惡意勒索軟件加密受害者的文件，要求受害者支付比特幣贖金才能贖回，在網上這種現象已經成為一種越來越普遍、越來越強的威脅。但是，許多人并不知道勒索軟件也可以很容易地奪取存儲在云端數據的控制權，那些使用云服務的企業(yè)也同樣面臨著巨大的風險。
以下總結的安全防范措施，將有助于保障你的企業(yè)云免受勒索軟件攻擊威脅：
一. 身份管理
如果惡意攻擊者可以使用你的登錄憑證訪問你的系統(tǒng)，那你就完蛋了！
1. 安全密碼：建立需要復雜密碼的策略（至少12個字符，包含大小寫字母和數字。)
2. 采用多因素身份驗證：如今，擁有強密碼是遠遠不夠的，你還需要多層防護。使用多因素身份驗證法可以為你的登錄憑證提供多一層安全保護。
3. 最小特權原則：最小特權原則是系統(tǒng)安全中最基本的原則之一，它限制了使用者對系統(tǒng)及數據進行存取所需要的最小權限，既保證了用戶能夠完成所操作的業(yè)務，同時也確保非法用戶或異常操作所造成的損失最小。
4. 禁用死亡賬號：當員工離開組織時，一定要記得禁用其對所有系統(tǒng)的訪問權限，并立即禁用他們的訪問鍵。死亡賬號會留下許多無法監(jiān)測的端點，留下禍端。
二. 保護計算層
采取措施保護你的計算層，以確保系統(tǒng)和數據的可用性，同時防止惡意攻擊者利用你的計算能力進一步在你的業(yè)務系統(tǒng)和互聯(lián)網上傳播惡意軟件。
5. 加固操作系統(tǒng)：盡早刪除一些不必要的程序，因為它只會擴大你的攻擊面。盡可能地保持最新的服務包和更新程序。雖然它不能確保你一定不會受到零日漏洞的攻擊，但是可以盡可能地降低這種可能性。
6. 啟用安全登錄（向個人發(fā)送SSH密鑰）：在不安全的網絡上進行操作時，這一步驟將有助于保護你的資產和數據安全。
7. 選擇VPN（網絡）：通過創(chuàng)建一個安全通道或使用VPN可以保護設備和網絡之間的連接。你也可以根據自己企業(yè)的安全需求為不同的應用環(huán)境選擇不同的網絡模式。
8. 使用jump host：jump host位于不同的安全區(qū)域，并提供訪問系統(tǒng)中其他服務器或主機的唯一方法。你的其他云資產安全組件應該設置為“僅允許從jump host訪問SSH”。這個一個附加的步驟，可以幫助你的系統(tǒng)遠離黑客侵擾。
9. 管理程序防火墻規(guī)則：管理防火墻最有效的方法在于管理程序層，因為你可以對入口和出口流量設定限制。注意一定要明確的設置限制內容、多少以及誰可以發(fā)送、接收和訪問入口和出口數據。很多人不愿意制定出口規(guī)則，但是由于勒索軟件經常會使你的知識產權面臨泄漏風險，因此確保具備明確的出口規(guī)則非常重要。
10. 只使用可信的圖像：從頭開始構建你的圖像或模版，或者從非常受信任的來源（如AWS或Microsoft）獲取圖像或模板。不要隨便使用您在Stackoverflow或隨機留言板以及社區(qū)找到的那些圖像或模版。
三. 保護你的存儲空間
如果說數據是新的能源，那么你需要保護自己的寶貴資源，以確保你的業(yè)務在未來幾年里依然能順利開展。如果攻擊者訪問了你的存儲層，那么你的整個數據桶（bucket）或數據塊（blob）都存在被刪除或暴露的危險。
11. 管理數據訪問：身份識別與訪問管理（IAM）策略和訪問控制列表可以幫助你將權限控制集中到存儲層。Bucket 策略允許你通過賬戶、用戶或基于特定條件（如日期、IP地址或是否使用SSL發(fā)送的請求）來啟用或拒絕權限。
12. 加密，加密，加密，重要的事說三遍：在傳輸和靜態(tài)狀態(tài)下都要對你的數據進行加密。需要注意的是，元數據通常不加密，所以請確保不要將敏感信息存儲在你的云存儲元數據中。
13. 版本控制／日志記錄：日志記錄允許你在發(fā)現問題時保留、檢索和恢復數據。打開日志記錄后，如果是安全威脅或應用程序故障導致的數據丟失，你都可以隨時從較舊版本數據中將其恢復。此外日志記錄還可以提供審計跟蹤（系統(tǒng)活動的流水記錄）功能，以防有人入侵你的系統(tǒng)。
14. 無刪除權限或使用MFA進行刪除：你可以在云基礎架構中設置相關角色，而不是允許所有用戶都能夠刪除任何數據。在大多數云存儲解決方案中，你可以啟用相關功能，要求獲取包含6位數代碼和序列號的MFA令牌，以刪除存儲在存儲層中的任何版本的數據。這就意味著，即使攻擊者獲得訪問權限也無法刪除你的數據，除非他們擁有你的MFA密鑰。
京公網安備 11010502049343號