增強網(wǎng)絡(luò)防御能力的10個步驟

雷英

根據(jù)最近的一份報告，當(dāng)企業(yè)算支付贖金的費用以及相關(guān)損失時，例如停機時間、任何丟失的數(shù)據(jù)或硬件的價值或改善軟件的花費，勒索軟件事件的平均損失約為713 000美元。基礎(chǔ)架構(gòu)以及修復(fù)品牌形象所需的時間和金錢及關(guān)鍵系統(tǒng)保持脫機狀態(tài)的時間越長，這個數(shù)字也會成倍增加。

而且，這些成本可能會上升。例如，在2019年的最近一次攻擊中，攻擊者要求為受此攻擊影響的每臺計算機支付13比特幣（超過75 000美元），以便用戶可以重新獲得對文件的訪問權(quán)限———遠遠高于正常的勒索需求，之前的贖金要求略低于13 000美元。

由于勒索軟件在經(jīng)濟上的成功，繼續(xù)吸引著網(wǎng)絡(luò)犯罪分子，他們大規(guī)模攻擊粗心的受害者，或者精心策劃針對最有可能付費的目標(biāo)進行高度集中的攻擊。越來越多的技術(shù)犯罪者通過Dark Web上的勒索軟件躍入潮流。

不管這個消息看起來多么凄涼，組織實際上都有方法可以有效防御勒索軟件。首先，使用一些最佳實踐來防止盡可能多的攻擊，然后采取適當(dāng)?shù)念A(yù)防措施，將任何功攻擊的影響降至最低。以下是組織需要考慮的10個關(guān)鍵步驟：

繪制企業(yè)的攻擊面

企業(yè)無法保護自己不知道需要保護的內(nèi)容。首先要確定環(huán)境中開展的業(yè)務(wù)并維護活動清單所依賴的所有系統(tǒng)、設(shè)備和服務(wù)。此過程不僅可以幫助企業(yè)確定最易受攻擊的目標(biāo)，還可以幫助企業(yè)確定系統(tǒng)的基準(zhǔn)，以進行恢復(fù)。

修補和升級易受攻擊的設(shè)備。

建立和維護常規(guī)的修補，升級協(xié)議只是一種基本的最佳實踐。不幸的是，太多組織根本不這樣做。當(dāng)然，并非每個系統(tǒng)都可以脫機進行修補。在那種情況下，需要使用嚴格的鄰近控制以及某種隔離或零信任策略來替換他們（在可能的情況下）或?qū)ζ溥M行保護。

更新企業(yè)的基礎(chǔ)安全系統(tǒng)

除了更新網(wǎng)絡(luò)設(shè)備之外，企業(yè)還需要確保所有安全解決方案都在運行最新更新。這對于企業(yè)的安全電子郵件證書尤其重要。大多數(shù)勒索軟件通過電子郵件進入組織，而郵件證書能夠保障郵件傳輸過程中不被他人閱讀及篡改，并由郵件接收者進行驗證，確保電子郵件內(nèi)容的完整性。此外，企業(yè)安全策略需要包括應(yīng)用程序白名單、部署網(wǎng)站SSL證書、特權(quán)限制、在關(guān)鍵系統(tǒng)之間實現(xiàn)零信任、強制執(zhí)行強密碼策略以及要求使用多因素身份驗證之類的事情。

細分企業(yè)的網(wǎng)絡(luò)

網(wǎng)絡(luò)分段可確保將受感染的系統(tǒng)和惡意軟件包含在網(wǎng)絡(luò)的特定網(wǎng)段中。這包括隔離知識產(chǎn)權(quán)以及隔離員工和客戶的個人標(biāo)識信息。同樣，將關(guān)鍵服務(wù)（如緊急服務(wù)或物理資源和HVAC系統(tǒng)）保持在單獨的隔離網(wǎng)絡(luò)中。

保護企業(yè)的擴展網(wǎng)絡(luò)

確保在擴展網(wǎng)絡(luò)（包括運營技術(shù)網(wǎng)絡(luò)、云環(huán)境和分支機構(gòu)）中復(fù)制部署在核心網(wǎng)絡(luò)上的安全解決方案，以防止出現(xiàn)安全漏洞。此外，還需要花一些時間來查看來自其他組織（客戶、合作伙伴和供應(yīng)商）與企業(yè)網(wǎng)絡(luò)相關(guān)的任何連接。確保加固了這些連接，并確保適當(dāng)?shù)陌踩院秃Y選。接下來，警告那些合作伙伴企業(yè)可能發(fā)現(xiàn)的任何問題，尤其是與連接共享或可能傳播惡意內(nèi)容的有關(guān)問題。

隔離企業(yè)的系統(tǒng)恢復(fù)與備份數(shù)據(jù)

企業(yè)需要執(zhí)行常規(guī)的數(shù)據(jù)和系統(tǒng)備份，并且將這些備份存儲在網(wǎng)絡(luò)外，這樣它們就不會在發(fā)生安全漏洞時遭到破壞。組織還應(yīng)該掃描這些備份以尋找惡意軟件的證據(jù)。企業(yè)還需要確保完全系統(tǒng)恢復(fù)所需的所有系統(tǒng)、設(shè)備和軟件都與網(wǎng)絡(luò)隔離，以便在企業(yè)需要從攻擊中恢復(fù)時完全可用。

運行恢復(fù)演練

定期進行恢復(fù)演練可確保企業(yè)已備份的數(shù)據(jù)隨時可用，可以還原所有必需的資源，并且所有系統(tǒng)都能按預(yù)期運行。確保指揮鏈到位，并且所有個人和團隊都了解他們的責(zé)任。演練期間提出的任何問題都需要記錄下來并解決。

利用外部專家

建立受信任的專家和顧問的列表，如果出現(xiàn)妥協(xié)，可以與他們聯(lián)系，以幫助企業(yè)完成恢復(fù)過程。如果可能，企業(yè)還應(yīng)該讓他們參與恢復(fù)練習(xí)。注意：組織還應(yīng)將任何勒索軟件事件立即報告給相關(guān)政府機構(gòu)。

注意勒索軟件事件

訂閱威脅情報和新聞提要，以跟上新的勒索軟件新聞，使企業(yè)團隊養(yǎng)成習(xí)慣學(xué)習(xí)如何、為何破壞系統(tǒng)，然后將這些課程應(yīng)用于自己的環(huán)境。

教育員工

員工不是企業(yè)安全鏈中最薄弱的環(huán)節(jié)，而必須成為企業(yè)網(wǎng)絡(luò)防御的第一線。由于勒索軟件通常從網(wǎng)絡(luò)釣魚活動開始，因此必須對網(wǎng)絡(luò)犯罪分子新的欺騙手段進行教育，無論網(wǎng)絡(luò)犯罪分子是針對公司、個人還是移動設(shè)備，都必須以此為手段。除了要求大多數(shù)員工參加定期的年度安全檢查之外，還應(yīng)考慮定期進行意識提高活動。30 ～ 60秒的快速視頻更新，網(wǎng)絡(luò)釣魚模擬游戲，執(zhí)行人員發(fā)來的電子郵件以及內(nèi)容豐富的海報有助于保持知名度。此外，運行自己的內(nèi)部網(wǎng)絡(luò)釣魚活動可以幫助確定需要額外培訓(xùn)的員工。

傳遞下去

當(dāng)涉及網(wǎng)絡(luò)犯罪時，我們在一起，確保與行業(yè)同行、顧問和業(yè)務(wù)合作伙伴定期舉行會議，尤其是對企業(yè)業(yè)務(wù)運營至關(guān)重要的會議，以分享這些策略并鼓勵其被采用。這不僅可以確保他們不會在上游或下游傳播勒索軟件，對自己和企業(yè)造成責(zé)任，還可以保護企業(yè)，因為網(wǎng)絡(luò)的任何中斷都可能對企業(yè)的業(yè)務(wù)產(chǎn)生連鎖反應(yīng)。