《企業端點完美防禦》15-防止勒索軟體

大多數安全專家都認為， 防範勒索軟體的最佳方法是從一開始就防止其發生。

引用

……在這之前，沒有什麼好的方法可以解密由勒索軟體 預防加密的文件，這是唯一可以保證您安心的方法 。

卡巴斯基實驗室 報告稱， RDP 暴力攻擊呈上升趨勢。每個人都應該意識到，遠端桌面協定是一種非常 暴力攻擊媒介 常見的伺服器 ，特別是那些參與勒索軟體開發和傳播的人，因為如果啟用，它允許來自外部的連線。攻擊者將使用遠端連接埠掃描工具掃描企業電腦系統，搜尋通常用於從工作場所外部登入的支援 RDP 的端點。攻擊密碼來進行一系列登入嘗試當攻擊者發現易受攻擊的啟用 RDP 的端點時，他們會透過猜測或暴力。攻擊者還可以利用 公司員工的網路釣魚 來獲取對其電腦的存取和控制，然後使用該存取權限從網路內部進行暴力 RDP 存取。

一旦攻擊者獲得對目標電腦的遠端管理存取權限，他們就可以建立新的使用者帳戶或使用未登入的使用者執行任何操作 。攻擊者可以使用遠端存取工具引入並執行加密惡意軟體，產生加密金鑰，加密資料檔案並透過終端服務用戶端將檔案上傳回給他們。攻擊者還可以在部署勒索軟體攻擊之前從備份設備和伺服器竊取未加密的文件，如此處所述。

除了搜尋具有暴露的 RDP 或可被暴力攻擊利用的弱密碼的設備外，犯罪分子還利用該訪問權限定期搜索和銷毀備份，或者乾脆刪除您的備份。

IT 管理員和其他人員 如果不使用 RDP，則應關閉它 。如果他們必須使用 RDP，確保其安全的最佳方法是僅允許來自本地流量的 RDP、在防火牆上將 IP 列入白名單或不將其暴露到 Internet。將 RDP 置於防火牆後面、為設定VPN 防火牆、使用RDP 閘道、變更預設 RDP 連接埠 (TCP 3389) 並強制執行強密碼原則，尤其是對任何管理員帳戶或具有 RDP 權限的帳戶。使用伺服器的使用者甚至可能需要考慮使用基於主機的入侵防禦系統 (HIPS)，例如適用於 Windows Server 的 RdpGuard，以防止暴力攻擊。

惡意軟體可以透過隱藏檔案副檔名或在檔案名稱中新增雙檔案副檔名和/或空格來隱藏真實的副檔名來偽裝自己，因此請務必仔細查看完整的檔案名稱和副檔名，以便確保您仔細查看完整的檔案名稱和副檔名。在某些情況下，您可能看不到雙副檔名，因為 Windows 中預設隱藏 檔案副檔名。如果您選擇了取消隱藏文件副檔名的選項，那麼如果惡意軟體編寫者在「.exe」副檔名之前使用額外的空格來命名該文件，您仍然可能會被愚弄。真正的擴展名被隱藏了，因為列寬太窄，無法顯示完整的名稱，而且中間的小點幾乎看不見。

如果看不到檔案副檔名，您可能需要重新配置 Windows 以顯示已知的檔案副檔名。

勒索軟體預防技巧：

您應該使用反漏洞程式來幫助保護您的電腦免受零時差攻擊，並依靠行為偵測程式而不是僅使用標準的防毒定義（簽章）來偵測軟體。這意味著使用可以檢測惡意軟體何時修改/加密檔案並阻止它的程序，而不僅僅是檢測惡意檔案本身，在大多數情況下，防毒軟體不會立即檢測到惡意檔案本身。一些防毒和反惡意軟體程式包括內建的 反利用保護 。

注意： Windows Defender Exploit Guard （在 Windows 10 Fall Creators Update 中引入）包含 新入侵防禦功能的四個元件 ，旨在鎖定係統以抵禦各種攻擊媒介，並在造成任何損害之前阻止惡意軟體攻擊中常用的行為。漏洞利用防護包括漏洞利用緩解措施，可以將其配置為在檢測到可疑或惡意的類似漏洞利用行為時保護系統和應用程式。受控資料夾存取可阻止不受信任的進程存取和篡改（加密）這些受保護資料夾中包含的敏感文件，從而保護常見系統資料夾和個人資料免受勒索軟體的侵害。減少攻擊面 (ASR) 由一組規則組成，這些規則透過阻止 Office、腳本和基於電子郵件的威脅來幫助防止尋求利用的惡意軟體。網路保護透過阻止任何試圖與低信譽主機/IP/網域連接的出站進程來防禦基於 Web 的威脅 Windows Defender 智慧螢幕。 Windows Defender EG 旨在取代 Microsoft 的 EMET，後者會讓新手用戶感到困惑，並允許駭客繞過，因為緩解措施不持久，並且經常導致作業系統和應用程式穩定性問題，如這裡所述。

勒索軟體預防工具：

其他惡意軟體預防工具：

重要提示： 請記住，一些安全研究人員建議不要使用多個反漏洞應用程序，因為同時使用多個反漏洞應用程式可能會影響面向返回編程 (ROP) 和其他漏洞檢查的有效性。與僅運行一個反漏洞應用程式相比，這反過來可能會導致系統變得更容易受到攻擊。在某些情況下，多個工具可能會導致相互幹擾和程式崩潰，

引用

雖然您應該使用防毒軟體（甚至只是 Windows 10、8.1 和 8 中內建的 Windows Defender 工具）以及反漏洞程序，但 您不應該使用多個反漏洞程序 …… 這些類型的工具可能會幹擾彼此之間的互動也會導致應用程式崩潰或不受保護 。

如何極客了解反漏洞程序

ROP 是一種電腦安全漏洞利用技術，允許攻擊者在存在安全防禦（例如不可執行記憶體和程式碼簽署）的情況下執行程式碼。這是一種有效的程式碼重用攻擊，因為它是攻擊者最受歡迎的利用技術之一，很少有實用的防禦措施能夠在不存取原始程式碼的情況下阻止此類攻擊。位址空間佈局隨機化 (ASLR) 是一種電腦安全技術，涉及防止緩衝區溢位攻擊。這些安全技術旨在減輕（降低）利用嘗試的有效性。許多進階漏洞利用 ROP 和 ASLR 作為攻擊媒介 ，用於破壞安全防禦並在系統上執行惡意程式碼。例如，它們可用於繞過 DEP（資料執行預防），DEP 用於阻止緩衝區溢位和記憶體損壞攻擊。具有 ROP 和 ASLR 保護的工具（例如 Microsoft 的增強型緩解體驗工具包 (EMET)）使用檢查每個關鍵函數呼叫的技術來確定其是否合法（如果啟用了這些功能）。