勒索軟體≠病毒，Ivanti發布WannaCrypt免費補丁管理軟體

至頂網軟體頻道消息： 5月12日開始爆發的「WannaCrypt」讓不少企業和機構在接下來的幾天亂成一鍋粥，該勒索軟體的攻擊遍及全球100多個國家，各行各業均遭受了不同程度的影響，包括醫療、電力、能源、銀行、交通等在內的企業網路被大規模感染，中國教育網受損尤為嚴重，攻擊造成了部分教學系統、校園一卡通系統癱瘓。那些倖免的國家，大多是因為沒有電腦、沒有網路。

不過細心的讀者也許會發現，美國本土此次並沒有太受波及，究其原因，跟美國企業和機構的一個好習慣頗有關係，那就是——勤於打補丁。相對而言，成熟度較高的美國市場，企業和機構用戶的安全意識更強，安全規範的落實也更加到位。

5月16日，Ivanti發布了為期90天的免費補丁管理軟體，幫助全球用戶做好補丁管理，應對勒索軟體危機。在6月15日之前，任何機構均可從Ivanti官網免費獲取該工具，除了解決WannaCrypt及其變種帶來的餘波威脅，也可以在未來一段時間內確保安全，作為緩衝，企業和機構將有時間去考慮更加全面的IT安全管理系統。

認清勒索軟體本質，它看起來很「正常「

WannaCrypt所做的操作就是加密計算機內的所有文件，對於系統、殺毒軟體來說，這是一個再正常不過的操作，不會觸發任何系統或殺毒軟體警報。與此相反，病毒通常會帶有明顯的特徵代碼，例如篡改程序、有傳染性，它的某個欄位會有異常，殺毒軟體正是靠特徵庫的比對，完成病毒警告和殺毒操作的。

但勒索軟體看起來就是一段很普通的代碼，沒有病毒軟體的特徵，對於計算機系統來說，它根本不需要掩護自己。它之所以能夠進入一台電腦，就是利用了445埠這個後門，而誰給了它這個後門的」鑰匙「？正是每一位中招的用戶，他們可能不小心點擊了某個鏈接、圖片，或是不小心下載的遊戲、視頻里夾帶了這段代碼，便引賊入室，釀成慘禍。

所以，可以看到殺毒軟體殺不死勒索軟體，以及各種其他類型的流氓軟體，對於這些看起來不帶攻擊性的勒索軟體，事先防範比事後補救更為重要。最起碼，把自己家的大門鎖好，不要輕易將「鑰匙「拱手讓人。

不要把自家「鑰匙」交給「小偷」

Ivanti安全專家羅琦形象地介紹道，殺毒軟體有時候像是保安，但再好的保安也攔不住自己拿著鑰匙進來的人，最好的解決方案是，鎖好大門，同時派駐保安巡邏，嚴防各類小偷。各種補丁，就是在不斷加固「大門「上的薄弱環節，一旦出現就貼個補丁。事實上今年3月份，微軟就發布了相應的系統補丁，但從這次全球受災的情況看，仍然有大量用戶並不知道這個補丁的存在，更別說安裝該補丁了。

雖然中國不少企業級用戶一直有一個內外網隔離的做法，在內網，不允許任何設備登錄互聯網。但在新時代的互聯網架構中，總會有一些內網設備無法做到完全隔離，一旦這種薄弱環節被攻陷，那整個疏於防範的內網就會大面積淪陷，反而成為重災區。絕對的安全並不存在，企業和機構需要新一代的安全管理理念和體系。

現階段，大家已經將防火牆+防病毒軟體作為安全管理的標配，這顯然遠遠不夠。既然」天下無賊」不可能，那至少可以加強自身的防範，在管理層面將各種安全風險遏制住。如今，勒索軟體之類的流氓軟體越來越聰明，它們用各種釣魚的方式，讓用戶自己主動上鉤。反過來，我們要做的就是用安全管理制度去幫助最終用戶抵制各種誘惑，不要把自己家的「鑰匙」交給「小偷」；同時勤打補丁，鞏固好院牆與大門。

Ivanti 的9大措施和3大法寶

對於勒索軟體的防範，Ivanti提出九大應對措施：

1. 為關鍵操作系統和應用安裝補丁；
2. 確保殺毒軟體更新至最新版本，並已計劃定期掃描；
3. 管理特權帳戶的使用；
4. 實施以數據為重點的訪問控制；
5. 制定、實施並執行軟體規則；
6. 禁用來自 Microsoft Office 文件的宏指令；
7. 實施應用白名單；
8. 將用戶限定在虛擬化或集裝化的環境中；
9. 經常備份關鍵文件。

這些事情當然不是要求所有企業用戶手動完成，而是可以藉助先進的工具去輔助實現。為此，羅琦介紹了Ivanti針對勒索軟體的三大法寶：

其2016.3版本的新增功能，便能自動檢測帶有加密特徵的主機行為，遇到非法勒索加密動作自動進行阻止。其2017.1版本更是可以立即隔離遇到安全風險的主機；還可以檢測未修補的瀏覽器，將訪問僅限於預先批准的網站；同時防範最新的無文件攻擊趨勢，新的文件保護規則可緩解腳本和無文件攻擊。

Ivanti應用管理器的白名單功能，只將企業了解並信任的進程和應用程序加入白名單，所有形式的惡意軟體（甚至包括零日攻擊）都被排除在外；其許可權控制功能可以讓最終用戶以非管理員身份運行，而不會影響生產力，將勒索軟體和惡意軟體可能造成的損壞限於端點。無論是傳統IT架構還是虛擬環境下面，白名單都能夠阻斷各類惡意軟體。

Shavlik所提供的無客戶端補丁的發現和修復技術，可以輕鬆修復幾乎所有Windows環境下的補丁。它可以發現任何一台主機，查看其漏洞掃描狀態並修復，最後還可以查看修復結果。尤其是已經受到攻擊的主機，自己無法下載補丁和修復，那就可以利用Shavlik從遠程修復。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！