美国多州采取紧急措施 系统安全建设迫在眉睫

美国多州采取紧急措施 系统安全建设迫在眉睫

2021年05月11日 11:55:50
来源:凤凰网财经

当地时间5月9日,美国政府宣布美国17个州和华盛顿特区采取紧急措施,原因是当地最大燃油管道运营商Colonial Pipeline遭网络攻击下线。美联社报道,这是美国关键基础设施迄今遭遇的最严重网络攻击。

该公司在一份声明中表示:“作为应对,我们主动切断某些系统的网络连接以遏制威胁,这使得所有的管道运输临时暂停,也影响了我们的一些IT系统。”

图自Colonial PipeLine

白宫发言人称,拜登总统在上周六早上被通报此事,联邦政府正在积极评估影响,避免供应中断,帮助科洛尼尔公司恢复运营。美国网络安全与基础设施安全局表示,这次事件凸显了勒索病毒对组织的威胁。

奇安信集团董事长齐向东表示,美国多州因网络攻击宣布进入紧急状态,再次说明网络安全不是加强某个环节就能解决的,需要提升整体的防护水平,建立完整的网络安全体系。

猖狂的DarkSide组织 严峻的勒索攻击形势

根据多方外媒报道,据知情人士透露,该攻击由DarkSide勒索团伙发起,该组织在周四仅两个小时的时间内就从位于佐治亚州阿尔法利塔的Colonial公司网络中窃取了近100 GB的数据。

如此猖狂的DarkSide团伙到底是何许人?据奇安信对DarkSide团伙的长期跟踪发现,该团伙是一个母语为俄语的网络犯罪团伙,会使用扫描工具来寻找目标网络中的漏洞(通常是已知漏洞),从而获取初始访问权限。

当获取到文件服务器的权限后,该组织会将目标的数据进行手动上传,随后加密目标公司的文件,并将部分信息上传至其暗网博客,并声称若不交付赎金,就公布目标公司的敏感数据。

图自BBC

另外,该组织使用的勒索软件除了会进行常规的加密文件的操作外,还会连接并发送受害者信息到攻击者的命令控制服务器(C2),这可能是攻击者记录受害者具体信息的一种方法,方便在日后作为入侵证据。

值得关注的是,DarkSide组织在2021年1月份一笔勒索病毒的交易中便获45个比特币,约合人民币1700多万元。对此,奇安信反病毒专家判断,面对如此巨额的收益,未来针对组织的定向勒索攻击会愈加猖狂,针对的目标公司体量也会愈来愈大。

又是勒索攻击 是时候给基础架构安全补课了

时至今日,大家对于勒索攻击早已不感到陌生。根据Group-IB研究人员的报告,仅在过去一年,全球勒索攻击次数就增长150%以上,能源行业因此也遭受了较大打击。比如美国某天然气运营商遭到勒索攻击,被迫关闭2天,并被国土安全部通报;欧洲能源巨头Enel Group年内两次遭遇不同勒索攻击,多达5TB数据被窃取,威胁索要1400万美元赎金;台湾最大两家炼油厂遭到勒索攻击,波及整个供应链,甚至加油站的IT系统也无法使用。

美国安全机构预测,2021年预计每11秒将发生一次勒索攻击,全年超过300万次。今年3月,电脑巨头宏碁遭到勒索攻击,黑客开出了迄今为止最高数额的赎金,约合人民币3.25亿元。勒索病毒已经成为全球范围各大企业挥之不去的梦魇。

有趣的是,研究表明,软件漏洞,尤其是高龄漏洞和Windows远程访问工具漏洞,是勒索病毒渗透企业防御体系的重要突破口。从宏碁遭到的REvil勒索攻击,到震惊业界的永恒之蓝(WannaCry)病毒事件,都是因为旧漏洞未及时修补,让勒索病毒轻松攻破和肆意传播。

“抵御勒索病毒是检验企业安全运行健康度的重要标尺。拿本次勒索攻击来说,天擎3月8号以后的病毒库可以查DarkSide相关样本,4月27号以后的天擎库可以全部检测。”奇安信系统安全专家表示。“勒索病毒不像高级APT那样长期隐蔽且难于防御,只要基础安全架构、即系统安全工作保障到位,实战化安全运行开展起来,勒索病毒就很难有可乘之机。”

做好系统安全 让勒索病毒“无机可乘”

奇安信威胁情报中心提供了本次勒索攻击的解决方案,建议用户需要及时做好漏洞修复、采用高强度密码、定期备份重要资料、关闭不必要的网络端口和不必要的文件共享、访问权限控制、安装专业杀毒软件并及时更新等基础工作,就能防范绝大多数的勒索攻击。

就本次攻击事件而言,早在3月8日,奇安信就已经捕获了DarkSide团伙勒索病毒样本,同时更新了天擎终端安全管理系统的病毒库,天擎用户只需更新病毒库至最新版本,即可查杀该组织所有已知勒索病毒。

不难发现,这些措施基本都属于基础安全架构层面的系统安全问题。换句话说,只要做好系统安全,勒索病毒就会无机可乘。然而,为什么勒索病毒近年来仍然泛滥成灾、愈演愈烈呢?奇安信安全专家认为,在过去的几年时间里,安全人员将注意力过多的集中在检测和防御上,往往忽略了最基础的安全工作。近年来全球很多攻击案例证明,如果系统安全没打好基础,那么后面的纵深防御、积极防御都是不牢靠的。

奇安信认为,资产、配置、漏洞、补丁是安全工作的基础,但却是各大机构的安全体系的最短板。本工程建设以数据驱动的系统安全运行体系,聚合IT资产、配置、漏洞、补丁等数据,提高漏洞修复的确定性,实现及时、准确、可持续的系统安全保护,夯实业务系统安全基础,保障IT及业务有序运行。

抵御勒索攻击不能一劳永逸 系统安全亟需常态化

“面对愈加强大的定向勒索攻击者,我们对网络安全防御需要提升整体的防护水平,要以面对APT组织攻击的策略进行防御体系建设,才能够抵御目前网络攻击技术水平愈加高强的定向针对性勒索攻击。” 奇安信基于本次勒索事件如此研判。

此次事件中,CISA的官员建议:“我们鼓励每一个机构都采取行动去加强‘网络安全的防御姿态(Cybersecurity Posture)’,以减小对各类威胁的暴露面。” 这里面提到的“防御姿态 - Posture” 是非常值得关注的,这也是“安全左移”的关键点。就像空战中,战机需要保持优势的战斗姿态,占据有利位置,是赢得战斗的基础。这个我们通常说的安全态势(Security Situation Awareness)还是有差异的。而在网络安全领域,基础结构安全的Posture,主要就是解决“资产-漏洞-配置-补丁”问题的系统安全;纵深防御的Posture,是防护策略有效性,以构成坚实的防御“阵地”;积极防御的Posture,是威胁发现能力和处置及时性有效。这次事件中,系统安全就是面对勒索攻击,收缩暴露面的重要举措。只有整体的网络安全防御体系中,各个构成系统与环节的“防御姿态 - Posture”都能通过体系化建设与实战化运行得以保障,整体的防御效果,才能实现。

系统安全是做好基础结构安全的基石,实战化运行实现体系化、常态化运营的核心方法。要建好基石,首先要盘清资产,在此基础上,实现对资产的全面纳管;其次,通过资产纳管,进而真正实现对资产安全的全程掌控,包括了从发现资产,到使用资产,以及资产变更等各种场景,以及在这些状态下的风险全面掌控。第三,掌控风险是为了驱动处置工作,包括系统加固、漏洞修复,以及其他各种手段,提升整个信息化系统的基础架构安全性,形成真正的内生安全。最后,通过盘点资产、纳管资产、掌控风险、数据驱动、安全运行等层层递进的工作,帮助客户在数字化运营时,建立时刻保持最佳安全状况的信息化底座。

“掌握自身的网络安全姿态是支撑实战化安全运行的基本能力。首先,安全要发挥价值在于实战化运行,也就是要真正用起来。而安全运行起来后,所有的安全事件和问题的处置最终都会归结到资产、配置、漏洞、补丁上来。同时,抽象的漏洞威胁情报与应对措施,需要和具体资产实现挂钩,进而全生命周期(资产生命周期和漏洞生命周期)跟踪,驱动支撑安全运营融入到IT大运维中,为信息化保驾护航。”奇安信安全专家谈到。

面对巨大的利益诱惑,居高不下的成功率,勒索攻击永远不可能休止,安全防护不能一劳永逸。只有重视以网络资产为核心的系统安全建设,筑牢实战化安全运行的基石,才能避免重蹈勒索病毒造成重大损失的覆辙。