本文来自微信公众号“GoUpSec”。
勒索软件攻击依然是当今企业面临的最大安全威胁之一。根据Sophos的报告，59%的企业在2023年遭遇了勒索软件攻击，其中56%的受害者最终选择支付赎金以恢复数据。更为严重的是，63%的勒索金额达到或超过了100万美元，平均支付金额高达400万美元，较2022年的150万美元大幅上升。
根据Semperis在2023年7月发布的报告，勒索软件攻击对87%的企业业务运营造成了严重干扰。而且，在遭受勒索软件攻击的企业中，有74%再次成为攻击目标，其中32%的受害者在过去一年中支付了四次或更多次的赎金。
尽管支付赎金似乎是一种快捷的解决方案，但这一做法却是一个恶性循环。74%的受害企业再次受到攻击，而72%的支付赎金企业不得不支付多次赎金。此外，35%的企业即使支付了赎金，也未能获得有效的解密密钥或恢复文件的能力。
确保成功恢复的八个步骤
勒索软件威胁并非新鲜事物，为何企业仍然频频中招并付出高昂代价？其根源在于企业缺乏可靠的备份，尤其是缺乏可用的备份。备份不仅需要存储重要文件和数据库，还应包括关键应用程序、配置文件以及支持整个业务流程所需的所有技术。最重要的是，这些备份必须经过充分测试，确保在需要时能够快速恢复。以下是从勒索软件攻击中快速恢复的八个关键步骤：
一、隔离备份：Sophos的调查显示，94%的勒索软件攻击者试图破坏备份，而其中57%的攻击成功了。当备份被破坏时，企业支付的赎金平均为230万美元，而备份未被破坏的企业支付的赎金仅为100万美元。此外，备份被破坏的企业支付赎金的概率是未被破坏企业的两倍多，恢复成本更是高出八倍。
为了防止勒索软件攻击破坏备份，企业应采用物理隔离或逻辑隔离的方式来存储备份。利用云平台的版本控制功能，确保即使备份中包含被加密的文件，也不会覆盖之前的版本，从而保证数据的完整性。
二、使用一次性写入存储技术：另一种保护备份的方式是使用无法重写的数据存储技术，即一次性写入多次读取（WORM）技术。这种技术虽然增加了存储成本，但有效防止了备份数据被恶意修改。
三、保留多种备份：企业应采用多种备份方式，如定期进行完整备份，同时在更频繁的时间间隔内进行增量备份。这种多层次的备份策略可以有效防止勒索软件在长时间未检测到的情况下摧毁所有备份。
四、保护备份目录：企业除了需要保护备份文件本身，还应保护备份目录。备份目录包含备份的所有元数据，如果备份目录被破坏，即使备份文件完好无损，也难以恢复数据。因此，企业应采取措施保护备份目录，确保其不受勒索软件的侵害。
五、全面备份所有关键数据：企业在进行备份时，必须确保所有关键数据都得到备份。许多企业由于阴影IT（未经过IT部门批准的IT设备或系统）的存在，导致部分重要数据未被备份，从而增加了恢复困难。
六、备份整个业务流程：勒索软件不仅影响数据文件，还会影响整个业务流程。因此，企业在备份时，应不仅备份数据，还要备份所有支持业务流程所需的组件、依赖项、配置、网络设置、监控和安全工具等。这样可以确保在恢复过程中，企业能够快速恢复到正常运营状态。
七、使用热灾难恢复站点和自动化加速恢复：为了缩短恢复时间，企业应使用热灾难恢复站点和自动化工具来加速恢复过程。通过云基础设施，企业可以设置虚拟备份数据中心，确保在勒索软件攻击发生后，能够迅速恢复业务。
八、持续测试备份和恢复流程：企业应定期测试备份和恢复流程，确保在实际灾难发生时能够顺利恢复数据和业务运营。这不仅包括技术测试，还应包括人员操作测试，确保所有相关人员都熟悉恢复流程，并能够在紧急情况下迅速采取行动。
结语
勒索软件攻击给企业带来了巨大的挑战和损失，而有效的备份和恢复策略则是抵御勒索软件的最后一道防线。通过采取上述八个步骤，企业可以大幅降低勒索软件攻击带来的风险，确保在遭遇攻击后能够快速恢复业务运营。在面对不断演变的勒索软件威胁时，企业必须持续优化其备份和恢复策略，确保在危机时刻能够从容应对。
