新观点 | 对照物理世界看网络空间抗勒索策略

关于勒索病毒最近最热的新闻莫过于今年2月英国政府刚宣布控制了Lockbit组织，而一周后该组织官宣复活，并且提出会针对政府进行报复，勒索病毒的猖獗程度和杜绝难度可见一斑。

网络空间战一直以来被冠以“没有硝烟的战争”，但由于网络空间属于虚拟世界，在探讨网络空间的问题时总是让人感觉缺乏实在感，仿佛蒙上了一层面纱，很难窥探其真实面貌。通过对照现实物理世界，我们尝试拨开迷雾。

2023年刚刚过去的新冠抗疫就是发生在物理世界的一次真实的、没有硝烟的战争。中国政府在抗疫过程中走出了中国抗疫模式，保证中国经济和社会秩序井然，展示了强大的应对能力和组织执行力，在全世界抗疫中交出来高水平的答卷，赢得了世卫组织的高度认可。我们依据时间线来梳理一下这次抗疫中的关键事件。

“吹哨人”在重灾区武汉率先拉响警报，该病毒会危害人类健康导致死亡；

人类对该病毒基本属于未知，暂无特效药物，武汉选择火速率先封城，切断人员进出流动，避免扩散全国；

由于没有被第一时间检测和发现，封城之前实际上病毒携带人已经流出和逃逸，各地相继出现病例，各地相继宣布封城；

随着感染案例持续扩散，各地开始停工停产，居家隔离，基于楼栋进行隔离，控制人员流动和扩散，并上门排查上报健康状况，手动排查行程（是否有流动过或到过疫区），将症状者拉到专门的区域进行隔离；

科研机构开始紧急研究病毒，试图了解病毒，搞清病毒源头，病毒特征，治疗方法和特效药物等；

基于已有的知识开始上防护措施，要求戴口罩，洗手，酒精消毒，全社会教育推广，旨在减少传播；

监测各地新增病例以及治愈数据，开始逐步解封，复产复工；

科技手段核酸检测和行程码，健康码等出现，大幅提升检测效率，大大降低漏报、瞒报和绕过物理关卡导致的病毒流动可能性；

国外大规模爆发，各地封锁海关，加强入境健康排查和隔离观察；

防疫政策开始改变，不再大面积封城，只封锁发现病例附近区域，清零后解封，最大保证社会经济生活正常；

疫苗出现，全民开始推行接种，但由于病毒变种较多，也无法保证能免疫所有病毒，未知变种仍有感染的可能性（后续也验证了）；

随着病毒毒性减弱，全员放开，抗疫结束；

至今仍无产生新冠特效药。

勒索病毒作为虚拟世界的病毒，除了病毒的载体和物理世界的新冠不同，其它基本上有相当程度的相似性：

联软科技基于对勒索病毒特点和市面上现有解决方案的分析，我们发现如下问题：

现有方案基本都在强调基于病毒的检测发现和响应能力以及数据备份来构建方案，例如杀毒强调病毒库多少，病毒库更新多快，基于行为检测的技术（各种DR，态感等）在强调规则多，运算模型强大，而数据备份也在强调可以做到按天恢复数据。

但实际上勒索病毒最难防范的地方在于它的不确定性。由于其背后是巨大的经济利益，勒索病毒基本已经形成产业化，有专门的病毒研究、制造和主动传播分工合作，会针对当前的防御体系和防御技术，专门研究防御阵线漏洞和各种突破防御逃脱制裁的方式。而对比单一企业与勒索产业团队在安全力量上的配置，前者基本处于力量失衡，大有道高一尺，魔高一丈的态势。所以，企业的安全检测响应防御防线屡被攻破，勒索事件频频发生，不少企业经济损失惨重。

其次基于数据备份的恢复技术，在遇到业务系统被加密时，即使数据备份到天，也难以快速恢复业务。

基于以上原因，联软科技结合物理世界战争的思维提出了基于防止企业大面积中勒索病毒的网络安全底座方案。

该方案具有如下特点：