半導體業成勒索病毒頭號目標！做好快照加備份降低停機損失

by pumoadmin55 · 2022-06-06

隨著製造業逐步擴大產能，將更容易被駭客鎖定，一旦受到攻擊，要立即確保營運安全並避免停機狀況發生。對抗勒索病毒，將取決於是否能夠及時復原至駭客滯留時間開始之前的狀態。這也意味著企業需要利用快照和資料備份來迅速從駭客事件當中進行復原。

疫情下全球企業正邁入新秩序挑戰，在數位轉型及工業 4.0 的推波助瀾之下，加上智慧 AI、5G 應用興起，台灣在全球製造業供應鏈的重要性與日俱增，根據工研院產科國際所統計，光是 2021 年台灣半導體總產值就超過 4 兆元，大幅成長 26.7%，位居全球第二。隨著製造業逐步擴大產能，將更容易成為駭客鎖定的目標，如何確保營運安全並避免停機狀況發生，勢必將成為製造業的一大挑戰。

勒索病毒搭上熱門產業順風車

根據 IDC 發布的 2021 年勒索軟體調查報告《2021 Ransomware Study: Where You Are Matters!）發現近一年內全球有 37% 的企業曾遭受勒索軟體攻撃，而製造業供應鏈上下游關係緊密，牽一髮動全身，企業所承受的責任損失已非單一產線停工的營運損失，更將衍伸相關賠償、訴訟、保險、監管罰款，相關損失難以估計。

勒索病毒駭客最終目標為入侵企業機構，一開始會先有一段行動期間，從嘗試突破防火牆進入企業直到駭客現身要求贖金為止，這段期間我們稱為「滯留時間」（dwell time）。在這期間他們會利用含有惡意程式連結的網路釣魚郵件來攻擊企業內部員工，亦或是掃描企業暴露在網際網路上的對外系統是否有漏洞。不論採取哪一種方式，此階段的重點就是要尋找可攻擊的受害者並找到絕佳的入侵途徑，而了解滯留時間的意義，對於企業從勒索病毒攻擊事件復原是至關重要的。

駭客一旦進入了防火牆內，就會開始蒐集各種帳號和密碼，以便進一步駭入更多系統，並且在受害機構的系統之間四處遊走，他們通常使用一些像遠端桌面協定（RDP）這類合法通訊協定來從事遠端遙控及幕後操縱。在這階段，他們的目標是搜尋各種機敏資料，並在系統內安裝惡意軟體，為接下來的執行階段鋪路，也就是將資料加密及外傳。

不單要有資料備份，還要有無法修改的快照

如果我們假設企業無法抵擋有決心的駭客入侵，那麼對抗勒索病毒攻擊的關鍵，將取決於是否能夠復原至駭客滯留時間開始之前的狀態，且必須及時復原。這也意味著企業需要利用快照和資料備份來迅速從駭客事件當中進行復原。

快照可提供一種系統狀態及資料記錄，每天依循固定間隔頻繁地擷取快照，如此一來，受害的機構系統就能精細地回復到滯留時間前的狀態。快照設計可在撷取時不對營運環境造成太大影響，因此通常會儲存在主要儲存或接近主要儲存的地方。換句話說，資料即可快速地從快照中復原，儲存近一至兩個月的快照。

不同於快照，資料備份通常會存放較久一些，且資料備份的撷取次數也相對沒那麼頻繁，通常為營業時間外的定期備份期間。資料備份幾乎都會移轉至第二儲存（secondary storage），復原時也需要花費較長的時間。因此，若情況允許，特別是滯留時間沒有太長的話，快照由於速度快，對企業來說幾乎是勒索病毒攻擊復原的最有效方式，但前提是快照不能被駭客破壞。

具備多重認證的快照更有保障

傳統上，快照通常是唯讀的，亦即無法進行修改。然而，駭客也知道這點，因此他們會試圖刪除這些快照或將快照移走。正因如此，客戶必須尋找能夠防止快照被刪除的廠商，並且要防止駭客將快照移走，以便能夠進行復原。此外，企業也可尋找能為快照提供多重認證、多重 PIN 碼認證（必須經由多名 IT 人員同時認證）的廠商，並且能夠設定快照保存期限和可允許移動的目的地。

當勒索病毒的滯留時間相對較短時，快照就會是最佳復原手段。但情況有時卻不允許，駭客有可能已經在防火牆內活動好幾個月的時間，並四處安裝惡意程式和破壞檔案。萬一情況是這樣，那麼就有很大的機會必須從資料備份當中復原。