1+2+3体系化防御能力|AG公司科技定向勒索攻击防护解决方案让你不再"谈虎色变"
2021-10-29
01 序言
各行各业在数字化转型进程中时刻都在产生着数据。数据已经成为第五个关键生产要素，承载着企业的知识产权、商业秘密，甚至国家政治经济信息，像 “血液”一样滋养着数字经济的发展。随着《网络安全法》《数据安全法》的颁布实施，我国网络安全建设已经进入有法可依的时代，网络安全法制体系逐步健全，保障数据资产安全、防范勒索攻击成为国家网络安全保障的重要议题。
02勒索攻击演进的两大趋势
低门槛与高收益
勒索攻击能如“野草”般肆意生长，主要原因一方面勒索攻击的门槛越来越低，各种简单易用的编程语言简化了勒索软件的编写过程；同时，勒索攻击服务化模式的出现，可以使攻击者以购买服务的方式利用勒索软件开发者精心准备的勒索攻击服务方案，从发起勒索攻击到收取赎金都不需要任何高深的专业知识，就可以完成一次收益颇丰的非法勾当。另一方面是勒索攻击进行加密的手段复杂、解密成本高，使用电子货币支付赎金，变现快、收益高、追踪难。
定向性与高损伤
勒索攻击朝着定向性、复杂性加速“进化”，演化出针对关键基础设施等高价值目标的定向勒索，借助APT技术对重点目标进行隐匿而持久的网络入侵，寻找特定的高价值服务器目标。企业不仅遭受数据被非法加密还要防范敏感数据泄漏，其带来的危害损伤远不止赎金造成的经济损失，对于生产制造企业更是面临生产业务中断、数据损毁或商业声誉受损等机会成本方面的损失，甚至给国家带来社会不稳定等多方面的影响。
Ø 03 构建1+2+3体系化防御能力
1个安全防御框架
勒索攻击从WannaCry爆发走进了大众视野，至今四年的时间里勒索软件衍生出了多个变种，持续对全球网络安全造成威胁，不断有国际知名企业被勒索的案件发生，赎金也持续刷新纪录。勒索攻击虽然无解，但是我们根据攻击者实现网络渗透的手段和路径建立起以评估、防护和响应为核心的安全防御框架。
图 1 定向勒索攻击安全防御框架
2项常态化安全管理
常态化网络安全风险评估，这是一个摸清家底的过程。在评估前确定评估目标和范围；通过风险识别厘清信息资产，梳理数据在不同信息系统或设备间的流动方向，摸清攻击者横向移动的可能路径，识别关键风险点；开展安全风险分析，输出资产面临的风险，分析关键业务、关键系统及其依赖关系，分析各类风险可能造成的影响；风险处置阶段确定应急响应的优先级，并开展系统安全加固工作。
图 2 网络安全风险评估框架
常态化勒索攻击应急响应演练，针对重要信息系统，制定勒索攻击应急响应预案和恢复方案，明确应急人员与职责，在实际演练中不断提高人员网络安全意识，通过分析攻击入侵途径，及时发现并加固堵塞安全防护漏洞。当检测到遭受勒索攻击后，启动应急响应，阻断勒索攻击路径，确认勒索攻击影响范围，消除被攻陷主机上的勒索软件，启用备份数据进行恢复，总结网络安全短板并及时修补。
图 3 定向勒索攻击演练与应急响应框架
3道安全防御阵线
互联网安全防线、内网终端安全防线和数据备份安全防线构建起应对勒索攻击入侵、横向移动、数据窃取和数据加密勒索四大典型环节的3道纵深防御阵线。
图 4 定向勒索攻击路线与防御阵线
构建互联网安全防线， 针对将勒索软件伪装成设计图纸、订单等重要文档的钓鱼邮件，通过邮件安全网关（SEG）和邮件高级威胁防护系统(TAC-E)对已知和未知的勒索软件进行识别和阻断。针对通过互联网边界发起的入侵行为，利用网络入侵防护系统（NIPS）对攻击者漏洞利用和恶意样本投递的行为进行检测、告警和阻断。针对攻击者窃取数据后非法外发的网络流量，通过网络流量分析系统（NTA）识别流量数据中存在的异常行为，掌握异常流量成分、来源等信息。
巩固内网终端安全防线，针对攻击者在内网中潜伏、扫描和扩散等攻击行为，通过一体化终端安全管理系统（UES）检测网络中各个设备可能造成威胁的异常行为，借助本地资产信息识别，与安全评估系统（RSAS）进行联动分析，及时掌握设备的安全脆弱性。应用高级威胁狩猎系统（ATH）布置蜜罐诱饵主机、网络服务等对攻击者进行欺骗，从而对攻击行为进行捕获和分析，实现更有效的攻击检测和威胁防护。结合智能安全运营平台（ISOP）对网络威胁实时感知，对各类安全信息与威胁情报进行关联分析，结合专业人员的安全运营，在勒索攻击爆发前快速发现、预警和阻断。
夯实数据备份安全防线，数据备份被认为是当前企业机构防御勒索攻击的有效做法之一，通过定期对IT和OT系统数据采取在线和离线两种备份方式，应用至少两种不同的备份介质，以便在发生勒索攻击事件时，能够及时恢复相应数据，降低业务应用中断造成的影响。
防御部署
为了有效提高企业应对勒索攻击的防护能力，针对企业内部管理网和生产控制网分别进行安全防御部署。在内部管理网的网络接入区、DMZ区、数据中心区、数据备份区、内网终端区和安全管理区分别部署勒索攻击防护产品，及时检测、告警和阻断攻击行为。对生产控制网络，部署工控安全防护产品，实现生产控制网络异常感知、处置策略下发，保障生产业务连续和稳定。
图 5 定向勒索攻击防护部署图
04 总结
AG公司科技定向勒索攻击防护解决方案针对勒索攻击全流程（网络入侵、横向移动、数据窃取、数据加密）都采用针对性防护产品，实现了体系化纵深防御与横向预防及应急处置的有效闭环。
对于企业进行相应的网络安全建设并不是从零开始，看似庞大的网络安全产品资金投入实质上只需要针对企业现有网络安全体系进行“查漏补缺”。企业网络中已经部署了入侵防御、邮件安全网关、集中安全管控平台等安全产品，只需要通过安全运营充分发挥这些已有产品的作用，再添加邮件高级威胁防护系统、一体化终端安全管理系统和数据备份系统等产品就能够补齐安全短板，有效应对勒索攻击带来的安全威胁。
