勒索软件 · 应对准备
服务类别: 网络安全在勒索软件找上门之前做好准备
我们会站在勒索软件团伙的角度审视您的机构：他们可能从哪里进来、能扩散多远、能否破坏您的备份，以及您的团队会如何决定下一步行动。然后按优先顺序逐一补上漏洞。
概览
- 服务内容
- 聚焦勒索软件的准备度审查和整改计划，涵盖入侵途径、横向扩散、备份和恢复决策
- 适合对象
- 员工约5至200人、一旦失去文件和系统便难以长时间维持运营的机构
- 核心内容
- 准备度审查、入侵途径和横向移动控制、备份隔离检查、勒索软件应对手册以及一次桌面推演
- 不包含
- 赎金谈判或支付、加密货币处理、取证调查、法律建议以及渗透测试
- 参考指南
- 加拿大网络安全中心发布的勒索软件指南和基线安全控制措施，以及 CIS Controls 安全措施
- 计价方式
- 准备度审查和应对手册按固定费用收取；整改工作另行报价，均以书面形式确认
- 如何开始
- 预约咨询，确定准备度审查的范围
勒索软件防范包括哪些工作
针对中小型机构的勒索软件攻击通常遵循一条可预见的路径。攻击者通过钓鱼骗取的密码、暴露在外的远程访问服务或未打补丁的设备进入网络，获取管理员权限，再转向服务器和文件共享，删除或加密备份，往往还会窃取数据并威胁公开，最后加密系统并索要赎金。
勒索软件防范针对每一个阶段采取措施：减少入侵途径，限制入侵者的移动范围，确保至少有一份备份能够幸存，并让管理层为最初几个小时要面对的决定做好准备，包括联系谁、关闭哪些系统、如何沟通以及如何恢复。
它不同于一般的备份或安全服务，因为它围绕单一威胁情境来组织，并以一次演练收尾。最终成果是一份简短的高价值整改清单，以及一支已经提前把最坏的一天想清楚的团队。
勒索软件会利用的漏洞
暴露在外的远程访问
远程桌面或老旧的VPN设备直接暴露在互联网上，既没有启用MFA，也没有安装最新补丁。
扁平网络和过宽的管理员权限
每台电脑都能访问每台服务器，而且有太多账户拥有管理权限。
备份与业务系统在同一个域中
攻击者一旦控制了域管理员账户，就能同时删除所有备份。
没有决策预案
管理层从未讨论过由谁决定关闭系统、联系保险公司或通知客户。
我们审查和加强的内容
入侵途径
电子邮件和远程访问是否启用MFA、公网IP地址上暴露的服务、邮件过滤，以及面向互联网系统的补丁状态。
权限与扩散
管理员账户是否泛滥、本地管理员权限、工作站与服务器之间的网络分段，以及攻击面减少规则。
检测
终端防护和终端检测与响应（EDR）是否已全面部署并启用勒索软件防护功能，以及由谁查看相关警报。
备份能否幸存
不可变或离线副本、独立的备份凭据，以及近期的整机还原测试。
勒索软件应对手册
一份书面的事发最初几小时应对手册：隔离步骤、保险公司、法律顾问和取证公司的联络名单、沟通模板以及恢复顺序。
桌面推演
由我们主持，与管理层一起走一遍模拟情境，检验应对手册并找出尚不明确的决策环节。
服务范围
准备度项目包含
- 对照勒索软件防范指南，审查入侵途径、权限、检测和备份控制措施
- 检查您的公网IP地址对外暴露的情况
- 审查备份隔离情况，并现场见证一个关键系统的还原测试
- 按优先顺序排列的整改清单
- 为您的机构量身定制的勒索软件应对手册
- 一次由我们主持、管理层参加的桌面推演
不包含
- 赎金谈判、协助支付赎金或处理加密货币
- 数字取证或确定数据被盗的范围
- 法律建议，包括是否根据《个人信息保护和电子文件法》（PIPEDA）报告数据泄露的决定
- 渗透测试或模拟攻击
- 整改工作，需另行报价
通常涉及的技术
- Microsoft Entra ID、MFA 和条件访问
- 启用攻击面减少规则和受控文件夹访问的 Microsoft Defender for Endpoint 或 Defender for Business
- 企业防火墙、VPN 和网络分段
- 采用不可变云存储的备份平台
- Microsoft Intune 以及 Windows LAPS 等本地管理员密码管理方案
- 加拿大网络安全中心的勒索软件应对指南
哪些机构应该做
高度依赖运营系统的企业
制造商、建筑公司和诊所，系统一旦被加密，工作就会停摆。
拥有本地服务器的机构
拥有文件服务器和应用服务器的企业，这些往往是勒索软件团伙的首要目标。
希望有一套预案的管理层
企业主和董事会想知道的是出了事该怎么做，而不只是装了哪些技术。
带来的好处
- 找出常见的勒索软件入侵途径，并按优先顺序封堵
- 提高遭受攻击后仍有一份干净备份幸存的可能性
- 管理层已演练过危机最初几个小时的应对
- 在需要之前就把联络人和决策记录在案
- 填写网络安全保险申请时，回答更有依据
项目如何进行
确定范围
我们商定涉及的系统、地点和参与人员，并安排只读访问权限。
准备度审查
我们评估入侵途径、扩散、检测和备份方面的控制措施，并检查对外暴露情况。
还原测试
我们现场见证一个关键系统的还原，确认能够恢复。
应对手册与审查结果
您将收到按优先顺序排列的整改建议和量身定制的勒索软件应对手册。
桌面推演
管理层走一遍贴近现实的情境，我们根据推演中的收获更新应对手册。
购买方式
费用为拟定价格，以书面报价确认。
勒索软件准备度项目
即本页介绍的固定费用审查、应对手册和桌面推演。
整改项目
单独报价的项目，由我们或您的团队补上审查中发现的漏洞。
持续防护
通过托管终端安全、备份和身份服务，在项目结束后保持各项控制措施到位。
常见问题
如果遭到攻击，我们应该支付赎金吗？
这是一个商业和法律层面的决定，需要由管理层、保险公司和法律顾问共同做出。支付赎金并不能确保数据得以恢复，也不能确保被盗数据会被删除。我们的目标是为您提供恢复选项，让您不必被迫做出这种选择。
你们能让我们对勒索软件完全免疫吗？
不能。我们能降低遭受攻击的可能性和影响，并帮助您做好恢复准备。剩余风险会被记录在案，以便管理层在知情的前提下做出决定。
遭到勒索软件攻击后必须上报吗？
根据《个人信息保护和电子文件法》（PIPEDA），如果涉及个人信息的安全防护遭到破坏，并造成重大伤害的实际风险，机构必须上报，并保留所有泄露事件的记录。省级法律和合同可能还有额外义务。请咨询您的法律顾问；我们可以协助收集技术事实。
哪些人应该参加桌面推演？
通常包括企业主或首席执行官、财务、运营、负责对外沟通的人员以及您的IT联系人。保险公司指派的数据泄露应对顾问或您的法律顾问也可以参加。