GA黄金甲XDR：EDR和NDR强强结合 ，构建勒索攻击防护碉堡

颁布功夫 2022-05-26

全球均匀每11秒

就有一家企业成为

勒索病毒入侵的指标

每年造成的损失达数千亿美元

尤其随着勒索攻击朝向

APT化、专业化、产业化演进

其荫蔽性更强、受害面更广、

风险越发不成逆……

面对如此嚣张的勒索攻击

宽大企业用户苦不胜言


在勒索攻击中,犯法者往往利用弱口令爆破、垂钓邮件、网页挂马、0day/Nday缝隙等进入被攻击的网络环境 ，再通过凭证提取、获取权限、横向移动等找到受害者的沉要资产 ，最终投放勒索软件进行精准勒索。


针对勒索攻击的特殊性 ，GA黄金甲XDR规划通过“事前预防、事中拦截、过后溯源”三大伎俩 ，构建起立体化的勒索攻击防护碉堡 ，在事前封堵勒索传布源头、文件备份�；�；事中堵截勒索攻击蹊径、拦截勒索加密行为；过后尽可能援手用户查找被勒索的原因及入口 ，为整改提供有效支持 ，预防下次攻击产生。


1.png


事前预防 急剧甄别 封堵源头


由于勒索攻击的不成逆性 ，“事前预防”是GA黄金甲XDR立体化勒索防护规划的沉要一环。


2.png


GA黄金甲XDR规划中的EDR组件可检测终端的脆弱性 ，蕴含终端存在的弱密码、系统缝隙、利用缝隙、风险配置、共享目录等 ，全面提升资产壮实性 ，削减勒索软件的进入蹊径；同时 ，业务资产库也可用于出现疑似安全风险时 ，急剧甄别安全风险措置是否对业务有潜在影响 ，提升措置正确性及效能。


GA黄金甲XDR规划中的NDR组件（TAR流量检测引擎、NFT全流量分析取证系统、APT沙箱）对勒索攻击常使用的垂钓邮件、0day/Nday缝隙、弱口令爆破等各类入侵口进行专项检测防护。针对使用垂钓邮件进行攻击的场景 ，GA黄金甲XDR规划中的沙箱对盛行勒索软件进内行族鉴别 ，鉴别出各类未知勒索样本 ，并针对时时传布勒索软件的僵尸网络（如Emotet、IcedID、BazarLoader、Dridex、Trickbot等家族）进行检测 ，提醒用户有关入侵可能是勒索攻击的前奏。在沙箱检测到垂钓邮件传布后 ，则第一功夫与EDR进行联动响应 ，预防有关文件落地执行。


同时 ，GA黄金甲XDR规划还针对勒索时时使用的盛行缝隙攻击、RDP/SSH爆破攻击、高危露出端口等进行集中展示 ，方便用户急剧相识网络中可能被勒索利用的脆弱性环节。


3.png


事中拦截 强强结合 筑牢防线


终端在勒索防护中承担着不成或缺的作用 ，GA黄金甲XDR规划中的EDR组件通过已知勒索检测、未知勒索发现和数据备份复原 ，与沙箱进行协同联动 ，达到扬长避短的作用 ，筑牢勒索防护的最后一路防线。


GA黄金甲EDR的病毒特点检测�？槎愿骼嘁阎账魅砑姓凡樯� ，在面对未知勒索攻击时 ，通过设置钓饵目录、过程基线进建、勒索通用异常行为检测（如删除卷影副本、大量篡改文件等）发现可疑勒索攻击；同时 ，EDR还能够联动APT沙箱进行可疑样本的进一步确认 ，当沙箱同样确认样本蕴含勒索行为时 ，EDR会彻底将有关样本及其衍生物删除 ，并将被勒索粉碎的文件进行复原。此表 ，GA黄金甲EDR对勒索病毒的端口扫描、口令爆破等横向扩散行为进行有效甄别和封堵 ，共同天堑产品及威胁谍报有效发此刻勒索病毒执行过程中的开关域名。


过后溯源 层层分解 厘清资产


当勒索攻击产生后 ，GA黄金甲XDR规划不只能删除勒索软件 ，复原受篡改的文件 ，还能利用规划中多设备之间的联动 ，进行攻击溯源。通过线索发现、扩线关联、攻击模型映射三个重要步骤 ，对犯法者的攻击蹊径进行层层分解 ，在最短功夫内还原出齐全的攻击链路图 ，援手用户厘清受影响的资产。


举例注明 ，勒索场景中简直定性线索即EDR告警的已知或经过确认的未知勒索攻击、网络侧告警的勒索回连等；非确定性线索即勒索攻击中常见的攻击入口报警、横向移动告警、C2工具告警等。通过确定性线索和非确定性线索进行扩线关联、ATT&CK模型映射拟合等步骤 ，还原出攻击链 ，找到受影响的资产 ，援手用户防备下一次勒索的产生。


安满是发展的前提 ，发展是安全的保险。勒索病毒检测与防护已经不再是装置杀毒软件就能够解决的安全问题 ，必要在勒索攻击的各个关键节点上进行检测与�；� ，GA黄金甲XDR将整体防护能力左移 ，针对勒索病毒个性进行全性命周期的安全防护 ，为我国关键信息基础设施的网络安全保驾护航。