來自Cryptolocker、Locker以及其他變種帶來的挑戰，已經使得勒索保護成為許多系統管理員工作列表中最重要的工作，因為持續更新補丁和管理Windows系統的日常問題不足以應對相關問題帶來的挑戰。
幾年前，勤勞的黑客們發現他們可以透過各種漏洞滲透到系統，并加密他們所獲取到的所有信息，僅憑這樣就可以過非常體面的生活。文件被要挾，多數受害者被迫支付一定數量的比特幣給黑客，否則他們將永遠地失去自己的數據。
有一套密閉的，或許是完全隔離的備份系統自然是至關重要的。還有什么其他辦法可以幫助管理者防止這些入侵者在你的網絡中橫行并引起破壞?我們邀請了searchwindowsserver咨詢委員，就如何加固Windows系統和有效降低勒索攻擊的危害這一問題分享了他們的建議。
TREVOR POTT
勒索軟件已有盛行的趨勢。這些具有威脅的攻擊者幾乎每天都在增強其惡意軟件的復雜性和迂回性，而反惡意軟件供應商方面卻沒有任何進展。
在Windows勒索軟件的案例中，取勝關鍵在于接受你無法永遠打敗它們的事實。(即使做了很多準備)最終還是有一些機器會感染，一次勒索攻擊就能造成大量的機器感染。
你能有什么選擇?被圍城的指揮官當得知自己戰敗時，他們還有選擇的余地嗎?他只能在拖住進攻者的同時，把眾人分成若干小組，讓他們在夜色的掩護下撤退?；蜻x擇重整部隊，補給然后發動反攻。
首先將自身思維置于病毒的背景環境中。如果病毒感染了用戶的計算機，它會在什么賬號下發作?是用戶的域帳戶?本地管理員的帳戶?還是系統帳戶和網絡帳戶?
最后要檢查的是網絡賬戶——也是容易出問題的地方。當某個Windows應用程序出現故障時，在Windows Server甚至是Windows的客戶端環境下，常見的解決方法就是“給網絡賬戶賦予超級權限”。如果黑客有權限在網絡帳戶下執行操作，它能夠在短時間造成大量危害。
你無法對PEBCAK免疫。如果這是你的電腦被黑了，那你是用哪個帳戶登錄的?你使用的是否是提升過權限的帳戶?你是否曾在任意地點的網絡上隨意訪問你的那些敏感文件?
你能夠訪問的所有內容，勒索軟件也能夠訪問。通過0-day漏洞還可以將一些無權限的賬戶提升權限，通過遠程系統登錄的這些賬戶就成了超級賬戶。
這太糟了!
備份需要在系統中可讀取網絡上所有相關節點，但需要經過不同的身份驗證方案。如果你可以從你的系統中訪問它，勒索軟件也可以。所以不能夠允許從任意一點遠程訪問你的備份服務器。
云并不是解決一切弊病的靈丹妙藥。我最近遇到的勒索軟件，貌似已掌握亞馬遜和Azure的密鑰內容，它可以毫無阻攔地登錄到API并刪除一切。敢不敢打賭?現在肯定有辦法可以黑進你的Dropbox、Box等等帳戶。
終極的勒索軟件保護措施是將備份內容與你的網絡內其他部分從物理上實現隔離。這些內容可以被你的網絡識別，卻不允許被網絡寫入或實現控制。
平臺多樣性是關鍵。如果你管理著一個Windows網絡，嘗試使用Linux或Mac工作站。這些Windows管理工具僅能夠在Windows操作系統中運行，通過在Linux或Mac工作站內部建立純凈的虛擬機訪問這些工具作為唯一訪問通道。該虛擬機中不應包含其他內容而只保留管理工具。
這種方法，如果病毒在機器間橫向傳播，你的網絡中的工作站有較高的幾率不會被基于Windows的勒索軟件所感染。如果被感染，你可將你的Windows虛擬機恢復到已知良好的還原點上，解決問題并恢復。
運行不同的操作系統，也是種在網絡中更好地實現不同驗證結構的方法，同時也可以有效避免因為具有超級權限的管理員賬戶被感染造成的網絡中其他設備感染的問題。
所有努力都集中于劃分之上。要注意一旦確認感染，確保任何被感染的系統或用戶帳戶的權限應該劃分至最小。嘗試將分段設置你的身份驗證系統及驗證域，并規定誰、何時可以訪問何種內容這樣的硬規則。
被感染是不可避免的，你需要接受這一現實并做好充分準備，也許你足夠幸運，當城堡城墻最終被攻破、敵人一擁而入時會發現你早已經逃脫，這時留給他們的只是座空城。
欲了解更多觀點，請訪問Trevor Pott的個人頁面。
第二部分《免遭勒索軟件侵害必備技能之：兩種方式解除惡意密碼加密》中我們將介紹防止Windows用戶數據被惡意加密的兩種方式以及企業級PowerShell環境對勒索軟件產生的影響。
京公網安備 11010502049343號