資安新知

任何管道都有可能造成勒索軟體潛伏進電腦或伺服器，無論是網路、釣魚網站、Office 巨集、隨身碟、來路不明的Mail都可能因為人為無意的操作導致惡意程式潛伏進企業內部網路，惡意程式通常會開始掃描企業內網伺服器，若有漏洞或者取得AD帳號資訊權限等待日後攻擊使用。

預防機制：預防的方法眾多，以下舉出幾項X-FORT端點防護可協助防護的項目說明。

1. 停用OFFICE 巨集，防止NetWalker、Spider等透過巨集攻擊的勒索軟體。
2. 透過應用程式控管指定只能透過exe執行PowerShell與Command.exe等Windows工具，以此防堵勒索軟體透過其他執行檔帶起PowerShell與Command.exe進行攻擊。
3. 裝置控管：禁用外接儲存裝置或藍牙等無線傳檔裝置，避免使用者透過外接隨身碟或者透過藍牙裝置將勒索軟體帶入企業。
4. 啟用EDR的勒索軟體誘餌，在電腦適當位置各放置數個誘餌檔案，被動等待勒索軟體的攻擊。

勒索軟體潛伏企業內網，取得所需的權限或漏洞資訊後，會鎖定目標，攻擊發作將電腦(伺服器)裡的檔案進行加密，並提出勒索贖金好讓被加密的檔案可被解密。

預防機制：

1. 一旦EDR偵測到誘餌檔案被加密，可立刻將該電腦網際網路與內部網路的連線中斷，並強制電腦關機阻止病毒繼續運作。
2. 透過應用程式控管機制建立好公司內部『程式白名單』，這些名單將會是允許執行的合法程式，此外的其他程式皆無法執行，以此機制來遏止使用者執行來路不明軟體或者偽裝正常程式的勒索軟體。

不同的勒索軟體在網內的擴散方式也不同，有透過網芳進行擴散的，也有透過RDP漏洞進行攻擊，此時建議企業最好要有能有效阻止病毒擴散的計畫。

預防機制：

1. 每台電腦都需啟動EDR誘餌檔案觸發機制，以防止勒索軟體在區域網路內擴散，如同上一階段所述，假設勒索軟體真的透過內部網路開始擴散，一旦EDR偵測到誘餌檔案被異動，就會將電腦斷網並關機防止擴散，因此EDR誘餌檔案機制在攻擊發作階段與移動擴散階段，都可起到一定的效用。

任何管道都有可能造成勒索軟體潛伏進電腦或伺服器，無論是網路、釣魚網站、Office 巨集、隨身碟、來路不明的Mail都可能因為人為無意的操作導致惡意程式潛伏進企業內部網路，惡意程式通常會開始掃描企業內網伺服器，若有漏洞或者取得AD帳號資訊權限等待日後攻擊使用。

預防機制：備份工作基本上應該不分是否為防堵勒索軟體而做，而是平日就需進行的工作，無論是檔案備份、FAC資料夾保護+備份、系統備份等不同備份方法。以下就以『FAC(Folder Access Control) +檔案備份 』進行說明

1. 設定端點電腦與伺服器備份特定檔案至指定資料夾。
2. 對此備份資料夾啟動FAC功能，防止勒索病毒攻擊此資料夾。
3. 發生勒索軟體攻擊事件，因FAC資料夾被保護關係，勒索軟體無法攻擊此資料夾，等待攻擊結束，將FAC裡備份的檔案還原拿出來。