第 1章 無(wú)孔不入——網(wǎng)絡(luò)勒索攻擊及其危害 1 1.1 網(wǎng)絡(luò)勒索攻擊正在快速蔓延 3 1.2 什么是網(wǎng)絡(luò)勒索攻擊 4 1.2.1 系統(tǒng)安全設(shè)計(jì)三要素 5 1.2.2 常見(jiàn)的網(wǎng)絡(luò)勒索攻擊 5 1.2.3 復(fù)合型網(wǎng)絡(luò)勒索攻擊 6 1.3 現(xiàn)代網(wǎng)絡(luò)勒索攻擊的影響 6 1.3.1 運(yùn)營(yíng)中斷 7 1.3.2 財(cái)務(wù)損失 8 1.3.3 聲譽(yù)受損 11 1.3.4 法律訴訟 11 1.4 選擇攻擊目標(biāo) 13 1.4.1 隨機(jī)性攻擊 13 1.4.2 針對(duì)性攻擊 15 1.4.3 混合性攻擊 15 1.5 利用技術(shù)供應(yīng)鏈擴(kuò)大威脅范圍 16 1.5.1 托管服務(wù)提供商 16 1.5.2 技術(shù)制造商 17 1.5.3 軟件漏洞 18 1.5.4 云服務(wù)提供商 19 1.6 結(jié)論 20 1.7 模擬演練 20 第 2章 暗流涌動(dòng)——網(wǎng)絡(luò)勒索攻擊的演變 23 2.1 歷史起源 23 2.2 加密病毒勒索攻擊 25 2.3 早期的勒索攻擊 26 2.4 關(guān)鍵技術(shù)的進(jìn)步 27 2.4.1 非對(duì)稱(chēng)加密 27 2.4.2 加密貨幣 29 2.4.3 洋蔥路由 31 2.5 勒索軟件快速發(fā)展 32 2.6 “勒索軟件即服務(wù)”模式 33 2.7 曝光型網(wǎng)絡(luò)勒索攻擊 34 2.8 雙重型網(wǎng)絡(luò)勒索攻擊 36 2.9 網(wǎng)絡(luò)勒索攻擊領(lǐng)域的“工業(yè) 革命” 37 2.9.1 團(tuán)隊(duì)的分工 38 2.9.2 團(tuán)隊(duì)的人員構(gòu)成 39 2.9.3 自動(dòng)建立受害者門(mén)戶網(wǎng)站 41 2.9.4 特許經(jīng)營(yíng)模式 41 2.9.5 利用公共關(guān)系 44 2.9.6 標(biāo)準(zhǔn)化的操作手冊(cè)和工具包 48 2.10 結(jié)論 49 2.11 模擬演練 50 第3章 一探究竟——網(wǎng)絡(luò)勒索攻擊全過(guò)程揭秘 52 3.1 網(wǎng)絡(luò)勒索攻擊的結(jié)構(gòu)概述 52 3.2 入侵 54 3.2.1 釣魚(yú) 55 3.2.2 遠(yuǎn)程登錄 57 3.2.3 軟件漏洞 58 3.2.4 技術(shù)供應(yīng)商攻擊 59 3.3 擴(kuò)散 60 3.3.1 持久化控制 61 3.3.2 進(jìn)行偵察 62 3.3.3 更新攻擊策略并提升訪問(wèn)權(quán)限 63 3.4 評(píng)估 64 3.5 清場(chǎng) 64 3.5.1 防病毒軟件和安全軟件 65 3.5.2 正在運(yùn)行的進(jìn)程和應(yīng)用程序 65 3.5.3 事件日志與監(jiān)控軟件 66 3.5.4 賬戶和權(quán)限 67 3.6 施加影響 67 3.6.1 引爆勒索軟件 68 3.6.2 數(shù)據(jù)外泄 69 3.7 實(shí)施勒索 72 3.7.1 被動(dòng)通知 72 3.7.2 主動(dòng)通知 73 3.7.3 讓第三方介入 73 3.7.4 直接公開(kāi) 74 3.8 結(jié)論 74 3.9 模擬演練 74 第4章 危機(jī)降臨——初始響應(yīng)與分診策略 76 4.1 網(wǎng)絡(luò)勒索攻擊是一場(chǎng)危機(jī) 77 4.2 對(duì)網(wǎng)絡(luò)勒索攻擊進(jìn)行檢測(cè) 78 4.3 對(duì)網(wǎng)絡(luò)勒索攻擊進(jìn)行響應(yīng) 79 4.4 實(shí)施分診 82 4.4.1 為什么“分診”十分重要 83 4.4.2 “分診”框架示例 83 4.4.3 對(duì)當(dāng)前狀態(tài)進(jìn)行評(píng)估 84 4.4.4 考慮恢復(fù)目標(biāo) 85 4.4.5 確定下一步 86 4.5 評(píng)估組織的資源 86 4.5.1 財(cái)務(wù) 87 4.5.2 保險(xiǎn) 87 4.5.3 證據(jù) 88 4.5.4 工作人員 88 4.5.5 技術(shù)資源 88 4.5.6 文檔 89 4.6 制定初始響應(yīng)策略 89 4.6.1 建立目標(biāo) 89 4.6.2 創(chuàng)建行動(dòng)計(jì)劃 90 4.6.3 分配職責(zé) 90 4.6.4 預(yù)算方案——工作量和成本 91 4.7 溝通計(jì)劃 91 4.7.1 針對(duì)響應(yīng)團(tuán)隊(duì) 92 4.7.2 針對(duì)受影響的各方 93 4.7.3 針對(duì)社會(huì)公眾 95 4.8 結(jié)論 95 4.9 模擬演練 95 第5章 釜底抽薪——快速遏制與威脅捕獲 98 5.1 速度的重要性 98 5.2 獲得技術(shù)環(huán)境的訪問(wèn)權(quán) 99 5.3 阻止網(wǎng)絡(luò)勒索攻擊的加密和刪除行為 100 5.3.1 修改文件訪問(wèn)權(quán)限 101 5.3.2 斷開(kāi)電源 102 5.3.3 關(guān)掉惡意進(jìn)程 102 5.4 辨別持久性機(jī)制 103 5.4.1 監(jiān)控進(jìn)程 104 5.4.2 計(jì)劃任務(wù) 104 5.4.3 自啟動(dòng)項(xiàng) 105 5.5 阻止數(shù)據(jù)外泄 105 5.6 應(yīng)對(duì)拒絕服務(wù)攻擊 106 5.7 將黑客拒之門(mén)外 106 5.7.1 關(guān)閉遠(yuǎn)程連接服務(wù) 107 5.7.2 重置密碼 107 5.7.3 審計(jì)賬戶 108 5.7.4 多因素身份驗(yàn)證 109 5.7.5 限制邊界通信 109 5.7.6 盡量減少第三方訪問(wèn) 110 5.7.7 降低受損軟件帶來(lái)的危害 110 5.8 威脅捕獲 111 5.8.1 方法 111 5.8.2 證據(jù)來(lái)源 112 5.8.3 工具和技術(shù) 112 5.8.4 人員 113 5.8.5 結(jié)果 113 5.9 事后復(fù)盤(pán) 114 5.10 結(jié)論 115 5.11 模擬演練 115 第6章 抽絲剝繭——深入調(diào)查與證據(jù)保存 117 6.1 研究“對(duì)手” 118 6.1.1 行動(dòng)情報(bào) 118 6.1.2 識(shí)別技巧 120 6.1.3 惡意軟件種類(lèi) 123 6.1.4 戰(zhàn)術(shù)、技術(shù)和程序 124 6.2 確定調(diào)查的范圍 125 6.2.1 要回答的問(wèn)題 125 6.2.2 調(diào)查過(guò)程 126 6.2.3 時(shí)間和結(jié)果 127 6.2.4 可交付成果 127 6.3 進(jìn)行數(shù)據(jù)泄露調(diào)查 128 6.3.1 確定法律、監(jiān)管和合同義務(wù) 128 6.3.2 決定是否要進(jìn)一步調(diào)查 129 6.3.3 繼續(xù)調(diào)查 129 6.3.4 調(diào)查結(jié)果 130 6.4 保存證據(jù) 130 6.4.1 證據(jù)來(lái)源 131 6.4.2 證據(jù)易失性的順序 136 6.4.3 第三方證據(jù)保存 137 6.4.4 保存證據(jù)的副本 137 6.5 結(jié)論 138 6.6 模擬演練 138 第7章 以退為進(jìn)——談判的藝術(shù)與策略 140 7.1 特殊的“商業(yè)行為” 140 7.2 建立談判目標(biāo) 142 7.2.1 預(yù)算 142 7.2.2 時(shí)間框架 143 7.2.3 信息安全 144 7.3 潛在結(jié)果 145 7.3.1 購(gòu)買(mǎi)解密工具 145 7.3.2 防止數(shù)據(jù)的發(fā)布或銷(xiāo)售 146 7.4 溝通方式 147 7.4.1 電子郵件 148 7.4.2 門(mén)戶網(wǎng)站 148 7.4.3 聊天應(yīng)用程序 149 7.5 施壓策略 150 7.6 語(yǔ)氣、及時(shí)性和信任 151 7.6.1 語(yǔ)氣 152 7.6.2 及時(shí)性 152 7.6.3 信任 153 7.7 第 一次接觸 154 7.7.1 最初的外聯(lián)消息 154 7.7.2 “對(duì)手”的最初回應(yīng) 154 7.8 分享信息 155 7.8.1 不應(yīng)分享的內(nèi)容 156 7.8.2 可以分享的內(nèi)容 157 7.8.3 后續(xù)可能用到的信息 158 7.9 談判者常犯的錯(cuò)誤 158 7.10 生存證明 159 7.10.1 目標(biāo)和局限性 159 7.10.2 拒絕服務(wù)型勒索攻擊案例 160 7.10.3 曝光型勒索攻擊案例 160 7.10.4 如果“對(duì)手”拒絕提供“生存證明”，怎么辦 161 7.11 討價(jià)還價(jià) 161 7.11.1 詢問(wèn)折扣 162 7.11.2 設(shè)定價(jià)格 163 7.11.3 還價(jià) 163 7.11.4 權(quán)衡 164 7.12 完成交易 165 7.12.1 如何完成交易 165 7.12.2 中途變卦 165 7.12.3 交易結(jié)束后 166 7.13 結(jié)論 166 7.14 模擬演練 166 第8章 權(quán)衡利弊——贖金支付的抉擇與實(shí)踐 169 8.1 支付還是不支付 169 8.1.1 支付贖金可行嗎 170 8.1.2 反對(duì)支付贖金的依據(jù) 170 8.1.3 支持支付贖金的依據(jù) 171 8.2 付款方式 172 8.3 禁止支付的情況 173 8.3.1 合規(guī)性 174 8.3.2 例外 175 8.3.3 豁免因素 175 8.4 中介機(jī)構(gòu) 175 8.5 時(shí)間問(wèn)題 176 8.5.1 資金轉(zhuǎn)移延遲 177 8.5.2 保險(xiǎn)審批流程 177 8.5.3 加密貨幣價(jià)格的波動(dòng) 177 8.6 付款之后 178 8.7 結(jié)論 179 8.8 模擬演練 179 第9章 重整旗鼓——從網(wǎng)絡(luò)勒索攻擊中恢復(fù) 181 9.1 備份重要數(shù)據(jù) 182 9.2 構(gòu)建恢復(fù)環(huán)境 183 9.2.1 網(wǎng)段 183 9.2.2 網(wǎng)絡(luò)設(shè)備 184 9.3 設(shè)置監(jiān)測(cè)和日志 185 9.3.1 監(jiān)測(cè)目標(biāo) 186 9.3.2 時(shí)間安排 186 9.3.3 組件 187 9.3.4 監(jiān)測(cè)和響應(yīng)過(guò)程 188 9.4 建立恢復(fù)各個(gè)計(jì)算機(jī)的流程 189 9.5 按操作順序開(kāi)展恢復(fù)工作 190 9.5.1 域控制器 191 9.5.2 高價(jià)值的服務(wù)器 192 9.5.3 網(wǎng)絡(luò)架構(gòu) 193 9.5.4 工作站 194 9.6 恢復(fù)數(shù)據(jù) 195 9.6.1 傳輸數(shù)據(jù) 196 9.6.2 從備份中恢復(fù) 196 9.6.3 從當(dāng)前生產(chǎn)系統(tǒng)中收集 197 9.6.4 重新錄入和創(chuàng)建數(shù)據(jù) 198 9.7 解密 198 9.7.1 解密過(guò)程概述 199 9.7.2 解密工具的類(lèi)型 200 9.7.3 解密工具的風(fēng)險(xiǎn) 201 9.7.4 測(cè)試解密工具 202 9.7.5 解密操作 203 9.7.6 驗(yàn)證文件完整性 203 9.7.7 檢查惡意軟件 204 9.7.8 將數(shù)據(jù)傳輸?shù)缴�產(chǎn)網(wǎng)絡(luò) 204 9.8 行動(dòng)尚未結(jié)束 205 9.9 進(jìn)一步調(diào)整 205 9.10 結(jié)論 206 9.11 模擬演練 207 第 10章 防患未然——網(wǎng)絡(luò)勒索攻擊的預(yù)防 209 10.1 執(zhí)行有效的網(wǎng)絡(luò)安全計(jì)劃 210 10.1.1 知道你要保護(hù)的是什么 210 10.1.2 了解你的義務(wù) 211 10.1.3 管理你的風(fēng)險(xiǎn) 212 10.1.4 監(jiān)測(cè)風(fēng)險(xiǎn) 217 10.2 防止入侵 218 10.2.1 網(wǎng)絡(luò)釣魚(yú)防御 218 10.2.2 強(qiáng)身份驗(yàn)證 220 10.2.3 安全的遠(yuǎn)程接入解決方案 221 10.2.4 補(bǔ)丁管理 222 10.3 檢測(cè)和消除威脅 225 10.3.1 端點(diǎn)檢測(cè)和響應(yīng) 225 10.3.2 網(wǎng)絡(luò)檢測(cè)和響應(yīng) 226 10.3.3 威脅捕獲 227 10.3.4 持續(xù)監(jiān)測(cè)過(guò)程 227 10.4 運(yùn)營(yíng)彈性 228 10.4.1 業(yè)務(wù)連續(xù)性計(jì)劃 228 10.4.2 災(zāi)難恢復(fù)計(jì)劃 229 10.4.3 備份 231 10.5 降低數(shù)據(jù)盜竊的風(fēng)險(xiǎn) 233 10.5.1 數(shù)據(jù)縮減 233 10.5.2 數(shù)據(jù)丟失預(yù)防工具 234 10.6 解決網(wǎng)絡(luò)勒索攻擊問(wèn)題 235 10.6.1 讓信息透明 236 10.6.2 激勵(lì)檢測(cè)和監(jiān)測(cè) 236 10.6.3 鼓勵(lì)積極、主動(dòng)的解決方案 237 10.6.4 減少“對(duì)手”的籌碼 237 10.6.5 提高“對(duì)手”的風(fēng)險(xiǎn) 238 10.6.6 最大限度地減少“對(duì)手”的收益 239 10.7 結(jié)論 239 10.8 模擬演練 240 后記 242 附錄 檢查清單 244 清單 A　網(wǎng)絡(luò)勒索響應(yīng) 244 清單 B　提前預(yù)備的資源 248 清單C 對(duì)響應(yīng)進(jìn)行規(guī)劃 252 清單D 實(shí)施有效的網(wǎng)絡(luò)安全計(jì)劃 253