【宇麦科技】网络攻击发生后应立马采取的五个步骤

为了制造社会或政治混乱，网络攻击的流行程度、严重程度和破坏性都在与日俱增。据比特梵德的《2020年威胁形势报告》声称，全球报告的勒索软件总数比上一年猛增了485%。

正如企业扩大规模一样，黑客们也在提高攻击效率，设计新方法以实施更严重的攻击。泄露软件带来了一种新的恐吓，犯罪分子威胁在网上公布高度敏感的数据。

政府撑腰的攻击正在加大通过软件漏洞部署数据擦除恶意软件的力度。2017年的NotPetya攻击影响了60个国家的数千家跨企业，包括全球物流巨头马士基。

01

近期勒索软件攻击

提到最常见的网络攻击形式：勒索软件，赎金动辄数百万美元。应对的平均成本翻了一番，2021年增加了185万美元。在金额最大的一次攻击中，网络犯罪分子索要5000万美元的赎金，才能提供解密密钥。

2021年5月，Colonial燃料管道攻击导致完全停运六天，影响美国六个州。由于这条输油管向东海岸供应近50%的燃料，勒索软件攻击导致加油站燃油告急，恐慌的买家排起了长队，油价涨到七年来的最高水平。美国联邦调查局（FBI）证实，Darkside软件曾被用于访问行政和财务系统。为了尽快恢复运营，Colonial支付了75个比特币的赎金（相当于500万美元）。

黑客逐渐青睐大猎杀：毕竟大公司已投保、有能力支付更高的赎金。2020年7月，佳明（Garmin）遭到了一种新型勒索软件：WastedLocker的攻击。它加密了内部系统，关闭了面向消费者的服务，包括Garmin Connect和Strava。佳明最后向俄罗斯的Evil Corp支付了1000万美元的赎金，这个网络犯罪组织专门以《财富》500强公司和金融机构为目标。

但受害者不全是已投保、有预算的大公司。医疗保健领部门常常资金和资源不足，面临高风险，不仅仅关乎钱财。伺机下手的攻击者知道，受害者宁愿支付较低的赎金，也不愿置生命于险境中。2020年，85%得逞的勒索软件攻击针对有更重大问题要处理的医疗保健部门!

据Sophos声称，2020年48%的英国组织遭到过勒索软件攻击。连那些安装了反恶意软件的软件也未能幸免。据估计，75%的受害者在受感染的机器上运行最新的终端保护系统。

关于网络攻击的许多报道强调预防的重要性。然而随着更复杂的攻击越来越频繁，发现网络攻击后知道立马做什么非常重要。

02

检测、保护和恢复

1. 隔离

如果的电脑屏幕突然变红，你可能会本能地去按电源键，然而这么做会毁掉重要的证据。报告事件有助于执法机构了解犯罪活动，还可以帮助处于同样困境的其他组织。报告不仅是法律要求，执法机构还可以提供切实指导。英国信息专员办公室的职责不仅仅是开罚单。

最重要的做法是将设备立马从网络上断开。拔掉网线，记得关闭Wi-Fi。这可以防止信息被反馈给犯罪分子、部署进一步的恶意代码。这可以阻止横向移动：NotPetya等行动神速的蠕虫寻找与其他设备的连接，迅速传播，破坏数据。

确保将所有受感染的设备、共享存储、外置硬盘和云存储与网络隔离开来。在遏制攻击时，IT技术和运营技术相隔离很关键。

2. 识别

限定警报，为此应该询问谁、什么、何地、何时、为何及如何。

如果不清楚攻击是如何发生的，恢复的机会就比较小。这是什么类型的攻击？是感染吗？还是窃取数据的黑客活动？会不会是恶意的内部人员所为？

是否有多个入口点？如果报告了网络钓鱼攻击，其他人是否打开了附件？这真的是一起孤立事件吗？谁都不希望最终面临的是不必要的全面性关闭。

记录发生的情况，使用勒索软件标识符工具对病毒进行分类。它是如何传播的？它加密了什么文件？恶意代码是否可能驻留在系统上的多个位置？始终确保在未受感染的网络上开展研究工作。

一旦确切知道了自己在处理什么，就可以协调采取适当的响应。

3. 沟通

坦诚的沟通在任何网络事件中都很重要。虽说攻击不是告诉高级管理层的好消息，但让他们意识到攻击的规模，并一起制定关键的行动方案至关重要。

黑客在传输数据或安装恶意代码之前通常花30天至90天的时间来探究被攻击的系统。因此，不要让犯罪分子知道你发现了其活动。他们可能在监视你的网络或电信系统，寻找被发现和缓解的迹象，所以应使用采用端到端加密的带外通信网络工具，比如个人邮件或WhatsApp。

坦诚相待是如今客户很看重的价值观；要意识到危机发生后，坦诚的沟通实际上可以巩固声誉。

4 . 确定优先级，制定计划

最初24小时内做出的决策决定着恢复的成败。紧迫的情形可能导致本能反应和规划不充分，这可能带来进一步的问题。

应根据影响、紧迫性和业务优先级，认真规划响应行动。哪些机密数据需要迅速被保护起来？哪些系统需要先重建，以确保业务可以安全恢复？

给每个人分配任务，逐一解决问题。尽量不要让整个团队都参加例会，这样他们才有足够的时间和空间来有效地重建系统。面对压力，人难免会出错，因此团队的福祉最重要。团队是迅速作出有效响应的最重要资源。

5. 恢复

那么，遭到勒索软件攻击后恢复选项有哪些？

•支付赎金。

执法机构和恶意软件专家不建议支付赎金，因为众所周知这会增加攻击的频率。Coreware的2021年第一季度勒索软件季度报告显示，销毁数据和清除数据的攻击显著增加，即使在支付赎金之后。

•用恶意软件清除软件清除感染。

虽然删除软件对已知的威胁有一定的成效，但完全依赖这种方法是最大的信息技术资产处置（ITAD）错误之一。越来越复杂的勒索软件层出不穷，所以软件删除服务不可能保证贵公司完全不用担心被再次感染。

•进行全面的ITAD数据销毁。

好消息是不需要支付赎金或购买昂贵的软件。IT资产处置服务提供全面的数据清除，以确保没有恶意软件残留。ITAD合作伙伴可以提供快速响应，清理被感染的系统，重新格式化硬盘，销毁任何临近报废的IT资产。数据清除服务了解网络攻击后销毁数据的重要性，甚至可以执行安全的现场数据清除，以缩短停运时间。

有的犯罪分子绝不罢休；一旦识别到威胁，就不应该鲁莽行事。专业的数据销毁服务可保证所有设备全面消毒。为每一个单独的设备或存储介质设备提供IT资产处置认证，以表明ITAD监管链。

企业再也不一定被勒索。不仅可以恢复，外包ITAD供应商还可以帮助快速恢复业务。本地备份也极有可能被加密，但只要在攻击期间从网络完全断开，就可以使用异地备份。有了更多的资源帮助从来源可信的介质重新安装操作系统和软件应用程序，可以尽快恢复业务运行，减少中断和业务损失，并将恢复成本降至最低。

参考及来源：https://www.eolitservices.co.uk/2021/06/01/5-steps-to-take-in-the-immediate-aftermath-of-a-cyber-attack/