伴隨著互聯(lián)網(wǎng)的深入發(fā)展，以勒索軟件為代表的惡性網(wǎng)絡(luò)攻擊事件日漸增多，如WannaCry勒索軟件及其變種自2017年5月份以來在全球范圍內(nèi)大規(guī)模肆虐，百余個(gè)國(guó)家的網(wǎng)絡(luò)和重要數(shù)據(jù)曾遭到破壞。
近日，美國(guó)最大的輸油管道商Colonial Pipeline遭遇了來自勒索軟件的網(wǎng)絡(luò)攻擊，被迫緊急下線關(guān)閉部分網(wǎng)絡(luò)設(shè)備，導(dǎo)致美國(guó)東部沿海各州供油的關(guān)鍵燃油網(wǎng)絡(luò)陷入癱瘓，美國(guó)也因此宣布進(jìn)入國(guó)家緊急狀態(tài)。
該事件的發(fā)生再一次為人們敲響網(wǎng)絡(luò)安全的警鐘：企業(yè)網(wǎng)絡(luò)安全防護(hù)時(shí)刻不能松懈！
受類似事件影響，近年來國(guó)家不斷完善網(wǎng)絡(luò)安全相關(guān)立法，從法律層面對(duì)網(wǎng)絡(luò)安全管理、數(shù)據(jù)安全管理等提出了更高的要求規(guī)范。在金融、電信、醫(yī)療、電力、制造等關(guān)系國(guó)計(jì)民生的重要行業(yè)大力推廣網(wǎng)絡(luò)安全建設(shè)，通過多年的努力，企業(yè)防勒索軟件攻擊的能力得到顯著提升。
知識(shí)拓展：勒索軟件的基本原理是將病毒代碼偽裝后利用系統(tǒng)軟/硬件漏洞、軟件供應(yīng)鏈攻擊、蠕蟲病毒、無文件攻擊技術(shù)等非法手段，盡可能廣泛的傳播并感染終端電腦。一旦感染終端后立即對(duì)本地文件進(jìn)行不可逆加密，對(duì)用戶數(shù)據(jù)造成無法預(yù)估的損失；同時(shí)感染終端會(huì)主動(dòng)掃描局域網(wǎng)內(nèi)的其它終端進(jìn)行傳播，對(duì)企業(yè)正常的生產(chǎn)、運(yùn)營(yíng)造成重大挑戰(zhàn)。
作為國(guó)內(nèi)信息安全技術(shù)企業(yè)的代表廠，明朝萬達(dá)在WannaCry勒索軟件傳播伊始便投入了安元實(shí)驗(yàn)室的骨干研究員對(duì)其原理與運(yùn)行機(jī)制進(jìn)入了深入分析。
信息專家通過分析勒索軟件本身的執(zhí)行過程得知，勒索軟件對(duì)文件進(jìn)行加密的前提是必須擁有文件的編輯權(quán)限。對(duì)于文件的編輯權(quán)限，操作系統(tǒng)目前提供了兩層管理機(jī)制：第一層是基于用戶的管理，鑒于目前終端登錄用戶基本都是運(yùn)行在最高權(quán)限，勒索軟件基本上可以直接利用此權(quán)限進(jìn)行破壞，無法進(jìn)行有效的管控；第二層是進(jìn)程對(duì)文件的權(quán)限，當(dāng)進(jìn)程對(duì)文件進(jìn)行操作時(shí)可以對(duì)其操作權(quán)限進(jìn)行控制，可以在本層面上對(duì)勒索軟件進(jìn)行防護(hù)。
在深入分析勒索軟件的工作原理的基礎(chǔ)上，公司基于“主動(dòng)防御，徹底阻斷”的設(shè)計(jì)思路，于2017年底正式推出了針對(duì)性的防護(hù)產(chǎn)品：Chinasec（安元）數(shù)據(jù)安全保鏢。
本產(chǎn)品將重要路徑下的文件與合法進(jìn)程綁定，只有合法進(jìn)程才能夠擁有文件的所有操作權(quán)限，非法進(jìn)程無法對(duì)目標(biāo)文件進(jìn)行編輯，繼而達(dá)到防止勒索軟件進(jìn)程對(duì)文件進(jìn)行破壞的目的。
產(chǎn)品功能
產(chǎn)品支持將終端上的關(guān)鍵目錄設(shè)置為安全防護(hù)目錄，只有白名單進(jìn)程可以對(duì)防護(hù)目錄中的文件執(zhí)行讀寫等文件操作，其它任何進(jìn)程對(duì)防護(hù)目錄下的文件只有讀權(quán)限。這樣就阻斷了勒索軟件對(duì)防護(hù)目錄的文件內(nèi)容進(jìn)行非法加密的攻擊鏈，達(dá)到對(duì)防護(hù)目錄中文件的保護(hù)目標(biāo)。
支持對(duì)當(dāng)前終端上防護(hù)目錄的添加、修改與刪除、啟用與停用等控制功能；支持對(duì)白名單進(jìn)程進(jìn)行添加、修改與刪除功能。
支持對(duì)終端進(jìn)程訪問受保護(hù)路徑的文件進(jìn)行日志記錄，并著重審計(jì)非白名單進(jìn)程對(duì)防護(hù)目錄中文件的讀取情況。
支持通過客戶端首頁展示當(dāng)前終端的安全防護(hù)記錄情況，支持展示終端安全防護(hù)路徑數(shù)量、白名單進(jìn)程數(shù)量、防御的非法操作次數(shù)等信息。
產(chǎn)品特性
產(chǎn)品基于勒索軟件對(duì)文件的操作行為出發(fā)，摒棄傳統(tǒng)針對(duì)病毒特征繁瑣的偵測(cè)判定方法，禁止了一切可疑進(jìn)程對(duì)文件的操作，無論是已知病毒或是未知病毒，都無法對(duì)文件造成損害。
產(chǎn)品是針對(duì)防護(hù)路徑做了有效的權(quán)限防護(hù)，和防護(hù)路徑下的文件格式無關(guān)。對(duì)于特殊的文件格式也無需進(jìn)行定制化的適配。
產(chǎn)品在使用過程中只需要設(shè)置簡(jiǎn)單的防護(hù)路徑、白名單進(jìn)程列表等策略即可達(dá)到防御效果，使用簡(jiǎn)便。
