勒索软件防护与恢复

勒索软件其实不是单一的威胁，而是一整套商业模式，不同的攻击者专门负责链条上的不同环节：初始访问、勒索谈判、数据窃取，以及加密本身。这种分工正是勒索软件团伙变得如此有效的原因，也是“我们有杀毒软件”早已不再是合格答案的原因。现代勒索软件事件通常把数据窃取与加密结合起来，所以即使一个组织有可靠的备份，仍可能因为被窃数据遭到泄露或出售而面临严重损失，这与能否恢复系统无关。

实际的目标不是不切实际地承诺攻击永远不会发生，而是降低攻击得逞的可能；并确保一旦得逞，您能在不危及业务的时间内真正恢复，而且备份没有同样被攻击者攻陷。

计划究竟在哪里失败

我见到的最常见的缺口不在预防，而在恢复准备从未真正经过测试。备份是有的，但近期没有人在真实的时间压力下做过一次完整恢复，来确认它可用，并弄清实际要花多长时间。备份有时也与其他一切处在同一网络内可以访问，这意味着足够彻底的攻击者也能把它们加密或删除，到那时，有备份等于没有帮上任何忙。

我会怎么做

在预防方面：缩小初始访问经纪人实际利用的攻击面，堵住让攻击者从一个被攻陷的账户一路控制整个环境的缺口，并确保员工能识别仍然引发大多数事件的网络钓鱼和社会工程。在恢复方面：备份与攻击者会攻陷的生产环境真正隔离，并有一份经过测试、具体的事件响应计划，不是一份泛泛的文档，而是事先走过一遍、让人们在凌晨两点知道自己的实际角色而不是临场发挥的计划。我还会确保您在真正承受压力之前，就想清楚那些必须在压力下做出的决定：由谁拍板，向谁沟通什么，以及最坏情况发生时您实际有哪些选择。

如果您想对今天面对勒索软件攻击时的处境有一个现实的评估，请在吃了大亏才明白之前联系我。