|
勒索病毒解決方案时间：2022-06-08 【转载】 A：什么是勒索病毒？ B : 勒索病毒，是一種新型電腦病毒，主機感染勒索病毒文件后，會在主機上運行勒索程序，遍歷本地所有磁盤指定類型文件進行加密操作，加密后文件無法讀取。然后生成勒索通知，要求受害者在規(guī)定時間內支付一定價值的虛擬幣才能恢復數(shù)據，否則會被銷毀數(shù)據。從直觀現(xiàn)象而言，勒索病毒的現(xiàn)象主要包含以下兩種場景。 1、常規(guī)勒索病毒現(xiàn)象 服務器文件被加密，例如加密成.java后綴或者其他奇怪的后綴名稱，在桌面提示需要支付比特幣贖金到某個賬戶，如果不支付將導致文件永遠不可用，如下圖所示： 2、變種勒索病毒現(xiàn)象 內網主機成片出現(xiàn)藍屏現(xiàn)象，藍屏的代碼提示srv.sys驅動出現(xiàn)問題，如下圖所示: 內網大面積主機藍屏一般是變種類型的勒索病毒，具有很強的傳播性。 詳情可參考如下鏈接： http://sec.sangfor.com.cn/events/97.html 勒索病毒預防措施 1 檢測和分析 建議上一些流量采集分析系統(tǒng)針對內網東西南北流量進行分析檢測+終端檢測響應系統(tǒng)，及時發(fā)現(xiàn)內網中存在的勒索病毒攻擊，迅速處理，針對的進行查殺和終端隔離，避免爆發(fā)進行數(shù)據加密和資源的破壞。 2 弱口令 避免弱口令，避免多個系統(tǒng)使用同一個口令，針對系統(tǒng)的密碼在設定的時候滿足復雜性要求，定期修改密碼，不得有重復的。 3 應用和服務的管控限制 終端：關閉Windows共享服務，遠程桌面控制等不必要的服務。 網絡：防火墻做好應用控制，關閉互聯(lián)網訪問。 4 漏洞管理 定期進行漏掃，發(fā)現(xiàn)存在問題，及時打上補丁、修復漏洞，包含操作系統(tǒng)和應用系統(tǒng)。 5 殺毒軟件 必須要有一款殺毒軟件進行防護，定期掃描殺毒，確認是否存在異常風險。 6 數(shù)據備份 對重要的數(shù)據文件定期進行非本地備份，本地備份一旦出現(xiàn)問題全部數(shù)據不可用，推薦可以使用一些專業(yè)的備份系統(tǒng)，比如CDP。 7 安全意識宣傳 不使用不明來歷的U盤、移動硬盤等存儲設備，這些很有可能會攜帶病毒體。 不要點擊來源不明的郵件以及附件，郵件也是傳播最頻繁的方式之一，重視可使用一些郵件網關進行過濾。 不要接入公共網絡也不允許內部網絡接入來歷不明外網PC，接入網絡就存在風險，不明網絡和不明訪客PC的接入需要謹慎和管控。 變種勒索病毒解決方案 在實際案例中有可能內網還存在著其他中了勒索病毒的主機。特別是出現(xiàn)藍屏現(xiàn)象的內網，可能有些中了勒索病毒的主機還沒有被發(fā)現(xiàn)，因為藍屏一般意味著勒索病毒還沒有完全的漏洞利用成功，后面可能還會出現(xiàn)主機藍屏事件，會對業(yè)務系統(tǒng)造成極大的隱患。 所以對于勒索病毒的防御不能只是出現(xiàn)一例解決一例，重裝系統(tǒng)完事，解決已知中勒索病毒的主機是第一步，要進行持續(xù)的監(jiān)視和安全隔離。根據時間的場景，分為臨時和長期的解讀方案。 1臨時解決方案 當病毒爆發(fā)，內網主機大量出現(xiàn)藍屏現(xiàn)象，臨時的解決方案是在交換機上過濾所有接口的135,137,139，445訪問，禁止病毒在內網通過上述端口進行傳播。然后通過一些安全專殺工具進行一臺臺主機病毒查殺”。這種方式簡單粗暴有效，但是對于部分內網是需要進行445端口訪問的就不可行了，接入在同一個非網管的二層交換機下面也不能實現(xiàn)隔離，也很難及時發(fā)現(xiàn)內網勒索病毒爆發(fā)的情況。 一般來說還是建議對出現(xiàn)問題的主機以及同一個域中的主機進行全面的檢測，發(fā)現(xiàn)問題就進行查殺。 2長效解決方案 針對臨時解決方案的不足，長效的解決方案需要找到內網所有的攻擊源，進行病毒查殺，并進行持續(xù)性的監(jiān)控。手動抓包分析的方式確定攻擊源會存在速度慢、誤報高的弊端，而且病毒發(fā)動攻擊或者對內網的其他主機進行暴力破解可能也存在潛伏期，不一定會在抓包解讀持續(xù)攻擊，可以借助一些專業(yè)的流量采集分析平臺來分析內網所有的流量，部署方式如下： 每一個接入層放一臺流量采集器，利用交換機的流量鏡像到流量采集器，流量采集器把數(shù)據傳遞到流量采集分析平臺進行分析，最后以直觀的訪問關系圖和報表呈現(xiàn)出整個網絡的安全態(tài)勢，特別是對于中了勒索病毒的主機對內網其他主機爆破能夠及時發(fā)現(xiàn)告警，部署一段時間就會有安全可視化數(shù)據。流量采集分析平臺可以收集用戶與用戶之間的流量、內網服務器之間的流量、外網服務器之間的流量，通過分析流量可以發(fā)現(xiàn)內部潛伏的安全問題，如攻擊事件、業(yè)務受控等，并通過梳理內部業(yè)務系統(tǒng)的訪問關系發(fā)現(xiàn)違規(guī)行為、異常行為。 3通過分析日志基本確認攻擊源主機 借助流量采集分析平臺分析識別用戶（PC端）是否已被控制，查看風險IP自身行為，根據攻擊行為、C&C通信行為查看影響業(yè)務，可以直接發(fā)現(xiàn)內網橫向攻擊行為。如果該用戶通過C&C通信分析已被感染，則此IP就是跳板。 使用漏洞檢測工具進行每臺檢測，發(fā)現(xiàn)問題就進行查殺。 Wannacry變種勒索病毒（主機藍屏)處置方法 1 查看流量采集分析平臺，找到失陷主機。 2 使用NSA漏洞免疫工具關閉139,445等端口或者拔掉網線。 3 使用終端檢測響應系統(tǒng)僵尸網絡查殺工具對失陷主機進行檢查（殺毒時確保規(guī)則庫是最新的），并隔離病毒。 4 打上MS17-010漏洞補丁(部分情況下如果缺少前置補丁可能導致MS17-010打不上，建議直接使用騰訊管家之類的工具直接更新補丁)。 https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2017/ms17-010 5 重啟服務器或者PC，再查殺一次，確保沒有病毒。 6 重新開啟關閉的端口或者接上網線。 |
