برای شناسایی باج افزار مانند هر نوع بدافزار دیگری، میتوان از راهحلهای آنتی ویروس و ضد بدافزار مبتنی بر امضای سنتی استفاده کرد.
با اینحال، نویسندگان بدافزار بطور فزاینده‌ای از حملات روز صفر و بدافزارهای چند شکلی برای فرار از این سیستمهای شناسایی استفاده میکنند.
در نتیجه، آنتی ویروس مبتنی بر امضا فقط حدود نیمی از بدافزارها را شناسایی میکند.
ماهیت باج افزار بدین معناست که میتوان آنرا با روشهای دیگر شناسایی کرد. برای انجام رمزگذاری انبوه فایلهای کاربر، بدافزار باید تعداد زیادی فایل را باز کند، آنها را رمزگذاری کند و نسخه‌های اصلی را از بین ببرد.
طبیعتاً، هرچه زودتر هر نوع حمله سایبری را شناسایی کنید، شانس بیشتری برای جلوگیری از آن یا حداقل جلوگیری از گسترش حمله دارید.
این امر بویژه در مورد باج‌افزار صادق است، زیرا آسیبی که میتواند در اثر حمله باج‌افزار ایجاد شود، غیرقابل برگشت است.
بهر حال، حتی اگر قربانی باج را بپردازد، هیچ تضمینی وجود ندارد که کلید رمزگشایی را به شما بدهد، و اگر قبل از شروع حمله، کپی‌هایی از دادههای شما استخراج کرده باشد، هرگز نمیدانید که با آن نسخه‌ها چه میکنند.
هرچه سریعتر بتوانید به حمله باج افزار پاسخ دهید، مهاجم شانس کمتری برای سرقت دادههای حساس و اختلال در سیستم خواهد داشت.
از آنجاییکه این اقدامات معمولاً توسط یک کاربر قانونی انجام نمیشود، میتوان از آنها برای کمک به شناسایی باج افزار و جلوگیری از حمله استفاده کرد.
روشهای شناسایی باج افزار در شبکه
اکثر شرکتها درحال حاضر از راهحلهای نرم‌افزاری مانند نرم‌افزار آنتی‌ویروس، فیلترهای هرزنامه و جعبه‌های شنی استفاده میکنند.
با اینحال، این روزها، بسیاری از باج‌افزارها قادر به فرار از چنین راه‌حلهایی هستند.
درحالیکه ممکن است هنگام شناسایی و جلوگیری از حملات باج‌افزار «گلوله جادویی» وجود نداشته باشد، برخی از بهترین روشها وجود دارد که سازمانها باید به آنها پایبند باشند، که عبارتند از:
♦ شناسایی باج افزار مبتنی بر امضا
تشخیص باج افزار مبتنی بر امضا، روشی برای شناسایی باج‌افزار از طریق مقایسه هش‌های دودویی باج‌افزار با امضاهای شناخته شده است که امکان آنالیز سریع فایلها را فراهم میکند.
پلتفرم‌های امنیتی و نرم‌افزارهای آنتی‌ویروس داده‌ها را از فایلهای اجرایی جمع‌آوری میکنند تا مشخص کنند که باج‌افزار هستند یا اجرایی تایید شده.
اگرچه شناسایی باج‌افزار مبتنی بر امضا اولین لایه دفاعی ارزشمند است، اما قادر به شناسایی گونه‌های باج‌افزار جدید نیست، زیرا مهاجمان اغلب فایلهای بدافزار را برای فرار از شناسایی تغییر میدهند.
به سادگی افزودن یک بایت به یک فایل، یک هش جدید ایجاد میکند و احتمال شناسایی بدافزار را کاهش میدهد.
بدین ترتیب، تشخیص مبتنی بر امضا به تشخیص باج افزار قدیمی‌تر کمک میکند، اما کمپین‌های باج‌افزار هدفمند و پیشرفته‌تر میتوانند از این نوع شناسایی عبور کنند.
تشخیص بدافزار مبتنی بر امضا معایب و مزایای زیر را دارد:
مزایا:
- تشخیص بدافزار مبتنی بر امضا، اقدامات منحصربفرد برای هر حمله خاص را ثبت میکند.
- این رویکرد بر حملات خاص متمرکز است و در کاهش نرخ مثبت کاذب بسیار دقیق است.
- پیاده‌سازی و مدیریت آن آسان است و دائما درحال به‌روزرسانی است.
معایب:
- نقطه ضعف اصلی اینست که فقط میتواند حملات شناخته شده را شناسایی کند. کرم‌های اینترنتی مانند Nimda و Code Red بر نیاز به سیستم‌هایی تأکید میکنند که میتوانند حملات ناشناخته را شناسایی و از آن جلوگیری کنند.
- نمیتواند انواع حملات موجود را که با امضاهای موجود در دیتابیس مطابقت ندارند شناسایی کند.
- هنگامیکه ترافیک قانونی با یک حمله اشتباه گرفته شود، نرخ بالایی از مثبت کاذب وجود دارد.
♦ تشخیص براساس ترافیک داده
همچنین با آنالیز ترافیک شبکه، که شامل بررسی اطلاعاتی است که بین نقاط پایانی منتقل میشود، باج‌افزار را شناسایی کرد.
این روش مواردی مانند مهرهای زمانی و حجم داده‌ها و هرگونه بی‌نظمی که ممکن است نشانه حمله باج‌افزار باشد را بررسی میکند. درصورت شناسایی فعالیت مشکوک، سیستم قفل میشود.
یکی از مزایای این روش، توانایی آن در جلوگیری از حملات باج افزار بدون نیاز به دانش امضای بدافزار است.
با اینحال، این روش تمایل به تولید موارد مثبت کاذب دارد که منجر به مسدود شدن فایلهای قانونی میشود که تأثیر منفی بر بهره‌وری دارد و منجر به خرابی پرهزینه میشود.
♦ شناسایی باج افزار با رفتار داده
باج افزار معمولاً فایلها را قبل از درخواست پرداخت برای رمزگشایی، رمزگذاری یا قفل میکند.
بنابراین، نظارت بر تغییرات غیرمنتظره در مکانهای ذخیره‌سازی فایل یا جهش‌های ناگهانی در فعالیت رمزگذاری فایلها میتواند نشانه‌هایی از حمله باج‌افزار را آشکار کند.
برخلاف روشهای امضا و ترافیک داده در تشخیص باج افزار، برای این روش نیازی به امضا نیست، یعنی آلارم‌های کاذب کمتری وجود دارد.
علاوه بر این، مستلزم قفل کردن کل سیستم فایل نیست. در عوض، فرآیندهای مشکوک میتوانند مانع شوند.
این رویکرد در واقع از عفونت باج افزار جلوگیری نمیکند، اما در عوض به جلوگیری از گسترش حمله پس از شناسایی باج افزار کمک میکند.
پلتفرم‌های امنیتی داده متعددی وجود دارند که ویژگی «هشدار آستانه» را ارائه میدهند، که میتواند رویدادهایی را که با شرایط آستانه از پیش تعریف‌‌شده مطابقت دارند، شناسایی کرده و به آنها پاسخ دهد.
بعنوان مثال، اگر چندین فایل در یک بازه زمانی معین رمزگذاری یا تغییر نام داده شوند، یک اسکریپت سفارشی میتواند بطور خودکار در پاسخ به تهدید بالقوه اجرا شود.
♦ تشخیص مبتنی بر فریب
از فناوری فریب سایبری میتوان برای هدایت باج افزار به فایلهای جعلی با ایجاد یک شبه شبکه با فریب‌های جذاب که از شبکه قانونی قابل تشخیص نیستند استفاده کرد.
فناوری فریب به شناسایی تشخیص باج افزار و روشهای نفوذ مهاجم کمک میکند، که ممکن است شامل استفاده از پسوردهای ضعیف یا نقاط پایانی/سرورهای در معرض خطر باشد، که سپس میتواند برای جلوگیری از حملات بیشتر ایمن شود.
اولین گام در پیاده‌سازی راهحلهای فریب شامل ایجاد یک درایو مشترک جعلی است که در تمام نقاط پایانی و سرورهای شبکه توزیع میشود. این شبکه جعلی از کاربران قانونی پنهان شده است تا از ایجاد تصادفی هشدارها جلوگیری شود.
یک ابزار موثر فریب سایبری باید بتواند با ابزارهای امنیتی شخص ثالث مانند راهحلهای IPS، فایروالها و آنتی‌ویروسهای نسل بعدی ادغام شود تا به سرعت فعالیتهای مخرب را شناسایی کند.
به محض اینکه باج افزار یک نقطه پایانی را آلوده میکند و فرآیند رمزگذاری را آغاز میکند، فریب فرآیند رمزگذاری را کند میکند و تهدید را جدا میکند. همچنین میتواند با راهحلهای امنیتی موجود برای مهار تهدید یکپارچه شود.
چگونه Symantec در تشخیص باج افزار کمک میکند
سیمانتک حفاظت‌های متعددی را برای محافظت از مشتریان در برابر حملات هدفمند باج‌افزار در اختیار دارد.
استفاده از روشهای تشخیص زودهنگام و حصول اطمینان از داشتن یک برنامه میتواند مجرمان سایبری را از فایلهای حساس شما دور نگه دارد.
پلتفرم امنیت داده Symantec میتواند به ایمن‌سازی حسابها و دادههای شما – قبل، حین و بعد از حمله باج‌افزار کمک کند.
برای شروع، باید اطمینان حاصل کنید که کاربران عادی فقط به داده‌هایی که برای انجام نقش خود نیاز دارند، دسترسی دارند.
اگر کنترل‌های دسترسی مسئولانه تعیین شوند، اگر کارمندی قربانی حمله فیشینگ شود و برنامه باج‌افزاری را نصب کند، تنها میتواند تعداد نسبتا کمی از فایلها را رمزگذاری کند.
