审校 | 重楼
勒索软件格局仍在持续演变，攻击者正不断创新策略来渗透系统并破坏数据。鉴于勒索软件组织已将平均赎金金额提升至惊人的200万美元，组织必须优先考应对虑勒索软件的准备方案，以避免毫无准备和不受保护所造成的高昂成本。
实现应对勒索软件的准备包括主动评估和降低勒索软件风险的方法。全面的勒索软件准备评估对于识别系统中的漏洞至关重要，确保您可以实施有效的措施来保护数据和进行操作。这种准备不仅有助于防御潜在的攻击，而且还可以在攻击发生时将影响降至最低。
本文将深入研究应对勒索软件准备工作的基本组成部分，提供见解和策略来帮助企业加强自身防御。从了解勒索软件的最新趋势，到进行全面的风险评估，以及制定有效的应对计划，本文将指导您完成必要的步骤，以加强对勒索软件的防范。通过优先考虑这些措施，您可以显著降低成为勒索软件受害者的风险，以及通常伴随此类攻击而来的毁灭性财务和声誉损失。
了解勒索软件攻击
勒索软件是一种恶意软件，旨在加密设备上的文件，使文件和系统无法使用。随后，恶意行为者通常会以加密货币的形式索要赎金，以换取解密密钥。如果不支付赎金，勒索软件攻击者将威胁出售或泄露窃取的数据。
研究表明，勒索软件攻击已成为当今组织面临的最普遍且最具破坏性的网络威胁之一。这些攻击通常始于用户无意中通过网络钓鱼邮件、恶意网站或受感染的软件下载了恶意软件。一旦恶意软件被执行，它就会迅速加密受害者的文件，将他们锁定在关键数据和应用程序之外。
勒索软件的一个显著特征是它的“双重威胁”性质。它不仅会加密数据以破坏业务操作，还经常涉及数据泄露。攻击者先窃取敏感信息，并以此为筹码威胁如果他们的要求得不到满足，就释放或出售这些数据。这种形式的“双重勒索”大大增加了受害者支付赎金要求的压力，因为数据泄露和机密信息暴露的可能性会导致无法挽回的声誉和财务损失。
多年来，勒索软件持续发展，攻击者不断开发更复杂的策略来增加成功的几率。现代勒索软件变种通常使用先进的加密算法，如果没有解密密钥，几乎不可能破解。此外，勒索软件活动的目标也越来越明确，攻击者进行了广泛的研究，以锁定高价值目标，例如医疗保健组织、金融机构和大型企业，这些目标更有可能支付大笔赎金。
勒索软件风险演变过程
传统上，勒索软件的运作模式是“机会主义”勒索，攻击者撒下一张大网，诱骗个人受害者一次性付款。随着勒索软件即服务（RaaS）模式的出现，网络犯罪分子开始利用更有组织、更商业化的方法来部署攻击，使其能够最大限度地破坏和获取潜在的赎金。自此，威胁形势可谓发生了翻天覆地地变化。
RaaS降低了业余威胁行为者部署勒索软件的门槛，允许他们通过租用恶意软件和入侵剧本实现大规模的攻击部署。这导致攻击的频率和复杂程度激增，对网络安全防御战略产生了深远影响。
具体来看，勒索软件风险的演变过程可以概述为如下方面：
过去：局部的勒索软件攻击
- 独立工具部署；
- 文件加密和窃取；
- 可能出现单一备份。
现在：内部DoS
- 通过任何必要方式实现访问；
- 勒索软件作为催化剂；
- 无法恢复的受损备份；
- 大范围的破坏；
- 对服务器和基础机构的特权凭据访问；
- 涉及赎金、勒索和出售数据等多种牟利方式；
- 引入勒索软件即服务（RaaS）模式。
未来：升级的RaaS
- 自动化的持续和广泛应用；
- 有组织化的破坏；
- 跨外包软件的数据加密，其中凭据访问将扩展至SaaS系统（包括会计、薪资、CRM等）。
勒索软件攻击媒介
勒索软件攻击利用各种攻击媒介渗透系统并部署恶意有效载荷。了解这些媒介对于预防勒索病毒感染和降低勒索病毒风险至关重要。
1.网络钓鱼和商业电子邮件攻击
勒索软件攻击的主要载体仍然是网络钓鱼电子邮件，它涉及发送看似合法的欺骗性电子邮件，诱骗收件人点击恶意链接或下载受感染的附件。商业电子邮件攻击（BEC）是一种复杂的网络钓鱼形式，攻击者可以访问企业电子邮件帐户并使用它进行欺诈活动，包括分发勒索软件。
与以往的网络钓鱼邮件和BEC攻击不同，恶意邮件的语言和风格已经发生了很大的变化——特别是随着ChatGPT等生成式人工智能工具的引入。攻击者现在可以使用这些工具使他们的电子邮件看起来更逼真，甚至可以匹配一个人自己的风格和语言。这使得用户更难以区分真正的电子邮件和网络钓鱼电子邮件，因此必须格外警惕。
2.基于浏览器的攻击
除此之外，各种社会工程策略也开始兴起，以提高攻击者成功的机会。其中一种策略是搜索引擎优化（SEO）中毒，即创建恶意网站，然后对其进行优化，以在搜索引擎结果中排名靠前。毫无戒心的用户在搜索合法信息时可能会无意中访问这些受感染的站点，从而导致勒索软件感染。网络犯罪分子还会利用恶意广告，在热门网站的广告中嵌入恶意软件，诱骗用户下载勒索软件。
3.滥用远程桌面协议
远程桌面协议（RDP）允许远程访问计算机，以便用户从另一个位置控制它。网络犯罪分子会利用弱的或受损的RDP凭据来获得对系统的未经授权访问，然后他们可以使用这些访问来部署勒索软件。使用强密码、多因素身份验证和定期监控来保护RDP对于降低这种风险至关重要。
4.滥用凭据
攻击者经常从以前的入侵活动或通过交易市场获得被盗或泄露的凭据。有了这些凭据，他们就可以获得对网络和系统的未经授权访问，从而允许他们横向移动和部署勒索软件。
为应对勒索软件做好准备
想要完全阻止勒索软件是不现实的，因为勒索软件攻击是如此普遍。但了解如何准备和防御勒索软件攻击仍然至关重要。防范勒索软件风险的关键策略包括强化系统、制定严格的预防措施、实现勒索软件检测和响应、部署恢复措施，以及通知相关当局和受影响方的应对计划。
预测勒索软件攻击
组织需要通过以下方式预测勒索软件攻击：
- 将初始访问向量作为勒索软件风险的关键领域，并设计网络安全策略，包括实施强大的电子邮件安全解决方案，执行强大的密码策略，以及监控远程访问协议，以显著降低未经授权访问的风险。
- 通过渗透测试解决方案、漏洞扫描工具以及网络钓鱼和安全意识培训计划进行年度评估和测试。
- 部署端点检测和响应（EDR）解决方案，实时监控和响应端点上的可疑活动。
- 利用主动威胁搜索功能和威胁情报服务，随时了解最新的网络威胁、战术和漏洞。
抵御勒索软件攻击
组织需要能够防御勒索软件，并在其进一步传播之前阻止它。为此，建议组织遵循如下策略：
- 与全天候MDR服务提供商合作，获得全天候威胁检测和响应能力，从而持续监控整个环境，实时遏制威胁。
- 了解攻击者的存在，评估立足点，并对抗持久的访问尝试。
- 访问原始威胁研究及基于最新威胁情报的见解，以领先于新出现的威胁、漏洞和勒索软件风险。
从勒索软件攻击中恢复
从勒索软件攻击中恢复需要一个协调良好的响应策略，优先恢复操作，保护系统，并从事件中学习以防止未来的攻击。具体建议如下：
- 快速隔离受感染的设备和网络，防止勒索软件进一步传播。
- 立即激活事件响应计划（IRP）以确保协调响应。该计划应包括控制攻击、根除勒索软件、恢复系统以及与利益相关者沟通的步骤。一些事件响应提供商将提供IR就绪服务，通过提高事件响应的效率和有效性，帮助您超越传统的IR计划，从而消除停机风险。
- 通知关键的利益相关者（包括您的执行领导团队、员工、客户和合作伙伴）有关攻击的情况。如有必要，请通知执法机构和监管机构，特别是在敏感数据泄露涉嫌违反法规遵从性的情况下。
- 彻底清理受感染的系统，以清除勒索软件的所有痕迹，这可能涉及重新映像受影响的设备，重新安装操作系统，以及恢复应用程序和数据。
- 聘请事件响应专家协助恢复过程，帮助进行取证分析，并提供有关补救步骤的指导。请记住，在发生勒索软件攻击时，有效的事件响应服务可快速实现控制，具有稳定性和组织性。
原文Top Strategies for Ensuring Ransomware Readiness in 2024，作者：Mitangi Parekh
