有文件或仅对数据库文件进行加密(一般同时使用多种标准加密算法进行加密,比如AES、RSA);修改桌面壁纸或弹出提示窗口,显示勒索消息向受害者索要解密赎金(通常要求受害者限时内缴纳数字货币)。

而他们常见攻击手段通常会有口令爆破攻击、钓鱼邮件攻击、利用系统与软件漏洞攻击和网站挂马攻击等。这些攻击手段都会造成严重危害重要业务数据库遭受攻击,丢失业务数据,导致业务中断。即使根据指引按时缴纳赎金,仍无法保证数据的恢复,造成双重损失。


当服务器、数据库无法正常运作(比如服务器无法登录);访问服务器、数据库出现勒索提示信息(比如连接服务器或数据库时出现索要赎金信息);文件名被修改,添加后缀名(比如在文件名后添加随机字符),那么你很有可能已经成为勒索病毒的受害者。


云上勒索病毒,企业应如何防范


     勒索病毒的不断涌现,首当其冲要做的就是维护租户安全。企业端面对高危端口应通过漏洞管理、基线检查的角度主动发现潜在的漏洞风险,构建安全防线,并通过病毒查杀引擎实现主动防御。同时也要在事前做好数据的备份,事后进行数据的恢复和解密,有效挽回损失。腾讯安全云鼎实验室专家提出了一些建议。


从租户安全角度出发。一方面企业要做好基础安全防护工作,如针对基础操作系统默认配置(高危服务端口、口令策略等)进行安全加固,收敛云上风险资产面;另一方面,建议关注腾讯云官方安全公告漏洞情报,针对新出现的漏洞,及时进行扫描和修复处置,避免新增安全威胁影响业务正常运行;


与此同时,关注人为带来的安全隐患或风险,针对内部业务、运维操作等开展定期日志审计,同时可利用泄露监测功能(免费),配置自定义规则,进行主动和被动监测,及时发现人为疏忽导致的敏感信息泄露行为;


最后,就是梳理核心业务场景,构建以业务为中心的安全防护体系,针对业务数据流、业务支撑组件以及业务入口、业务敏感凭据进行全面梳理,进行专项建设优化和持续运营。


为最大程度的保障云上租户安全,还可以应用以主动响应为主的“租户安全运营中台”能力,通过云原生威胁情报、云漏洞情报、全局漏洞防护、基础安全大数据分析及威胁监测等手段,实时分析全云安全态势,及时阻断云上批量漏洞利用行为。


与此同时,还面向用户构建的云端漏洞封堵能力和数据泄露监测能力,前者可实现用户侧无感知批量漏洞利用防护,后者则提供全流程的敏感凭据泄露防护解决方案,该方案通过事前凭据加固实践、事中提供托管式管理、加密、轮换等操作凭据管理系统以及事后提供的主动+被动的敏感凭据泄露监测能力,可以帮助用户在敏感凭据管理的全生命周期规避泄露风险,此次全球SNAKES勒索事件所使用的恶意软件,则包含了检查程序代码中硬编码(如内部系统名称和相关公共IP地址)行为。


除了保障云上租户安全外,从数据安全角度,在做好日常数据的备份基础上,我们还有三个建议。


首先在数据生产之初,重点关注数据的分类、治理和策略。明确哪些是机密数据、敏感数据、普通数据,进而根据数据的不同等级,设置不同的安全策略。 


其次,重视异常事件监测分析。一方面为企业提供运维人员操作审计,对异常行为进行告警,防止内部数据泄密,一方面对数据库运行进行智能化审计,对数据库运行过程中的潜在风险进行挖掘,及时发现每一条异常行为并予以拦截。

最后还要加强数据存储灾备和恢复能力,确保系统在遭受灾难时数据的安全,以及业务的快速恢复。


总的来说,面对频发的企业云上勒索事件,云鼎实验室方面建议大家事前做好相应的防御,做好数据的监测备份和服务器的加固。当遇到此类问题的时候还要有良好的应急机制,拒绝交付赎金,利用防火墙等进行访问控制,隔离感染机器。事后记得进行数据恢复或数据解密,挽回重要数据,进行安全加固,防止再次感染,恢复正常运作。

本文作者:云鼎实验室

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/133881.html

Tags:
评论  (0)
快来写下你的想法吧!

云鼎实验室

文章数:29 积分: 144

我们正努力成为云上安全的技术领导者~

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号