勒索病毒防護(hù)
醫(yī)藥行業(yè)的勒索病毒防護(hù)解決方案是一種防止醫(yī)藥相關(guān)的數(shù)據(jù)和系統(tǒng)被惡意加密或鎖定的方法。
需求分析
全網(wǎng)終端資產(chǎn)的全面盤(pán)點(diǎn)，包含業(yè)務(wù)服務(wù)器的終端和用戶(hù) PC 的終端。盤(pán)點(diǎn)每臺(tái)終端設(shè)備的名稱(chēng)、IP 地址、MAC 地址、所屬組織、責(zé)任人、資產(chǎn)編號(hào)、資產(chǎn)位置等。每一臺(tái)終端上的資產(chǎn)信息清晰，每一件安全事件責(zé)任到人，使得安全管理能落實(shí)到位。
終端資產(chǎn)全管理
通過(guò)安全基線檢查以及修復(fù)，明確檢查安全基線是否達(dá)到預(yù)期，確保接入終端規(guī)范。通過(guò)微隔離技術(shù)明確內(nèi)網(wǎng)應(yīng)用角色之間的訪問(wèn)控制關(guān)系，可視化安全訪問(wèn)策略配置，在發(fā)生病毒感染的情況下，阻斷病毒在內(nèi)網(wǎng)的傳播路徑，將威脅放置在可控范圍內(nèi)，從而有效提高安全防護(hù)水平。同時(shí)，采用創(chuàng)新的勒索誘捕方案，在關(guān)鍵目錄及隨機(jī)目錄放置誘餌文件，當(dāng)病毒加密進(jìn)程對(duì)誘餌文件進(jìn)行加密時(shí),EDR客戶(hù)端能夠及時(shí)發(fā)現(xiàn)并殺掉進(jìn)程，阻止勒索病毒進(jìn)一步擴(kuò)散，保障內(nèi)網(wǎng)安全。 展開(kāi)
采用微隔離，勒索誘捕主動(dòng)防御
EDR采用自主研發(fā)的基于深度學(xué)習(xí)的輕量級(jí)人工智能殺毒引擎進(jìn)行病毒檢測(cè)，人工智能引擎SAVE從海量的樣本數(shù)據(jù)中學(xué)習(xí)，提煉出高維特征，具備很強(qiáng)的泛化能力，能夠應(yīng)對(duì)更多的未知威脅。這些高維特征數(shù)量極少，讓SAVE在保持高性能，高效查殺率的同時(shí)解決了病毒特征庫(kù)急劇增的問(wèn)題。擁有強(qiáng)大的威脅情報(bào)平臺(tái)，每天實(shí)時(shí)分析來(lái)自互聯(lián)網(wǎng)和安全產(chǎn)品的海量數(shù)據(jù)，通過(guò)威脅情報(bào)平臺(tái)中集成的關(guān)聯(lián)分析與智能算法，能在第一時(shí)間發(fā)現(xiàn)潛在威脅，并向EDR推送防御能力。 展開(kāi)
基于AI的智能檢測(cè)，全網(wǎng)威脅情報(bào)
EDR完全滿(mǎn)足Gartner自適應(yīng)閉環(huán)模型，能夠聯(lián)動(dòng)其他產(chǎn)品，形成涵蓋云、邊界、端點(diǎn)上中下立體防護(hù)架構(gòu)，實(shí)時(shí)共享內(nèi)部威脅情報(bào)。當(dāng)發(fā)生威脅時(shí)，可通過(guò)統(tǒng)一管理平臺(tái)的一鍵處理，網(wǎng)端智能協(xié)同，將終端域風(fēng)險(xiǎn)迅速隔離，并在網(wǎng)絡(luò)域自動(dòng)生成聯(lián)動(dòng)封鎖規(guī)則，全面封鎖惡意威脅，做到安全風(fēng)險(xiǎn)一鍵處置。
縱深防御，快速響應(yīng)威脅
痛點(diǎn)
當(dāng)前的終端管理方式落后，傳統(tǒng)終端解決方案在兼容性與普適性不達(dá)標(biāo)，對(duì)終端的管理多數(shù)采用分裂式管理，不同系統(tǒng)主機(jī)采用不同的防護(hù)方案，導(dǎo)致管理維護(hù)工作量大，面對(duì)威脅難以做出快速響應(yīng)。
雖然已經(jīng)在網(wǎng)絡(luò)邊界設(shè)置了重重防御，但是并沒(méi)有帶來(lái)真正的安全。主要體現(xiàn)在：
- 內(nèi)網(wǎng)的潛藏威脅：黑客一旦進(jìn)入到內(nèi)網(wǎng)，如通過(guò)社會(huì)工程學(xué)、釣魚(yú)等欺騙手段進(jìn)入到內(nèi)部，位于邊界的防御便失效了。
- 內(nèi)網(wǎng)的橫向攻擊：發(fā)生在內(nèi)網(wǎng)的橫向移動(dòng)攻擊邊界防御無(wú)法進(jìn)行檢測(cè)，如通過(guò)失陷主機(jī)向內(nèi)網(wǎng)業(yè)務(wù)資產(chǎn)發(fā)起的橫向移動(dòng)或者跳板攻擊。
- 內(nèi)部人員惡意攻擊：內(nèi)部員工不滿(mǎn)或者內(nèi)外勾結(jié)進(jìn)行攻擊滲透，這部分人員既熟悉業(yè)務(wù)又有合法身份，防不勝防。
目前采用的基于病毒特征庫(kù)的查殺方式，在高級(jí)威脅持續(xù)（APT）發(fā)展的大環(huán)境下，已經(jīng)無(wú)法適應(yīng)全新的網(wǎng)絡(luò)趨勢(shì)，主要體現(xiàn)在以下幾點(diǎn)：
- 基于特征匹配殺毒無(wú)法有效抵御新型病毒：面對(duì)APT定制化的攻擊以及變種病毒的挑戰(zhàn)，基于特征匹配的殺毒方式呈現(xiàn)被動(dòng)、后知后覺(jué)等特點(diǎn)，無(wú)法及時(shí)有效防御新型病毒。
- 病毒特征庫(kù)數(shù)量增長(zhǎng)加重主機(jī)運(yùn)算資源：已知病毒樣本不斷增加，本地病毒特征庫(kù)的數(shù)量也日益增多，現(xiàn)已嚴(yán)重加劇終端存儲(chǔ)、運(yùn)算資源成本，查殺病毒過(guò)程會(huì)出現(xiàn)卡頓、假死等現(xiàn)象，嚴(yán)重影響員工辦公。
傳統(tǒng)殺毒軟件在檢測(cè)響應(yīng)機(jī)制上明顯不足，雖然在網(wǎng)絡(luò)邊界部署了網(wǎng)絡(luò)端防護(hù)產(chǎn)品，但始終沒(méi)有形成一套完整閉環(huán)的應(yīng)急響應(yīng)系統(tǒng)，無(wú)法及時(shí)檢測(cè)處理威脅，對(duì)文件隔離處置措施較為單一，應(yīng)急響應(yīng)速度慢，導(dǎo)致威脅駐留時(shí)間長(zhǎng)，對(duì)業(yè)務(wù)影響大。同時(shí)由于終端分布廣泛，威脅一旦在某點(diǎn)爆發(fā)將快速影響到面，現(xiàn)階段依靠人工響應(yīng)成本大。
基于上述分析，終端安全建設(shè)需要立足事前、事中、事后三階段，通過(guò)預(yù)防、防御、檢測(cè)、響應(yīng)賦予計(jì)算機(jī)終端更為細(xì)致的隔離策略、更為精準(zhǔn)的查殺能力、更為持續(xù)的檢測(cè)能力、更為快速的處置能力，從而構(gòu)建輕量級(jí)、智能化、響應(yīng)快的終端安全系統(tǒng)。
分析信息系統(tǒng)的價(jià)值貢獻(xiàn)，如支持業(yè)務(wù)流程、提高工作效率、增加收入、降低成本、提升競(jìng)爭(zhēng)力等，以及它們的評(píng)估和優(yōu)化。
客戶(hù)收益
終端資產(chǎn)的全面管理
實(shí)時(shí)掌握全網(wǎng)終端信息，提供管理依據(jù)。
勒索病毒的實(shí)時(shí)防御
勒索病毒通過(guò)加密文件的方式，要求中招者支持一定數(shù)額的贖金，這種攻擊方式越來(lái)越流行。 EDR 采用多維度的病毒檢測(cè)機(jī)制，能夠非常精準(zhǔn)地識(shí)別不同的勒索軟件，并通過(guò)專(zhuān)業(yè)分析識(shí)別出各種勒索病毒感染行為和加密特征，對(duì)最新的勒索軟件進(jìn)行有效的查殺，防止用戶(hù)受到影響。
入侵攻擊的主動(dòng)檢測(cè)
終端主機(jī)被入侵攻擊，導(dǎo)致感染勒索病毒或者挖礦病毒，其中大部分攻擊是通過(guò)暴力破解的弱口令攻擊產(chǎn)生的。的 EDR 主動(dòng)檢測(cè)暴力破解行為，并對(duì)發(fā)現(xiàn)攻擊行為的 IP 進(jìn)行封堵響應(yīng)。針對(duì) Web 安全攻擊行為，則主動(dòng)檢測(cè) Web 后門(mén)的文件。針對(duì)僵尸網(wǎng)絡(luò)的攻擊，則根據(jù)僵尸網(wǎng)絡(luò)的活躍行為，快速定位僵尸網(wǎng)絡(luò)文件，并進(jìn)行一鍵查殺。
面對(duì)威脅快速響應(yīng)
安全云腦通過(guò)全球的大數(shù)據(jù)安全分析，提供熱點(diǎn)事件的 IOC 情報(bào)，推送情報(bào)數(shù)據(jù)給 EDR 產(chǎn)品。EDR 產(chǎn)品能根據(jù) IOC 情報(bào)數(shù)據(jù)快速的全網(wǎng)威脅定位分析，及時(shí)發(fā)現(xiàn)和響應(yīng)最新的熱點(diǎn)事件，同時(shí)通過(guò)云網(wǎng)端協(xié)同聯(lián)動(dòng)的方式，一鍵安全處置威脅，將威脅限制在可控范圍內(nèi)。
訪問(wèn)關(guān)系的策略控制
當(dāng)前各種感染性病毒大部分都是通過(guò)網(wǎng)絡(luò)進(jìn)行傳播，影響范圍較廣。EDR的微隔離支持網(wǎng)絡(luò)訪問(wèn)關(guān)系策略的配置，可以實(shí)現(xiàn)業(yè)務(wù)域之間或者終端之間的網(wǎng)絡(luò)隔離，從源頭上杜絕病毒的傳播，減少數(shù)據(jù)資產(chǎn)損失，進(jìn)一步保證終端的安全。