勒索病毒防护解决方案

第一，勒索病毒已经成为当前网络安全的主要危害。

勒索病毒可以追溯到1989年，随着互联网技术的不断发展。众所周知，2017年全球爆发了勒索病毒WannaCry“永恒之蓝”。仅一天时间，就有242.3万个IP地址被该勒索病毒攻击，近3.5万个IP地址被该勒索病毒感染，其中国内受影响的IP地址约为1.8万个。由大学、医院、政府、企业等单位主导的网络大规模崩溃。台湾省、北京、上海、江苏、天津等地成为重灾区。随后，在移动端发现大量“WannaCry”勒索病毒变种。近年来，勒索软件不断进化，勒索软件不断扩大的市场规模催生了新的盈利模式。与此同时，大量以贩卖勒索软件为主业的黑灰产业也应运而生。现在已经认识到勒索病毒是危害全球网络安全的最重要因素之一。2022年，国内勒索安全事件如下:

重庆某医院服务器感染Phobos勒索病毒。

广东某企业多台主机同时感染Hive和Buran勒索病毒。

浙江某运营商被TellYouThePass勒索病毒攻击

浙江某企业被Mallox勒索病毒攻击。

浙江某高校办公终端感染咖啡勒索病毒。

安徽省某企业服务器感染TellYouThePass勒索病毒。

广东省某企业多台服务器感染Phobos勒索病毒。

微软Exchange服务器被攻击部署古巴勒索软件。

深圳某医疗行业单位办公终端感染TargetCompany勒索软件。

二、勒索病毒感染的特征

1.中毒症状明显。

被感染的电脑会被病毒锁定，电脑里几乎所有的文件，包括照片、文档、音频、视频都会被加密，还会弹出一个警告界面，大致意思就是你的文件已经被锁定了。如果你想取消它们，你需要支付比特币解锁，否则7天后它们将永远无法恢复。

2.各种交流方式。

RDP爆破:黑客可以利用RDP爆破内网的一个终端，成功获得主机的控制权；然后传播勒索病毒。

垃圾邮件:垃圾邮件发送到目标用户的邮箱广播，并附有恶意链接或邮件附件。用户通过word宏等加载powershell。

网站挂马:感染相关网站，让访问用户下载捆绑恶意程序的软件。

漏洞:利用操作系统或应用软件等漏洞，通过powershell、JS、VBS等没有文件的脚本释放加载。

恶意下载器下载:下载勒索软件，通过系统激活工具等常见流行工具内置的下载器进行传播。

u盘感染:u盘随意使用，内外网混用等。很容易传播病毒。

3.频繁的病毒变异。

勒索病毒爆发以来，围绕TargetCompany、Phobos、TellYouThePass、BadRabbit、GlobeImposter等10多个典型病毒家族，，至少已经衍生出数百种勒索病毒变种，并且在病毒产业化的诱导下，新变种还在以惊人的速度不断衍生。

4.加密算法很难理解。

在大多数感染勒索病毒的情况下，恢复加密数据是非常非常困难的。由于大部分加密密钥基本采用非对称算法，公钥加密和私钥解密根本无法逆向解密，因此只有在攻击者手中获得相应的解密私钥，才有可能无损恢复加密文件。黑客正是通过这种行为向受害者勒索高额赎金。这些赎金必须通过数字货币支付，一般无法溯源，所以危害很大。

第三，分析勒索软件的攻击过程

所谓知己知彼，百战不殆。防范勒索病毒，首先要了解勒索病毒攻击的全过程。与大多数勒索软件常见的攻击方式相比，勒索软件的攻击行为可以简化为五个阶段:

第一阶段——检测目标:检测目标，充分利用社会工程了解目标网络。

第二阶段——投放工具:主要指制作针对性攻击工具，通过垃圾邮件、网站挂马、恶意脚本等方式向目标系统投放勒索病毒。

第三阶段——触发病毒:在目标系统中，触发勒索病毒的执行。

第四阶段——加密:勒索软件对系统中的照片、文档、视频等信息资源进行加密。

第五阶段——横向转移:勒索病毒潜入内网，并以此为跳板，肆无忌惮地在内网中跑来跑去，对企业造成极大的安全威胁。

四。EDR北新苑一站式防勒索方案

作为国内终端安全的领军企业，北信源凭借多年的终端安全经验，打造了北信源主机安全检测响应系统这一全新的安全产品。通过对各种勒索病毒传播事件的分析，形成专门的勒索病毒解决方案，一站式解决用户困境，形成勒索病毒防护闭环。包括风险识别、安全防御、安全检测、安全应对勒索病毒的能力，最终实现风险可视化、主动防御、自动响应的安全目标，全方位保障用户的业务安全。

1.减少暴露的表面

在勒索病毒攻击发生之前，需要实时梳理整个内网风险，减少暴露，全面防御端口扫描、漏洞利用、暴力破解等各种攻击手段，防止病毒进入内网。

提高密码安全性

北信源EDR通过对终端的密码管理权限和使用状态的变化进行检查和报警，对不符合要求的终端进行提示或强制修改，可以防止弱密码的发生。

高风险漏洞检测和修复

北信源EDR为用户提供了漏洞检测、补丁分发等强大的安全功能。用户可以全面检测终端补丁的安装状态，对没有补丁的设备进行远程安装补丁，并及时向终端电脑分发最新补丁升级包，提示安装补丁，防止勒索软件通过漏洞入侵系统。

关闭高风险端口。

北信源EDR提供高风险端口检测能力，帮助用户时刻关注其主机的开放端口，避开一些高风险端口。

2.已知敲诈是主动的。

定义资产的潜在漏洞并不断修复，是勒索病毒防护的第一道屏障。在此基础上，北信源EDR更进一步，可以主动攻击勒索病毒。

勒索软件专杀

北信源EDR搭载反勒索引擎，对勒索行为进行分析预测，一旦发现勒索病毒对文件的加密破坏，第一时间拦截，保护数据安全。同时，反勒索引擎为用户构建文件墙，保护重要文件不被篡改和破坏，从而在这个过程中起到保护作用。

主动防御勒索软件

结合勒索病毒行为的特点，北信源EDR在客户端构建了一个针对勒索病毒的检测分析模型。基于人工智能引擎，可以实时发现并阻止勒索病毒行为。

阻挡横向运动路径

经过层层防御，勒索病毒感染可能无法绝对避免。北信源EDR配备了微隔离功能，可以对不同业务系统、不同部门、不同角色、不同终端进行细粒度的安全隔离和访问控制，防止勒索病毒进入内网后传播，最大限度地降低勒索病毒可能造成的危害。

3.准确定位疑似勒索。

北信源EDR内置大数据分析平台，可以收集终端进程动态、网络访问记录、注册表修改、DNS请求等多维度信息，并结合ATTCK技术框架，快速识别终端的高风险行为。对于未知的勒索病毒，行为分析不仅可以判断漏洞利用、远程控制等不触发杀毒软件的攻击方式，还可以分析勒索病毒登陆后的行为，从而发现病毒登陆后的危险行为，第一时间进行跟踪。

国际奥委会威胁情报

北信源EDR内置千万级数据的威胁情报数据库，结合终端实时上报的文件、网络、进程等采集点信息，实现外部情报与本地行为信息的命中匹配，快速准确定位勒索病毒，追溯威胁来源，拓展线索。

勒索诱饵

通过在内网资产操作系统的密钥目录中插入诱饵文件，捕获勒索病毒的加密行为。一旦发现诱饵文件被加密，立即反向定位勒索进程，并给出终端告警，停止进程。

4.敲诈勒索的立体追查。

采用大数据分析架构，采集终端进程信息、文件操作日志、内网安全流量等数据进行融合联动分析，帮助用户精准定位安全风险和勒索事件，找到网络中丢失的主机，追根溯源，寻找威胁的来龙去脉，让勒索软件无处藏身。

5.应急响应和处置联动

EDR北信源提供了一个应急响应模型。当平台发现内网终端涉嫌敲诈时，可以立体展示攻击过程，辅助用户进行威胁追踪。平台内置多重响应能力，包括核心位置防御、虚拟补丁、恶意行为拦截、勒索病毒诱捕、黑客入侵拦截等。供用户在各个阶段应对和处理勒索病毒入侵。

目前，北信源EDR已通过中国信通院的评估，是首批入围的厂商。未来，北信源将继续探索维护网络信息安全的有效措施，共同为国家互联网安全提供有力支撑。

数字化转型时代，北信源完善布局，提供更安全、更智能、更便捷的产品和服务。

作为国内终端安全管理领域的领先企业，以及国内网络与信息安全领域领先的解决方案提供商，北信源在网络安全领域深耕26年。截至2021年底，北信源已在全国近30个省市构建了营销和服务网络，现已占据中国终端安全管理市场第一名14年。凭借其优秀的产品体系、强大的RD能力、完整的解决方案和良好的售后服务，北信源已将客户覆盖范围扩大至全国。目前，其客户群已覆盖90%以上的政府和行业部门，为全国数千万台终端提供智能完善的安全服务。

近年来，为应对数字化转型时代网络安全的新变化，北信源从终端杀毒、终端安全控制、数据安全拓展到大数据安全、云安全、移动安全、工控安全、物联网安全、智慧城市安全、本地化安全，致力于提供5G时代更安全、更智能、更便捷的自控安全生态和软硬件一体化全方位解决方案。去年9月，北信源正式入选第9家CNCERT网络安全应急服务支持单位，提供安全漏洞信息报告、网络安全事件报告、重大安全事件响应、专项支持、交流培训等多维度的应急服务支持。，为国家互联网应急中心。同年，北信源率先参与“关键信息基础设施安全防护风险管理框架体系”，受邀入驻国家级防护2.0和可信计算3.0示范基地。此外，北信源先后与华为、金山办公、中移动融合、麒麟软件等达成合作。，整合众多信息创新平台构建完整生态链，共同打造信息技术应用创新体系，为行业客户和城市客户提供安全可靠的软硬件集成解决方案，提供更加全面灵活的网络安全保障。

未来，公司将继续以网络安全为基础，依托“信息安全与创新、移动办公与安全通信应用、智慧社区与健康医疗”三大格局，进一步完善和提升终端安全体系的防护能力，为政府、重要行业和广大互联网用户提供更安全、更智能、更便捷的产品和服务，为中国可控的信息技术和互联网安全发展提供更强大的动力，为数字经济保驾护航！