勒索病毒防護(hù)
醫(yī)藥行業(yè)的勒索病毒防護(hù)解決方案是一種防止醫(yī)藥相關(guān)的數(shù)據(jù)和系統(tǒng)被惡意加密或鎖定的方法。
需求分析
全網(wǎng)終端資產(chǎn)的全面盤點(diǎn)，包含業(yè)務(wù)服務(wù)器的終端和用戶 PC 的終端。盤點(diǎn)每臺終端設(shè)備的名稱、IP 地址、MAC 地址、所屬組織、責(zé)任人、資產(chǎn)編號、資產(chǎn)位置等。每一臺終端上的資產(chǎn)信息清晰，每一件安全事件責(zé)任到人，使得安全管理能落實(shí)到位。
終端資產(chǎn)全管理
通過安全基線檢查以及修復(fù)，明確檢查安全基線是否達(dá)到預(yù)期，確保接入終端規(guī)范。通過微隔離技術(shù)明確內(nèi)網(wǎng)應(yīng)用角色之間的訪問控制關(guān)系，可視化安全訪問策略配置，在發(fā)生病毒感染的情況下，阻斷病毒在內(nèi)網(wǎng)的傳播路徑，將威脅放置在可控范圍內(nèi)，從而有效提高安全防護(hù)水平。同時，采用創(chuàng)新的勒索誘捕方案，在關(guān)鍵目錄及隨機(jī)目錄放置誘餌文件，當(dāng)病毒加密進(jìn)程對誘餌文件進(jìn)行加密時,EDR客戶端能夠及時發(fā)現(xiàn)并殺掉進(jìn)程，阻止勒索病毒進(jìn)一步擴(kuò)散，保障內(nèi)網(wǎng)安全。 展開
采用微隔離，勒索誘捕主動防御
EDR采用自主研發(fā)的基于深度學(xué)習(xí)的輕量級人工智能殺毒引擎進(jìn)行病毒檢測，人工智能引擎SAVE從海量的樣本數(shù)據(jù)中學(xué)習(xí)，提煉出高維特征，具備很強(qiáng)的泛化能力，能夠應(yīng)對更多的未知威脅。這些高維特征數(shù)量極少，讓SAVE在保持高性能，高效查殺率的同時解決了病毒特征庫急劇增的問題。擁有強(qiáng)大的威脅情報平臺，每天實(shí)時分析來自互聯(lián)網(wǎng)和安全產(chǎn)品的海量數(shù)據(jù)，通過威脅情報平臺中集成的關(guān)聯(lián)分析與智能算法，能在第一時間發(fā)現(xiàn)潛在威脅，并向EDR推送防御能力。 展開
基于AI的智能檢測，全網(wǎng)威脅情報
EDR完全滿足Gartner自適應(yīng)閉環(huán)模型，能夠聯(lián)動其他產(chǎn)品，形成涵蓋云、邊界、端點(diǎn)上中下立體防護(hù)架構(gòu)，實(shí)時共享內(nèi)部威脅情報。當(dāng)發(fā)生威脅時，可通過統(tǒng)一管理平臺的一鍵處理，網(wǎng)端智能協(xié)同，將終端域風(fēng)險迅速隔離，并在網(wǎng)絡(luò)域自動生成聯(lián)動封鎖規(guī)則，全面封鎖惡意威脅，做到安全風(fēng)險一鍵處置。
縱深防御，快速響應(yīng)威脅
痛點(diǎn)
當(dāng)前的終端管理方式落后，傳統(tǒng)終端解決方案在兼容性與普適性不達(dá)標(biāo)，對終端的管理多數(shù)采用分裂式管理，不同系統(tǒng)主機(jī)采用不同的防護(hù)方案，導(dǎo)致管理維護(hù)工作量大，面對威脅難以做出快速響應(yīng)。
雖然已經(jīng)在網(wǎng)絡(luò)邊界設(shè)置了重重防御，但是并沒有帶來真正的安全。主要體現(xiàn)在：
- 內(nèi)網(wǎng)的潛藏威脅：黑客一旦進(jìn)入到內(nèi)網(wǎng)，如通過社會工程學(xué)、釣魚等欺騙手段進(jìn)入到內(nèi)部，位于邊界的防御便失效了。
- 內(nèi)網(wǎng)的橫向攻擊：發(fā)生在內(nèi)網(wǎng)的橫向移動攻擊邊界防御無法進(jìn)行檢測，如通過失陷主機(jī)向內(nèi)網(wǎng)業(yè)務(wù)資產(chǎn)發(fā)起的橫向移動或者跳板攻擊。
- 內(nèi)部人員惡意攻擊：內(nèi)部員工不滿或者內(nèi)外勾結(jié)進(jìn)行攻擊滲透，這部分人員既熟悉業(yè)務(wù)又有合法身份，防不勝防。
目前采用的基于病毒特征庫的查殺方式，在高級威脅持續(xù)（APT）發(fā)展的大環(huán)境下，已經(jīng)無法適應(yīng)全新的網(wǎng)絡(luò)趨勢，主要體現(xiàn)在以下幾點(diǎn)：
- 基于特征匹配殺毒無法有效抵御新型病毒：面對APT定制化的攻擊以及變種病毒的挑戰(zhàn)，基于特征匹配的殺毒方式呈現(xiàn)被動、后知后覺等特點(diǎn)，無法及時有效防御新型病毒。
- 病毒特征庫數(shù)量增長加重主機(jī)運(yùn)算資源：已知病毒樣本不斷增加，本地病毒特征庫的數(shù)量也日益增多，現(xiàn)已嚴(yán)重加劇終端存儲、運(yùn)算資源成本，查殺病毒過程會出現(xiàn)卡頓、假死等現(xiàn)象，嚴(yán)重影響員工辦公。
傳統(tǒng)殺毒軟件在檢測響應(yīng)機(jī)制上明顯不足，雖然在網(wǎng)絡(luò)邊界部署了網(wǎng)絡(luò)端防護(hù)產(chǎn)品，但始終沒有形成一套完整閉環(huán)的應(yīng)急響應(yīng)系統(tǒng)，無法及時檢測處理威脅，對文件隔離處置措施較為單一，應(yīng)急響應(yīng)速度慢，導(dǎo)致威脅駐留時間長，對業(yè)務(wù)影響大。同時由于終端分布廣泛，威脅一旦在某點(diǎn)爆發(fā)將快速影響到面，現(xiàn)階段依靠人工響應(yīng)成本大。
基于上述分析，終端安全建設(shè)需要立足事前、事中、事后三階段，通過預(yù)防、防御、檢測、響應(yīng)賦予計算機(jī)終端更為細(xì)致的隔離策略、更為精準(zhǔn)的查殺能力、更為持續(xù)的檢測能力、更為快速的處置能力，從而構(gòu)建輕量級、智能化、響應(yīng)快的終端安全系統(tǒng)。
分析信息系統(tǒng)的價值貢獻(xiàn)，如支持業(yè)務(wù)流程、提高工作效率、增加收入、降低成本、提升競爭力等，以及它們的評估和優(yōu)化。
客戶收益
終端資產(chǎn)的全面管理
實(shí)時掌握全網(wǎng)終端信息，提供管理依據(jù)。
勒索病毒的實(shí)時防御
勒索病毒通過加密文件的方式，要求中招者支持一定數(shù)額的贖金，這種攻擊方式越來越流行。 EDR 采用多維度的病毒檢測機(jī)制，能夠非常精準(zhǔn)地識別不同的勒索軟件，并通過專業(yè)分析識別出各種勒索病毒感染行為和加密特征，對最新的勒索軟件進(jìn)行有效的查殺，防止用戶受到影響。
入侵攻擊的主動檢測
終端主機(jī)被入侵攻擊，導(dǎo)致感染勒索病毒或者挖礦病毒，其中大部分攻擊是通過暴力破解的弱口令攻擊產(chǎn)生的。的 EDR 主動檢測暴力破解行為，并對發(fā)現(xiàn)攻擊行為的 IP 進(jìn)行封堵響應(yīng)。針對 Web 安全攻擊行為，則主動檢測 Web 后門的文件。針對僵尸網(wǎng)絡(luò)的攻擊，則根據(jù)僵尸網(wǎng)絡(luò)的活躍行為，快速定位僵尸網(wǎng)絡(luò)文件，并進(jìn)行一鍵查殺。
面對威脅快速響應(yīng)
安全云腦通過全球的大數(shù)據(jù)安全分析，提供熱點(diǎn)事件的 IOC 情報，推送情報數(shù)據(jù)給 EDR 產(chǎn)品。EDR 產(chǎn)品能根據(jù) IOC 情報數(shù)據(jù)快速的全網(wǎng)威脅定位分析，及時發(fā)現(xiàn)和響應(yīng)最新的熱點(diǎn)事件，同時通過云網(wǎng)端協(xié)同聯(lián)動的方式，一鍵安全處置威脅，將威脅限制在可控范圍內(nèi)。
訪問關(guān)系的策略控制
當(dāng)前各種感染性病毒大部分都是通過網(wǎng)絡(luò)進(jìn)行傳播，影響范圍較廣。EDR的微隔離支持網(wǎng)絡(luò)訪問關(guān)系策略的配置，可以實(shí)現(xiàn)業(yè)務(wù)域之間或者終端之間的網(wǎng)絡(luò)隔離，從源頭上杜絕病毒的傳播，減少數(shù)據(jù)資產(chǎn)損失，進(jìn)一步保證終端的安全。