雖然支付贖金通常被視為最終措施，但在數(shù)據(jù)隱私管理平臺BigID的調(diào)查中90%的受訪者表示，如果這意味著他們可以恢復(fù)數(shù)據(jù)和業(yè)務(wù)流程，或者更快地恢復(fù)，他們的公司會考慮支付贖金。

在接受行業(yè)媒體的采訪中，網(wǎng)絡(luò)安全服務(wù)商Sygnia公司英國和北歐地區(qū)的Azeem Aleem博士揭示了勒索軟件談判的復(fù)雜性，并強(qiáng)調(diào)了企業(yè)可以采取哪些措施來保護(hù)自己免受網(wǎng)絡(luò)威脅。

典型的勒索軟件談判過程是什么樣的?專業(yè)人士可以采用什么談判策略來降低勒索贖金?

Aleem：如果企業(yè)遭到勒索軟件攻擊，威脅行為者可以利用它作為進(jìn)行勒索的機(jī)會，承諾以交錯的方式發(fā)布數(shù)據(jù)，以確保他們從勒索軟件攻擊中獲得最大收益。其結(jié)果是，企業(yè)可能會與威脅行為者陷入無休止的贖金循環(huán)。這就是人們被要求調(diào)查和防范重大勒索軟件、企業(yè)間諜活動、金融盜竊甚至民族國家攻擊的原因。

【資料圖】

人們總是在網(wǎng)絡(luò)安全預(yù)防方面犯錯誤，他們需要跟上威脅行為者的發(fā)展步伐，這意味著投資并尋求第三方安全專家的幫助，他們可以從頭開始審查企業(yè)的安全堆棧，發(fā)現(xiàn)企業(yè)可能沒有注意到的細(xì)節(jié)。應(yīng)對網(wǎng)絡(luò)犯罪需要多種技能，包括預(yù)測和適應(yīng)性思維，以及真正看到網(wǎng)絡(luò)威脅的全面或微觀視角。

在與威脅行為者接觸之前，企業(yè)需要為勒索談判獲得正確的技能。例如可以從精英軍事技術(shù)部門和網(wǎng)絡(luò)行業(yè)中挑選精英人才，例如軍事情報部門前官員、犯罪心理學(xué)家、勒索軟件黑客談判代表等等。這是一支非常獨特的團(tuán)隊，他們在技術(shù)優(yōu)勢、數(shù)字作戰(zhàn)、數(shù)據(jù)分析和商業(yè)方面擁有訓(xùn)練有素的技能，為企業(yè)提供軍事級別的安全。

企業(yè)要意識到會有更多的損失——需要愿意談判，這意味著“玩游戲”以獲得最好的結(jié)果。成功進(jìn)行談判意味著在保護(hù)被盜數(shù)據(jù)的同時支付很少費用或不支付任何費用。網(wǎng)絡(luò)威脅談判專家可以找到漏洞的來源，并使用策略來延遲交付贖金，同時為企業(yè)的調(diào)查團(tuán)隊提取關(guān)鍵信息，以映射到威脅行為者的特定行為。例如，企業(yè)的談判者可能會假設(shè)一個特定的角色來建立同理心和信任，創(chuàng)造一種友誼感，這有助于打開溝通渠道，達(dá)成更好的交易。

通過查找漏洞來源來避免雙重勒索和三重勒索。談判團(tuán)隊將努力揭示勒索軟件攻擊者的動機(jī)，調(diào)查來源，遏制威脅，最大限度地減少泄露暴露時間(BET)，然后幫助補救和恢復(fù)，以此作為打破威脅循環(huán)的一種方式。談判者將協(xié)助找到能夠幫助技術(shù)團(tuán)隊揭示未知狀況的“黑天鵝”。

通過了解勒索軟件攻擊者使用的工具、策略和過程(TTP)，可以確定勒索軟件攻擊的復(fù)雜程度。有時勒索軟件攻擊者的攻擊方式或者工具并不復(fù)雜，但他們可能發(fā)現(xiàn)了一個未知的漏洞，可以繼續(xù)濫用。

使用勒索軟件談判服務(wù)而不是在企業(yè)內(nèi)部處理談判有什么好處?

Aleem：第三方高技能的事件響應(yīng)團(tuán)隊可以通過與企業(yè)合作為其提供大量專業(yè)知識，這可能是傳統(tǒng)內(nèi)部安全團(tuán)隊所缺少的知識和技能。例如我們從精英軍事技術(shù)部門和網(wǎng)絡(luò)行業(yè)中挑選精英人才，例如前軍事情報官員、犯罪心理學(xué)家、勒索軟件黑客談判代表等。這是一支獨特的團(tuán)隊，他們在技術(shù)優(yōu)勢、數(shù)字作戰(zhàn)、數(shù)據(jù)分析和商業(yè)方面擁有訓(xùn)練有素的技能，可以為企業(yè)提供軍事級別的安全保障。事實上，一些國家悄悄地向他們尋求幫助。

談判人員可以推遲企業(yè)對贖金要求的回應(yīng)。這種延遲提供了什么好處，它如何影響勒索軟件攻擊的結(jié)果?

Aleem：網(wǎng)絡(luò)威脅行為者現(xiàn)在可能是擁有人力資源、薪資和銷售團(tuán)隊的大企業(yè)。他們需要像企業(yè)保護(hù)贖金一樣保護(hù)自己的行業(yè)聲譽。不幸的是，在某些情況下，由于攻擊本身的性質(zhì)，支付贖金是不可避免的。例如，對工業(yè)基礎(chǔ)設(shè)施的攻擊，不僅會對網(wǎng)絡(luò)安全造成影響，還會對工作和生活造成物理影響。

研究機(jī)構(gòu)最近發(fā)布的一份研究報告表明，在今年上半年，全球企業(yè)支付了4.491億美元的贖金。勒索談判將有助于發(fā)現(xiàn)勒索軟件攻擊者的未知之處，找到安撫他們的方法，并減少贖金——在某些情況下，可能會阻止未來的攻擊。我們實際上是在爭取時間來控制威脅、恢復(fù)數(shù)據(jù)和彌補安全漏洞。

在遭受勒索軟件攻擊之后，企業(yè)應(yīng)該立即采取什么措施，以使自己處于成功談判的最佳位置?

Aleem：?建立安全的離線渠道。這本質(zhì)上是一個作戰(zhàn)室，以簡化戰(zhàn)略團(tuán)隊溝通。網(wǎng)絡(luò)攻擊不再是一個IT問題，必須提交給企業(yè)董事會，特別是如果監(jiān)管措施被忽視，首席執(zhí)行官可能會發(fā)現(xiàn)自己被解雇。

保持冷靜，避免下意識的反應(yīng)?？謶謺屓梭@慌失措，影響判斷?？梢試L試回應(yīng)威脅行為者，提示他們成功的“標(biāo)記”。招募外部的突發(fā)事件應(yīng)對專家來調(diào)查、評估和繪制危機(jī)地圖。不要單獨與威脅行為者接觸。應(yīng)用網(wǎng)絡(luò)分段，并將備份環(huán)境與網(wǎng)絡(luò)分離。斷開員工與電子郵件和服務(wù)器的連接，以避免傳播攻擊。許多供應(yīng)鏈攻擊可以通過這種方式擴(kuò)大攻擊規(guī)模。評估運營環(huán)境，了解攻勒索軟件擊的來源。謹(jǐn)慎對待補救和消除后門。這樣的緩解活動可能會讓威脅行為者意識到有人盯上了他們。確保企業(yè)正在進(jìn)行的流程是全面的，并使用定制的監(jiān)視工作來支持補救，以防止進(jìn)一步的風(fēng)險，并檢測可能遺漏的任何后門。能否舉例說明企業(yè)如何成功使用勒索軟件協(xié)商服務(wù)來減輕勒索軟件攻擊的影響?

Aleem：我們的勒索軟件談判服務(wù)限制了對企業(yè)的損害，能夠快速發(fā)現(xiàn)威脅并最終以更快的速度減少贖金。我們的調(diào)查提供了可以阻止威脅行為者的杠桿，最大限度地減少贖金或根本不支付任何費用的最佳結(jié)果。

我們將看到越來越多的運營技術(shù)(OT)攻擊，在某些情況下，虛擬世界和物理世界都可能受到影響，因此需要支付贖金。例如，Sygnia公司與一家知名的全球制造公司開展合作，該公司是一個制造商集團(tuán)的子公司，并且擁有多個OT生產(chǎn)環(huán)境。該公司遭受了來自PYSA或Mespinoza Ransomware勒索組織的攻擊，網(wǎng)絡(luò)攻擊者對生產(chǎn)車間的服務(wù)程序進(jìn)行了加密，導(dǎo)致工廠運營和客戶交付暫停。對于這種規(guī)模的企業(yè)來說，任何日常運營的中斷都可能造成150萬至200萬美元的損失。

該公司無法繼續(xù)承受這樣的損失，因此在現(xiàn)有工作流程的同時，Sygnia公司幫助調(diào)查和控制威脅，同時恢復(fù)并與威脅行為者進(jìn)行談判。我們的談判專家團(tuán)隊找到了與威脅行為者建立信任和同理心的方法——更深入地了解勒索軟件攻擊的起源，以幫助我們的遏制團(tuán)隊確保他們針對的是正確的領(lǐng)域。

一旦我們發(fā)現(xiàn)了勒索軟件攻擊的入口點并發(fā)現(xiàn)了橫向移動向量，我們就能夠追蹤到攻擊的起源，并將其追蹤到制造商集團(tuán)內(nèi)的另一家子公司。我們在供應(yīng)鏈攻擊中多次看到這種情況，企業(yè)內(nèi)部團(tuán)隊為了提高效率而彼此共享系統(tǒng)，但他們卻不知道，這也為威脅行為者提供了利用和傳播攻擊的途徑。

Sygnia公司展示了我們的調(diào)查結(jié)果，并與兩個法律團(tuán)隊分享了過濾之后的數(shù)據(jù)進(jìn)行分析。在這種情況下，我們能夠從我們的“安全島”恢復(fù)環(huán)境，因此不必支付贖金。我們還修復(fù)了漏洞，以防止再次發(fā)生勒索軟件攻擊，并幫助制造商在最初的妥協(xié)之后兩周內(nèi)恢復(fù)這家工廠的全面運營。

可以解釋一下勒索軟件談判服務(wù)如何與執(zhí)法機(jī)構(gòu)合作，以及這種合作如何使受害企業(yè)受益嗎?

Aleem：在多個案例中，Sygnia公司的談判小組與執(zhí)法機(jī)構(gòu)進(jìn)行了廣泛的合作。這主要是為了了解勒索軟件攻擊的范圍，改進(jìn)安全團(tuán)隊的工具、策略和過程(TTP)，并爭取關(guān)鍵時間以加快遏制過程。

關(guān)鍵詞：