一．事件概况
l 某行业专网爆发勒索病毒变种
2018年8月22日，政府某垂管单位专网爆发勒索病毒变种。黑客通过对外发布web业务系统入侵到专网内部网络，以RDP协议（windows系统远程桌面协议）口令爆破的方式获取远程账号密码，之后黑客人工方式登录windows服务器上传病毒。本次事件涉及数十个业务系统服务器被加密勒索，全国大部分省份相关单位都受到影响。
l 新型变种Globelmposter2.0隐蔽性较强
本次爆发的Globelmposter勒索病毒变种其加密文件为RESERVE扩展名，采用RSA2048算法加密文件，目前该病毒样本加密的文件暂无解密工具。 由于是采用人工正常登陆投毒的方式，导致大量传统安全产品无法检测到这种新型病毒。
二．由勒索病毒反思网络安全建设
勒索病毒并非APT攻击，仅仅是病毒攻击行为，并不是不可防御的。并且，微软已在今年4月份发布了SMB 漏洞的补丁，用户有足够的时间做好预防工作，为什么还有大量用户受影响？并且其中还包括一些行业的与互联网隔离的专网。究其原因主要是以下几点：
1）大量用户缺乏全过程保护的安全体系
这起事件并非APT攻击或0DAY攻击，4月就已经有了解决办法。但是大部分用户的安全建设仅仅是在事中堆叠防御设备，缺乏事前风险预知的能力，使其没有提前部署好安全防护手段；在威胁爆发后，又没有持续检测和响应的能力，使得这些客户在事件爆发前没有预防手段、爆发中没有防御措施、爆发后没有及时检测和解决问题的办法。
2）忽视了内部局域网、专网和数据中心的安全防护
经过这段时间的响应，我们发现很多客户的威胁是与互联网相对隔离的内部网络中泛滥。比如专网、内网、数据中心，这些区域过去被用户认为是相对安全的区域，很多客户在这些区域仅仅部署了传统防火墙进行防护。但勒索病毒感染内部网络的途径很多，比如U盘等存储介质、比如社会工程学，再或者是与DMZ间接相连的网络都可能成为来源。
3）过于复杂的安全体系，没有发挥应有作用
这起事件影响的用户中也不乏安全投入比较高、设备购买比较齐全的用户。但是过于复杂的体系，使得安全设备并没有用好，没有及时更新，没有及时获取到安全事件等。用户通过复杂的体系，需要运维很多设备，并且看到的是碎片化的日志。复杂的体系和过多无效信息，使得很多用户丧失了对安全的信任，并没有很好的把安全设备用起来，这也是造成用户被感染的原因。
三．事前防护+事中监测+事后处置的整体安全解决方案
基于勒索病毒的这一类安全事件，我们重新审视网络安全建设，提供深信服的解决之道。因此该解决方案基于事前、事中、事后全过程设计，通过下一代防火墙AF、终端检测响应软件EDR、全网安全大数据检测平
台和人工安全服务等实现：事前风险预知、事中有效防御、以及事后持续检测和快速响应，为用户提供全程的安全保护能力，让安全更简单更有效。针对勒索病毒的防护，应当依据病毒感染的完整生命周期进行防护，必须涵盖事前的防护、病毒入侵后的持续监测、发现病毒快速处置三个环节。
| 事前防御
1）边界防护:防止病毒从边界入侵，关闭风险传输端口，更新防护规则，阻断传播
2）终端防护:防止病毒从终端入侵，提升终端端口开放、弱口令、漏洞等安全基线
| 持续监测
病毒入侵后会横向扫描、广泛扩散繁殖。持续监测能第一时间发现入侵事件，及时止损
| 隔离+处置
发现中毒事件，首先需要应急隔离失陷主机，控制疫情，避免反复感染;之后再定点查杀，清除病毒文件。
四．推荐预防加固方案
1、此次勒索病毒事件发生在相对隔离的区域泛滥。建议还需要重点加固传统安全建设的薄弱区：在广域网分支、局域网和数据中心内部等区域，在传统ACL控制策略的基础上，通过增加系统层和应用层的安全防护技术，提升防御有效性。
2、建议采用网络分级分区防护措施，下一代防火墙会过滤边界中应用层威胁流量，防止病毒、木马等威胁在网络内部横向扩散，有效避免分支机构因薄弱的安全建设成为黑客入侵的短板，同时实现安全投资最大化。封闭RDP协议端口加固防护线：在互联网出口和边界处封堵RDP协议端口（3389），同时加强对外发布的web业务的应用层防护。对于无需开放RDP协议的主机，采用安全策略封堵RDP端口或协议，建议采用下一代应用层防火墙在互联网出口和专网边界部署完成此项功能。
3、构建终端防护和响应能力：在主机上部署终端管控软件，终端管控软件应能够防御最新型的勒索病毒攻击以及未知风险，并利用微隔离功能封堵RDP协议防止扩散，区别于传统杀毒软件，建议采用下一代EDR终端安全检测响应软件，从而提高检出率和多层级响应能力。
4、持续检测勒索病毒行为：通过部署探针系统，对于没有防火墙防护节点的办公网之间的通讯流量、专网与专网核心交换机上的全网流量进行抓取，并通过部署全网安全大数据检测平台，利用机器学习和人工智能技术进行综合分析，持续检测，从而识别和捕获内部尚未爆发的潜伏威胁。同时感知平台还应该具备同时接入防火墙、终端管控的流量、策略和安全内容日志，全面分析新型勒索病毒的攻击面及其影响范围，并进行实时呈现，帮助组织提升应急处置速度。
5、人工安全服务：提供专业的威胁分析、威胁处置和加固建议服务，从而实现威胁发现到处置的闭环安全效果。
