目前為止，我們已經介紹了您通常可以採取哪些措施來保護您的資料，並在發生災難時維持業務永續性。但有一種類型的災害正在增加，值得自行解決：勒索軟體。
網路罪犯一直都是威脅，但雖然過去一年的駭客活動受到政治、文化和宗教信仰的激勵，但現今的網路犯罪分子主要受到經濟利益的激勵。勒索軟體，駭客透過加密將您的資料封鎖，直到您支付贖金，現在已是數百萬美元的產業。在停機時間直接轉化為收入損失的世界裡，付這筆贖金永遠都比較吸引人。
在接下來的章節中，我們將介紹您可以採取哪些措施來緩解勒索軟體攻擊。
防範勒索軟體攻擊
對抗勒索軟體的最佳方式，就是先預防勒索軟體的發生。重點在於獲得全系統的能見度、實行良好的資料衛生，並制定計劃，以便在發現威脅後處理威脅。
- 記錄與監控：記錄與系統監控工具可讓您一目了然地檢視系統，並協助您了解 IT 基礎架構在一切順利運行時的外觀。快速的即時分析可協助您發現異常情況（例如，來自可疑 IP 位址的流量暴增），以及其他可能讓您遭受潛在攻擊的活動。
- 資料衛生：當駭客植入惡意軟體時，他們正在尋找安全性漏洞，例如未修補的作業系統、安全性不佳的第三方工具，以及混亂的資料管理。資料衛生意味著實施良好的修補程式管理、系統配置和資料消毒實務。不僅能讓您的組織運作更順暢，還能大幅減少潛在駭客的攻擊面。
- 作業安全性：在網路安全方面，人類經常被忽視。實施多重要素驗證、管理控制和資料分層可確保資料僅提供給需要資料的授權人員。涵蓋駭客和網路釣魚攻擊技術的安全意識訓練，有助於您的組織做好準備，在野外發現真正的嘗試。
勒索軟體攻擊時該怎麼做
網路攻擊在現實生活中並不像電影主角那樣明顯。攻擊本身可能只會持續 30-40 分鐘，因為它們會存取您的檔案，並橫向移動至您的網路中，將檔案加密並刪除備份。另一方面，攻擊者在取得存取權限後，可能會長時間潛伏在您的網路上，在規劃實際攻擊時監控您對異常情況的回應。無論如何，當您收到您資料的勒索訊息時，攻擊就已經完成了。
勒索軟體攻擊發生時，唯一能防範的方式，就是隨時注意遭到鮑化的網路釣魚攻擊 （訓練員工），或透過 SEIM 和日誌在您的網路上發現可疑活動。如果您採取了這些主動措施，並擁有必要的工具，那麼當您發現異常活動時，要制定網路事件回應 （CIR） 計畫來加以處理是值得的。記錄所有內容，並通知相關 IT 人員，以隔離受影響的系統並減輕損壞。您將需要這些記錄，才能符合法規遵循要求，並協助執法單位進行調查，以免活動被證明是真正的勒索軟體攻擊。我們將在本文稍後介紹建立 CIR 計劃的詳細資訊。
勒索軟體攻擊後災害復原
因此，您的檔案已經加密，您剛收到勒索軟體的通知。您有哪些選擇？
其中一個選項是只支付贖金，但這樣做可能會讓您的組織面臨風險，而可能進一步被勒索。
如果您遵循前面章節中概述的主動勒索軟體緩解步驟，更好的選項是清除、還原和回應：
- 清除系統內允許攻擊者存取資料的弱點。遭入侵的硬體和軟體應立即隔離，並中斷與網路的連線。應進行系統與網路稽核，以確保沒有任何後門程式或其他惡意軟體。在您從備份中還原資料並上線之前，請務必先對系統進行消毒。
- 利用您的備份與復原計畫來還原資料。希望您擁有一些快照和災害復原基礎架構，以便在發生網路事件前立即接手。您的防禦團隊應該在經過消毒的虛擬環境中，對您的備份資料進行鑑識分析，以確保攻擊者不會留下任何損失。您正在尋找一個不受干擾的復原點，讓您可以將系統復原。
- 透過採取措施來審查記錄、稽核系統，並記錄攻擊的性質，以適當應對攻擊。為遵守法規，您可能需要通知客戶資料外洩事件，而您需要您的日誌以證明您的組織已竭盡所能應對攻擊。從攻擊中獲得的資訊可以用來協助執法單位追蹤犯罪者，並協助保護您自身的系統，以抵禦未來的攻擊。
了解更多：Ransomware緩解與復原的駭客指南
