勒索軟件防范指南

勒索軟件是黑客用來(lái)劫持用戶(hù)資產(chǎn)或資源實(shí)施勒索的一種惡意程序。黑客利用勒索軟件，通過(guò)加密用戶(hù)數(shù)據(jù)、更改配置等方式，使用戶(hù)資產(chǎn)或資源無(wú)法正常使用，并以此為條件要求用戶(hù)支付費(fèi)用以獲得解密密碼或者恢復(fù)系統(tǒng)正常運(yùn)行。主要的勒索形式包括文件加密勒索、鎖屏勒索、系統(tǒng)鎖定勒索和數(shù)據(jù)泄漏勒索等。主要的傳播方式包括釣魚(yú)郵件傳播、網(wǎng)頁(yè)掛馬傳播、漏洞傳播、遠(yuǎn)程登錄入侵傳播、供應(yīng)鏈傳播和移動(dòng)介質(zhì)傳播等。

國(guó)家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT）近期發(fā)布的《2020年我國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢(shì)綜述》顯示，2020年勒索軟件持續(xù)活躍，全年捕獲勒索軟件78.1萬(wàn)余個(gè)，較2019年同比增長(zhǎng)6.8%。2021年上半年，勒索軟件攻擊愈發(fā)頻繁，發(fā)生多起重大事件，例如3月20日，臺(tái)灣計(jì)算機(jī)制造商宏碁（Acer）遭REvil勒索軟件攻擊，被要求支付5000萬(wàn)美元贖金；5月7日，美國(guó)輸油管道公司Colonial Pipeline遭Darkside勒索軟件攻擊，導(dǎo)致東海岸液體燃料停止運(yùn)營(yíng)；5月26日，國(guó)內(nèi)某大型地產(chǎn)公司遭REvil勒索軟件攻擊，竊取并加密了約3TB的數(shù)據(jù)；5月31日，全球最大的肉類(lèi)供應(yīng)商JBS遭REvil勒索軟件攻擊，導(dǎo)致澳大利亞所有JBS肉類(lèi)工廠停產(chǎn)。

一、勒索軟件防范九要、四不要
防范勒索軟件要做到以下
“九要”

1、要做好資產(chǎn)梳理與分級(jí)分類(lèi)管理。清點(diǎn)和梳理組織內(nèi)的信息系統(tǒng)和應(yīng)用程序，建立完整的資產(chǎn)清單；梳理通信數(shù)據(jù)在不同信息系統(tǒng)或設(shè)備間的流動(dòng)方向，摸清攻擊者橫向移動(dòng)可能路徑；識(shí)別內(nèi)部系統(tǒng)與外部第三方系統(tǒng)間的連接關(guān)系，尤其是與合作伙伴共享控制的區(qū)域，降低勒索軟件從第三方系統(tǒng)進(jìn)入的風(fēng)險(xiǎn)；對(duì)信息系統(tǒng)、數(shù)據(jù)進(jìn)行分級(jí)分類(lèi)，識(shí)別關(guān)鍵業(yè)務(wù)和關(guān)鍵系統(tǒng)，識(shí)別關(guān)鍵業(yè)務(wù)和關(guān)鍵系統(tǒng)間的依賴(lài)關(guān)系，確定應(yīng)急響應(yīng)的優(yōu)先級(jí)。

2、要備份重要數(shù)據(jù)和系統(tǒng)。重要的文件、數(shù)據(jù)和業(yè)務(wù)系統(tǒng)要定期進(jìn)行備份，并采取隔離措施，嚴(yán)格限制對(duì)備份設(shè)備和備份數(shù)據(jù)的訪問(wèn)權(quán)限，防止勒索軟件橫移對(duì)備份數(shù)據(jù)進(jìn)行加密。

3、要設(shè)置復(fù)雜密碼并保密。使用高強(qiáng)度且無(wú)規(guī)律的登錄密碼，要求包括數(shù)字、大小寫(xiě)字母、符號(hào)，且長(zhǎng)度至少為8位的密碼，并經(jīng)常更換密碼；對(duì)于同一局域網(wǎng)內(nèi)的設(shè)備杜絕使用同一密碼，杜絕密碼與設(shè)備信息（例如IP、設(shè)備名）具有強(qiáng)關(guān)聯(lián)性。

4、要定期安全風(fēng)險(xiǎn)評(píng)估。定期開(kāi)展風(fēng)險(xiǎn)評(píng)估與滲透測(cè)試，識(shí)別并記錄資產(chǎn)脆弱性，確定信息系統(tǒng)攻擊面，及時(shí)修復(fù)系統(tǒng)存在的安全漏洞。

5、要常殺毒、關(guān)端口。安裝殺毒軟件并定期更新病毒庫(kù)，定期全盤(pán)殺毒；關(guān)閉不必要的服務(wù)和端口，包括不必要的遠(yuǎn)程訪問(wèn)服務(wù)（3389端口、22端口），以及不必要的135、139、445等局域網(wǎng)共享端口等。

6、要做好身份驗(yàn)證和權(quán)限管理。加強(qiáng)訪問(wèn)憑證頒發(fā)、管理、驗(yàn)證、撤銷(xiāo)和審計(jì)，防止勒索軟件非法獲取和使用訪問(wèn)憑證，建議使用雙因子身份認(rèn)證；細(xì)化權(quán)限管理，遵守最小特權(quán)原則和職責(zé)分離原則，合理配置訪問(wèn)權(quán)限和授權(quán)，盡量使用標(biāo)準(zhǔn)用戶(hù)而非管理員權(quán)限用戶(hù)。

7、要嚴(yán)格訪問(wèn)控制策略。加強(qiáng)網(wǎng)絡(luò)隔離，使用網(wǎng)絡(luò)分段、網(wǎng)絡(luò)劃分等技術(shù)實(shí)現(xiàn)不同信息設(shè)備間的網(wǎng)絡(luò)隔離，禁止或限制網(wǎng)絡(luò)內(nèi)機(jī)器之間不必要的訪問(wèn)通道；嚴(yán)格遠(yuǎn)程訪問(wèn)管理，限制對(duì)重要數(shù)據(jù)或系統(tǒng)的訪問(wèn)，如無(wú)必要關(guān)閉所有遠(yuǎn)程管理端口，若必須開(kāi)放遠(yuǎn)程管理端口，使用白名單策略結(jié)合防火墻、身份驗(yàn)證、行為審計(jì)等訪問(wèn)控制技術(shù)細(xì)化訪問(wèn)授權(quán)范圍，定期梳理訪問(wèn)控制策略。

8、要提高人員安全意識(shí)。為組織內(nèi)人員和合作伙伴提供網(wǎng)絡(luò)安全意識(shí)教育;教育開(kāi)發(fā)人員開(kāi)發(fā)和測(cè)試環(huán)境要與生產(chǎn)環(huán)境分開(kāi)，防止勒索軟件從開(kāi)發(fā)和測(cè)試系統(tǒng)傳播到生產(chǎn)系統(tǒng)。

9、要制定應(yīng)急響應(yīng)預(yù)案。針對(duì)重要信息系統(tǒng)，制定勒索軟件應(yīng)急響應(yīng)預(yù)案，明確應(yīng)急人員與職責(zé)，制定信息系統(tǒng)應(yīng)急和恢復(fù)方案，并定期開(kāi)展演練；制定事件響應(yīng)流程，必要時(shí)請(qǐng)專(zhuān)業(yè)安全公司協(xié)助，分析清楚攻擊入侵途徑，并及時(shí)加固堵塞漏洞。

防范勒索軟件要做到以下
“四不要”

1、不要點(diǎn)擊來(lái)源不明郵件。勒索軟件攻擊者常常利用受害者關(guān)注的熱點(diǎn)問(wèn)題發(fā)送釣魚(yú)郵件，甚至還會(huì)利用攻陷的受害者單位組織或熟人郵箱發(fā)送釣魚(yú)郵件，不要點(diǎn)擊此類(lèi)郵件正文中的鏈接或附件內(nèi)容。如果收到了單位組織內(nèi)或熟人的可疑郵件，可直接撥打電話向其核實(shí)。

2、不要打開(kāi)來(lái)源不可靠網(wǎng)站。不瀏覽色情、賭博等不良信息網(wǎng)站，此類(lèi)網(wǎng)站經(jīng)常被勒索軟件攻擊者發(fā)起掛馬、釣魚(yú)等攻擊。

3、不要安裝來(lái)源不明軟件。不要從不明網(wǎng)站下載安裝軟件，不要安裝陌生人發(fā)送的軟件，警惕勒索軟件偽裝為正常軟件的更新升級(jí)。

4、不要插拔來(lái)歷不明的存儲(chǔ)介質(zhì)。不要隨意將來(lái)歷不明的U盤(pán)、移動(dòng)硬盤(pán)、閃存卡等移動(dòng)存儲(chǔ)設(shè)備插入機(jī)器。

二、勒索軟件應(yīng)急處置方法
當(dāng)機(jī)器感染勒索軟件后，不要驚慌，可立即開(kāi)展以下應(yīng)急工作，降低勒索軟件產(chǎn)生的危害。

1、隔離網(wǎng)絡(luò)。采用拔掉網(wǎng)線或者禁用網(wǎng)絡(luò)等方式切斷受感染機(jī)器的網(wǎng)絡(luò)連接，避免網(wǎng)絡(luò)內(nèi)其他機(jī)器被進(jìn)一步感染滲透。

2、分類(lèi)處置。當(dāng)發(fā)現(xiàn)機(jī)器上重要文件尚未被加密時(shí)，應(yīng)立即終止勒索軟件進(jìn)程或者關(guān)閉機(jī)器，及時(shí)止損；當(dāng)發(fā)現(xiàn)機(jī)器上重要文件已被全部加密時(shí)，可保持機(jī)器開(kāi)機(jī)原狀態(tài)，等待專(zhuān)業(yè)處置。

3、及時(shí)報(bào)告。及時(shí)報(bào)告網(wǎng)絡(luò)管理員，通知其他可能會(huì)受到勒索軟件影響的人員。造成重大影響時(shí)，及時(shí)向網(wǎng)絡(luò)安全主管部門(mén)報(bào)告。

4、排查加固。立即視情況切斷網(wǎng)絡(luò)內(nèi)機(jī)器間不必要的網(wǎng)絡(luò)連接，修改網(wǎng)絡(luò)內(nèi)機(jī)器的弱口令密碼。全面排查勒索軟件植入途徑，并及時(shí)堵塞漏洞。盡快對(duì)網(wǎng)絡(luò)內(nèi)機(jī)器進(jìn)行全面漏洞掃描與安全加固。

5、專(zhuān)業(yè)恢復(fù)。請(qǐng)專(zhuān)業(yè)公司和人員進(jìn)行數(shù)據(jù)和系統(tǒng)恢復(fù)工作。