# 如何防范勒索软件 Ransomware Defense

## 阶段1: 安全备份和数据加密

应对攻击，首先要让组织做好准备，当遇到勒索时有办法可以不支付赎金。勒索攻击主要有2种方式：

**加密你的系统和数据**

攻击者会威胁称如果不支付赎金，将无法获取系统访问权限，或者无法还原被他们加密处理的数据。你需要支付赎金换取解密密钥。

{% hint style="info" %}
支付赎金这种解决方案并不像它看上去那样简单利落。 因为你要应对的是只想敲诈一笔的犯罪者（他们经常是相对业余的攻击者，使用由其他人提供的工具包），因此支付赎金实际上效果多大存在很大的不确定性。 没有法律保证他们提供的密钥能 100% 解密你的系统和数据，甚至没法保证他们会提供密钥。 在解密这些系统时，需要使用自行开发的攻击者工具，这一过程通常是手动的，而且不易操作。

此外，美国对于支付赎金的行为会判定为违法行为，企业负责人将会被法律追究责任。比如[首例支付网络安全赎金被控妨碍司法罪案宣判，前Uber高管面临八年牢狱之灾](https://new.qq.com/rain/a/20221008A072K300)
{% endhint %}

**支付费用避免信息泄漏**

攻击者会威胁如果不支付赎金，将会将你的数据发布到暗网进行售卖，或者公布给公众，让你面临安全合规类的罚款以及公众起诉。

### 解决办法

必须确保关键系统及其数据已备份，并且备份可抵御攻击者的蓄意擦除或加密。可以参考以下清单检查是否完成了安全备份工作：

**对于S3**

* 通过存储桶策略bucket policy设立数据防护边界，[公开可访问的S3存储桶策略配置建议](https://aws-gcr-wwso-security.gitbook.io/an-quan-zui-jia-shi-jian/an-quan-ti-xi-jian-she/yun-zi-chan-ru-qin-fang-fan/ec2-he-rong-qi-ru-qin-fang-hu/broken-reference)，[需身份验证的S3存储桶策略配置建议](https://aws-gcr-wwso-security.gitbook.io/an-quan-zui-jia-shi-jian/an-quan-ti-xi-jian-she/yun-zi-chan-ru-qin-fang-fan/ec2-he-rong-qi-ru-qin-fang-hu/broken-reference)。
* [开启S3存储桶版本记录](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html?icmpid=docs_amazons3_console)。相当于对S3文件进行备份保存，如果最新版本的S3文件被勒索软件加密了，还可以恢复到未加密的版本。
* 使用**KMS加密S3存储桶的数据**可以多一层安全保护。结合SCP使用可以避免特权账号泄漏导致S3数据泄漏。比如限制特权账号无法修改KMS的权限，并且没有任何KMS的加密解密权限。并且无法创建用户或者角色。（可以把这个权限给安全团队执行）这样，就算特权账号丢失，攻击者也无法创建新的账号，更无法获取S3数据（访问被KMS加密的S3数据必须拥有KMS的解密权限）。

**对于数据库或者EBS**

| 任务                                        | 说明                                                                                                                                                                                                                                                                                                                                                                                                                                       |
| ----------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 定期自动备份所有关键数据                              | <p>推荐使用<a href="https://docs.aws.amazon.com/aws-backup/latest/devguide/whatisbackup.html">AWS Backup</a>创建备份计划，备份关键数据。<br>blog: <a href="https://aws.amazon.com/blogs/security/use-backups-to-recover-from-security-incidents/">Use backups to recover from security incidents</a><br><a href="https://catalog.us-east-1.prod.workshops.aws/workshops/74237958-77c8-4e7f-a02f-ae201a04d759/en-US/aws-backup-lab">Backup workshop</a></p> |
| 加密数据                                      | 使用KMS加密数据库或者EBS文件系统                                                                                                                                                                                                                                                                                                                                                                                                                      |
| 定期演练业务连续性/灾难恢复 (BC/DR) 计划。                | 确保快速恢复业务操作。                                                                                                                                                                                                                                                                                                                                                                                                                              |
| 保护恢复所需的支持文档，例如还原过程文档、配置管理数据库 (CMDB) 和网络图。 | 攻击者会故意攻击这些资源，因为这会影响你的恢复能力。 确保它们能够经受住勒索软件的攻击。                                                                                                                                                                                                                                                                                                                                                                                             |

## 阶段2: 特权账号管理

在此阶段，保护特权角色，以防止攻击者获取大范围的访问权限来试图损坏数据和系统。

根据[如何避免AWS Root账号被盗](https://aws-gcr-wwso-security.gitbook.io/an-quan-zui-jia-shi-jian/an-quan-ti-xi-jian-she/yun-zi-chan-ru-qin-fang-fan/fang-zhi-aksk-xie-lou/iam-zui-jia-shi-jian-zi-cha-qing-dan)，确保特权角色Root User不会被攻击者获取。

参考[特权账号管理实践](https://aws-gcr-wwso-security.gitbook.io/an-quan-zui-jia-shi-jian/1.-iam-shen-fen-shi-bie-yu-fang-wen-kong-zhi/privileged-access-management-te-quan-fang-wen-guan-li/te-quan-zhang-hao-guan-li-shi-jian)，对特权账号管理人员进行管理，并且拆分一个人能够拥有的权限，应用最小权限原则减少特权访问泄露的风险。<br>

## 阶段3: 勒索软件和数据勒索/破坏事件的响应和通知

在此阶段，通过逐渐消除入口点的风险，使攻击者更难入侵你的本地或云基础结构。创建、维护并定期演练基本的网络事件响应计划 (IRP) 和相关的事件通知。

1 - [网络事件响应计划 (IRP)](https://aws-gcr-wwso-security.gitbook.io/an-quan-zui-jia-shi-jian/an-quan-ti-xi-jian-she/an-quan-guan-li-liu-cheng-jian-she-ji-hua/an-quan-ying-ji-xiang-ying-ji-hua)

2 - GuardDuty勒索软件风险发现

参考资料

<https://www.cisecurity.org/insights/blog/renew-your-ransomware-defense-with-cisas-updated-guidance>

<https://www.publicpower.org/system/files/documents/Public-Power-Cyber-Incident-Response-Playbook.pdf><br>
