文中摘自微信公众平台「新钛云服 」，创作者王爱华。转截文中请联络新钛云服 微信公众号。
Liam 最近对于传统产业的勒索病毒进攻事情越来越多，乃至一天内会出现好几家同一领域的公司与此同时遭受进攻，导致公司业务流程运作终断，本人和企业关键数据信息遭到毁坏等比较严重安全隐患。
该状况一方面表明勒索病毒进攻早已逐渐集约化和领域化，另一方面也表明传统产业在网络信息安全层面安全防护工作能力敏感，对比于互联网技术、金融业等领域，在信息安全管理和安全生产技术领域存有大量系统漏洞，更易于变成勒索病毒进攻的目标。
勒索病毒伤害剖析
机器感染勒索病毒后，应用工作人员会迅速发觉很多常用的文件如word，excel，pdf等不可以一切正常开启，异常情况显著，因而非常容易看到并汇报到IT或安全部，假如处置立即，一般不可能导致公司内很多机器感染。
可是另一方面，因为勒索病毒应用了非对称加密方法对机器上的全部数据信息文件开展数据加密，要是没有相匹配的破译密匙，被数据加密后的文件基本上不太可能再被破译和复原。因而对早已感染勒索病毒的个人计算机和网络服务器，假如以前沒有按时开展备份数据，很有可能会由于重要内容丢失而导致无法弥补的损害。
如何正确处置勒索病毒感染事情
依据大家以前解决勒索病毒事情汇总的工作经验，公司在发觉一台或几台机器感染勒索病毒后，IT工作人员和安全性工作人员可依照如下所示步骤开展恰当处置(假如公司沒有设定网络信息安全职位，提议马上联络第三方技术专业安全性服务中心帮助处置)。
1确定勒索病毒感染征兆
勒索病毒感染后，桌面上或文件夹通常会发生相近how_to_decrypt.hta网页文件，可根据打开浏览器，关键是英语信息内容，表明敲诈勒索信息提示及破译联系电话等;
与此同时许多文件被再加上乱七八糟的含有勒索病毒网络攻击邮件地址信息内容的扩展名，文件不可以被一切正常开启(相近如下所示截屏)。
2防护已感染机器，防止勒索病毒进一步蔓延
对存有以上勒索病毒感染征兆的机器，应该马上执行互联网或物理隔离，防止勒索病毒根据企业有线电视和wifi网络再次散播。隔离方法包含：
- 已感染的无线网络机器，禁止使用无线接收器;
- 已感染的有线电视网上客户，禁止使用有线网卡，与此同时拔出机器的物理学网络线;
- 假如同一网段有几台机器感染，可根据网络交换机开展断开连接，或改动无线网络密码;
- 已感染重要职位计算机和关键网络服务器，马上待机，防止勒索病毒进一步数据加密全部文件;
- 专职人员梳理感染机器目录，供后面处置。
3对暂未感染勒索病毒的机器开展结构加固，避免有可能的感染方式
勒索病毒感染一台机器后，会根据文件共享资源、电脑操作系统远程控制运用系统漏洞、账户明文密码等方法，进一步获得其他机器或AD网络服务器的账户，进而开展全互联网感染。
对尚未确立发觉感染勒索病毒征兆的机器，根据勒索病毒的传递方式和传播途径，可采用一些主要的安全防范措施迅速开展安全防护，防止感染。这种安全防范措施包含：
- 改动个人计算机、网站服务器、域控服务器账户密码，改动为强登陆密码;
- 禁止使用guest账户;
- 统一关掉139、445端口号，关掉RDP服务项目;
- 安裝360、qq电脑管家等杀毒软件开展安全防护和杀毒;
- 升级电脑操作系统安全更新。
4剖析已感染机器，获取病毒特征
假如能迅速精准定位出勒索病毒文件特点(如进程名字，实行途径，文件尺寸，md5值，自动运行部位，进程维护文件等)，可马上逐渐各大网站清查，找到互联网内其他已感染的机器并开展防护，进而降低全部勒索病毒事情的处置時间，减少勒索病毒给公司提供的危害性和损害。
依据大家处置勒索病毒的工作经验，可优先选择从下列几层面开展，包含：
- 和感染机器工作人员开展进一步沟通交流，如什么时候出现异常，以前运行过什么实际操作等，可协助迅速精准定位很有可能的病毒感染感染源;
- 根据资源管理器，查询CPU、运行内存、IO利用率高的异常进程(尤其是文件许多的机器，勒索病毒数据加密必须使用很多机器資源);
- 安裝查杀木马专用工具，迅速搜索病毒感染文件，如qq电脑管家、360、clamav、BitDefender等;
- 安裝其他系统优化专用工具，包含微软公司给予的SysinternalsSuite安全专用工具(autoruns64.exe，procexp64.exe，procmon.exe，tcpview.exe等)，PCHunter，火绒剑等实现剖析。
根据以上实际操作，安全性工作人员应当可以搜索出勒索病毒文件和实行进程，可进一步根据线上查杀木马模块迅速对病毒感染文件开展确定，如：www.virustotal.com， www.virscan.org等网址。
对确定为勒索病毒的可实行文件，可进一步根据线上沙盘模型迅速开展行为分析，如s.threatbook.cn，app.any.run等，确定病毒感染个人行为特点。如根据微步云沙箱对某一装扮成svchost.com文件的勒索病毒剖析結果：
确定勒索病毒个人行为特点后，可根据终止勒索病毒进程，新创建文件并观查，运行勒索病毒进程，查询文件是不是被数据加密，进一步确定勒索病毒。
5依据病毒特征，各大网站筛选感染机器
根据获取的勒索病毒文件名、文件途径、文件尺寸、文件签字、md5值、进程途径和名字等特点，可根据域控、单机版或技术专业桌面整理专用工具等开展实际操作，快速开展各大网站清查。对存有感染勒索病毒特点的机器，开展断开连接防护，并删掉勒索病毒文件和进程，与此同时不断监管是不是再次感染。
此外根据勒索病毒的网上个人行为特点，可进一步根据网络交换机镜像文件流量统计，搜索互联网内是不是存有已感染机器。
6已感染机器处置
已感染勒索病毒的机器，可根据终止勒索病毒进程，删掉维护进程或文件的方式，严禁勒索病毒运作。与此同时根据U盘备份数据未数据加密文件。
文件备份数据后，统一再次安装操作系统，并根据安全性基准线开展固定和检验后，布署运用和数据恢复。
7勒索病毒感染追溯
勒索病毒感染方式一般包含：外网服务器存有系统漏洞(如网络层系统漏洞，RCE高风险补丁包未升级，账户明文密码等)，垂钓邮件附件，长期性掩藏存有的APT进攻等。
勒索病毒追溯可根据对最开始感染机器的员工实际操作个人行为和电脑操作系统日志剖析，公司内计算机设备和安全装置日志剖析等，进一步追朔初始系统漏洞和侵入方法。
8修补感染源系统漏洞
假如可以上溯到最开始的感染源，可有目的性地开展安全性结构加固。假如不可以上溯到初始网络安全问题，也应依据勒索病毒传播效果开展安全性结构加固，包含安全防范意识宣传教育，外网地址安全性漏洞扫描系统和渗入，杀毒软件安裝、安全更新升级等。
9安全事故汇总
依据勒索病毒追溯結果，IT或安全性责任人解决勒索病毒感染源状况开展表明，对感染机器、数据信息损害、修复状况、修复時间和花费等开展表明。
10制订后面安全性施工方案
公司感染勒索病毒的直接原因必定是在安全生产技术或安全性管理工作存有一些系统漏洞，如沒有安裝杀毒软件对勒索病毒文件开展杀毒，非IT单位职工欠缺基本的数据安全观念，随便储存和开启勒索病毒可实行文件等。这种现阶段出现的和不确定性的各种各样网络安全问题和安全隐患必须立即处置，并最后在多层面、多环节创建一个统一的深度安全防御管理体系。
新钛云服可以根据安全性最佳实践并融合企业安全生产现况，从在线办公、网络信息安全界限、终端设备准入条件、桌面整理、病毒防护、数据防泄密、日常安全保障等各个方面为公司给予适合的安全防护解决方法，与此同时还可以在安全规范、安全意识培训等领域给予协助。
续篇
勒索病毒越演越烈的身后缘故关键或是利益，对于的是公司极具市场价值的数据信息，伤害的是数据信息的易用性。后面网络攻击更有可能运用APT进攻，在密秘盗取公司隐秘数据后，进一步数据加密数据信息开展敲诈勒索，进而利润最大化网络攻击使用价值。
照片
对传统式公司领导艺术和IT管理者来讲，应可以结识到企业技术创新转型发展后的IT危害和风险性危害，进而在公司数据安全基本建设和网络信息安全层面，可以给与IT单位和安全部必须的各种安全性資源，包含选择专业的第三方安全保障生产商，从而可以从安全工作和安全生产技术各个方面开展预防，降低和防止各种数据安全事情的产生。