科力锐勒索拦截系统：采用勒索病毒进行真实攻击的测试报告

天津鸿萌科贸发展有限公司是科力锐数据安全产品的授权代理商。

科力锐勒索拦截系统设置五道防线，对勒索病毒进行层层拦截。通过采用真实的勒索攻击测试，查看主机文件是否被加密，可以验证其勒索拦截有效性和产品价值。

本文是科力锐勒索拦截系统的真实攻击拦截测试报告。

第一道防线：已知勒索病毒防护

勒索拦截系统基于已知勒索行为DNA指纹库，针对文件系统层操作系统层、磁盘读写层进行全方位动态追踪检测，快速检测已知勒索病毒。

检测原理：

1. 通过将某个特定的已知勒索病毒拷贝到无任何防护措施的主机中VM1进行测试，结果显示测试文件被加密，证明勒索病毒真实有效。

2. 再将该病毒拷贝到传统杀毒软件的主机VM2中，检验现有防护措施有效性；

仅有一款杀毒软件提示报警，证明并不是所有的杀毒软件都能对已知勒索病毒防护，主要取决于规则库的大小，而基于规则库的防护，一定具有滞后性！

3. 再将该病毒拷贝到刚刚安装勒索拦截系统VM3中，检验勒索拦截系统有效性。

打开测试文件，验证测试文件处于正常状态，随后运行勒索病毒，勒索拦截系统出现弹窗告警：检测到已知勒索病毒,触发已知勒索防护规则，并且已经自动将此病毒阻止并隔离，测试文件也未被加密。说明勒索拦截系统能够对这款已知勒索病毒进行拦截阻断。

第二道防线：未知勒索病毒防护

基于AI智能学习技术，为每个主机建模分析，生成唯一的合法行为DNA特征库，任何非法行为将会触发深度检测及告警，精准识别未知勒索病毒。

检测原理：

1、将客户提供未知勒索病毒拷贝到现有防护措施主机VM2中，检验传统杀毒软件对最新未知病毒的拦截效果；

运行该最新未知勒索病毒，传统杀毒软件未出现弹窗告警。随后点开测试文件，显示被加密无法打开，说明传统杀毒软件无法查杀这款最新未知勒索病毒。

2、再将该病毒拷贝到刚刚安装勒索拦截系统主机VM3中，检验勒索拦截系统对最新未知勒索病毒的拦截效果；

运行该最新未知勒索病毒，勒索拦截系统出现弹窗告警：检测到疑似勒索软件\病毒行为,触发未知勒索防护规则。此时，我们也可对此病毒进行阻止、隔离、挂起等操作。随后点开测试文件，显示未被加密，说明勒索拦截系统能够拦截阻断掉这款最新未知勒索病毒。

第三道防线：勒索诱捕拦截

智能部署诱饵文件，发现勒索病毒即生成“诱饵森林”，通过图遍历算法让诱饵文件的读取加密进入循环，阻塞勒索进场，拦截勒索操作。

在部署方式上，传统安全厂商只在关键的文件目录下部署诱饵文件，存在勒索病毒跳过的问题。而科力锐诱饵文件通过静态部署与动态投喂相结合的方式，可有效避免诱饵文件被跳过。针对静态部署而言，除了在临时目录、临时文件夹下不投放诱饵文件，其余文件目录下均会投放诱饵文件，形成诱饵森林，勒索病毒无论加密那个文件目录，均会碰到诱饵文。同时，针对勒索病毒再加密文件时会磁盘遍历这一特性，通过动态投喂的方式，改变多阶B+树关键码指向，将诱饵文件主动投喂给勒索病毒，使得勒索病毒加密时会首先加密诱饵文件。通过静态部署和动态投喂的方式，让勒索病毒无处可逃。

同时，为了避免使用人员的误操作，对诱饵文件做了隐身处理，诱饵文件对于正常操作者来说是不可视的，需要借助能看见文件系统的第三方软件，比如CFF打开目录，才可以看到。

检验重复加密的有效性；

传统的厂商的诱饵文件是一次性的，被加密之后就无效了，抵挡不住多次重复攻击。针对刚刚的文件目录，可以看到诱饵文件是处于被加密的状态，为了验证科力锐诱饵文件重复加密的有效性，我们再去运行另外一款最新的未知勒索病毒。此时诱饵文件以及被加密诱饵文件的修改日期，可以看到是15点59分。随机，再去运行另外一款未知勒索病毒，和刚才一样，出现弹窗告警：已发现未知勒索病毒，触发未知勒索规则，再此查看诱饵文件时间，显示是16点01分，并且原来测试文件也都显示正常，未被加密，说明新的诱饵文件生效，将此未知勒索病毒拦截阻断掉了。证明了重复加密的有效性。

第四道防线：响应处置中心

攻击行为实时上报，处置策略一键下发，高危进程、异常文件、感染主机有效隔离等操作，对威胁快速响应处置。

如今勒索病毒肆虐，有个很重要的原因就是采用了进程注入技术，可以将病毒行为注入到现有合法进程中，模拟现有进程进行加密勒索行为。这也是让很多基于进程黑白名单去做勒索病毒防护失效的技术。进程黑白名单不仅配置起来复杂，需要一个个进程去配置，而且很难防范进程注入、隐藏到正常进程里面的勒索病毒。而我司采用的是进程DNA技术，即进程本身和进程所依赖的环境来共同判断是否是可疑行为。即便是一个已知进程，但是他做出了一些破坏文件的高位行为、他的进程堆栈依赖是不可信是未授权的，我们依然会对其深入检测或者拦截阻断，从而有效防范进程注入、隐藏到进程中的病毒。

第五道防线：可信安全区

可为文件、应用、磁盘提供可信安全保障，非授权不能读、写、删除、拷离可信安全区，非授权无法调用可信安全区内的API接口。

1、目录可信安全区：只能新增文件，无法改写、删除、拷离可信安全区；

将某个文件目录配置为可信安全区之后，那在这个文件目录可信安全区里面，就只能去新增文件，无法对该文件目录里的文件进行改写、删除、以及拷离。适用于历史的财务数据、历史的客户信息/订单信息、PACS业务系统等不需要频繁修改的文件/数据/业务系统等。 同时，为了便于使用人员对于目录里面的文件的首次创建及修改，在管控平台可以设置目录可信安全区允许改写和删除时长，比如设置10分钟，意思就是在10分钟内是允许对该文件改写和删除的，超过这个时间，将不在允许任何程序改写、删除、拷离。

2、应用可信安全区：SQLserver数据库中的数据只能被SQLserver的进程或自定义进程进行改写和删除，恶意程序CFF无法改写

当配置了SQL SERVER数据库为可信安全区后，SQL Server数据库中的数据就只能被SQLserver的进程或者配置的其他进程进行改写和删除，当然是在合法进程环境下，如果SQLserver的进程被注入，也是无法对数据库数据进行改写和删除的。