勒索攻擊是企業(yè)面臨的重要網(wǎng)絡(luò)攻擊威脅，受害企業(yè)面臨著重要的數(shù)據(jù)資產(chǎn)丟失和泄漏的嚴(yán)重后果 ，輕則造成業(yè)務(wù)停頓，重則被迫繳納巨額贖金。

一、勒索攻擊的特點(diǎn)與原理剖析

勒索手段攻擊也日益發(fā)展，但是主要有以下三個(gè)特點(diǎn)：

（1）隱秘性強(qiáng)。勒索攻擊往往通過(guò)垃圾郵件、網(wǎng)頁(yè)廣告等經(jīng)常使用的系統(tǒng)進(jìn)行傳播，并且利用隱蔽的方式繞過(guò)傳統(tǒng)的安全檢測(cè)，隱蔽性是勒索攻擊的典型攻擊策略。

（2）目的性強(qiáng)。大量的勒索事件表明，攻擊者大多數(shù)都帶有經(jīng)濟(jì)訴求；為了獲得有價(jià)值的資產(chǎn)，滲透的過(guò)程可長(zhǎng)達(dá)數(shù)月，這個(gè)特點(diǎn)與APT攻擊有些相似。

（3）變異較快且易傳播。勒索攻擊變種正在呈指數(shù)行增長(zhǎng)，對(duì)樣本更新快速并發(fā)起攻擊，以躲避傳統(tǒng)的安全檢測(cè)方式。

從攻擊過(guò)程的角度看，黑客首先通過(guò)系統(tǒng)存在的的漏洞潛入目標(biāo)的主機(jī)，獲得主機(jī)權(quán)限；進(jìn)而控制主機(jī)主動(dòng)連接指定服務(wù)器下載加密key、內(nèi)網(wǎng)掃描工具、暴力破解工具、勒索病毒體等成套工具；隨后會(huì)鎖定重要的文件并且向其他主機(jī)移動(dòng)擴(kuò)大戰(zhàn)果。

二、江民NDR產(chǎn)品在檢測(cè)勒索病毒傳播上的特色

江民NDR產(chǎn)品通過(guò)流量分析和文件還原檢測(cè)技術(shù)，識(shí)別勒索病毒的外部入侵、回連控制和內(nèi)部擴(kuò)散過(guò)程。

主要有以下特色：

特色1：結(jié)合人工智能技術(shù)，有效發(fā)現(xiàn)東西向流量中的勒索“投毒”和回連活動(dòng)。

江民NDR產(chǎn)品通過(guò)流量鏡像的方式，對(duì)釣魚(yú)郵件投放、遠(yuǎn)程惡意代碼植入等“投毒行為進(jìn)行全方位的感知。通過(guò)人工智能引擎和獨(dú)特的沙箱技術(shù)，可以有效發(fā)現(xiàn)已知和未知勒索病毒。同時(shí)，監(jiān)控C&C回連等異常流量，發(fā)現(xiàn)內(nèi)網(wǎng)肉雞與控制端的通信行為。

特色2：監(jiān)控內(nèi)網(wǎng)流量，溯源勒索病毒的內(nèi)網(wǎng)擴(kuò)散路徑。

通過(guò)對(duì)內(nèi)網(wǎng)中勒索病毒文件的傳輸過(guò)程的還原，可以時(shí)間序列單位全網(wǎng)展示內(nèi)網(wǎng)擴(kuò)散過(guò)程?？梢暬某尸F(xiàn)方式有助于快速定位受感染主機(jī)范圍和控制影響。

特色3：內(nèi)置ATT&CK框架，從攻擊者視角發(fā)現(xiàn)未知類攻威脅

江民NDR產(chǎn)品內(nèi)置ATT&CK模型框架，將威脅攻擊匹配至ATT&CK框架的各個(gè)攻擊階段，能夠?qū)崿F(xiàn)勒索病毒和其他未知的網(wǎng)絡(luò)流量威脅。

三、對(duì)抗勒索病毒，不止步于NDR

江民NDR產(chǎn)品不是“單兵作戰(zhàn)”。江民NDR產(chǎn)品可以聯(lián)合江民終端安全產(chǎn)品，對(duì)勒索病毒的落地和執(zhí)行進(jìn)行阻斷。同時(shí)，江民NDR產(chǎn)品還支持將流量日志和分析數(shù)據(jù)輸出到江民XDR大數(shù)據(jù)安全平臺(tái)；江民XDR大數(shù)據(jù)安全平臺(tái)結(jié)合江民終端安全產(chǎn)品采集的行為數(shù)據(jù)、情報(bào)數(shù)據(jù)以及其他設(shè)備的數(shù)據(jù)進(jìn)行聚合分析和聯(lián)動(dòng)處置。

江民NDR產(chǎn)品+江民終端安全產(chǎn)品+江民大數(shù)據(jù)安全平臺(tái)，形成了勒索病毒全方位的防范、預(yù)警和處置的閉環(huán)能力。

四、關(guān)于江民流量安全團(tuán)隊(duì)

江民流量安全團(tuán)隊(duì)致力于高級(jí)威脅對(duì)抗的研究，通過(guò)大量的實(shí)戰(zhàn)經(jīng)驗(yàn)持續(xù)豐富產(chǎn)品的檢測(cè)模型。我們的口號(hào)是：不放過(guò)任何已知的高級(jí)威脅，不停止對(duì)未知高級(jí)威脅的跟蹤和對(duì)抗。