勒索软件继续占据网络安全期刊和主流媒体的头条. 各行各业各种规模的公司都面临着勒索软件攻击的持续增加. 攻击的增加导致公司支付数百万美元或数百万美元的赎金, 在某些情况下, 因被勒索数据丢失造成无法弥补的损失而失败. 勒索软件攻击将继续增加，主要是由于攻击的成功货币化以及勒索软件方法的不断发展.
勒索软件开始时，攻击者只是简单地获得访问和加密公司数据的权限. 这使得攻击者能够将解密密钥卖回给公司，以允许他们重新获得对公司数据的访问权. 此后，勒索软件不断发展. 一种方法包括接管公司的访问控制功能，将用户锁定在系统之外，直到受害者支付赎金. 攻击者甚至将监管机构武器化. 在泄露公司数据并要求付款后, 攻击者将威胁称，如果得不到报酬，他们将亲自通知监管机构.
导致勒索赎金的攻击是通过多种攻击方式实现的. 第一批勒索软件攻击之一 发生在1989年，当时一名艾滋病研究人员分发了20份,在世界卫生组织(WHO)的一次会议上，向与会者赠送了000张感染了恶意软件的软盘. 该恶意软件已被用于利用已知和零日漏洞，以允许访问系统作为勒索软件的载体. 在勒索软件攻击中使用的恶意软件已经通过多种方式部署, 包括社会工程攻击(例如.g., 网络钓鱼), 在停车场播种被感染的u盘, 甚至利用公开可用的系统. 其他形式的勒索软件是由于公司在不知情的情况下将数据暴露在互联网上而发生的, 允许攻击者窃取或加密数据.
由于勒索软件的形式多种多样，其部署方式也多种多样, 不存在单一的解决方案. 公司必须对其网络安全计划采取全面的看法，并在整个计划中实施能力.
组织需要在各个方面保护他们的基础设施，以阻止勒索软件攻击. 第一个, 组织必须确保在其环境中开发和集成安全解决方案. 例如, 在购买新的软件即服务(SaaS)功能时, 公司应该通过更改默认密码来保护系统, 硬化的配置, 部署云保护功能(例如.g., 云访问安全代理(CASB))，并实现多因素身份验证(MFA)。. 虽然这些保护措施可能无法单独阻止成功的勒索软件攻击, 多管齐下的防御勒索软件的方法减少了攻击者成功的机会.
组织还需要实施强大的保护技术，以确保系统定期修补并管理漏洞. 另外, 提供纵深防御的方法, 组织必须启用有效的审计和日志记录，以便及早发现可能导致勒索软件攻击的潜在漏洞. 而攻击者只需成功植入一次勒索软件恶意软件, 组织必须在任何时候都有效地保护他们的网络, 在他们网络安全计划的各个方面.
有许多可用的资源可以帮助组织定义健壮的网络安全计划. 对于初学者来说, 有各种行业公认的网络安全指导方针, 如国家标准与技术研究院(NIST)改进关键基础设施网络安全框架(网络安全框架), 和互联网安全中心(CIS)通用安全控制(CSC). 另外, 跨部门有许多法规和遵从性要求, 例如支付卡行业(PCI)数据安全标准(DSS), 健康保险流通与责任法案(HIPAA), 北美电力可靠性公司关键基础设施保护(NERC CIP). 还有一些工具，比如 ISACA的CMMI网络成熟度平台(CCP), 它衡量当前的网络安全能力，并建议减轻组织业务风险所需的具体解决方案.
CCP工具包括16个能力领域，代表了一个完整的网络安全计划. 每个领域都帮助组织定义管理运营风险所需的网络安全能力, 包括被勒索软件攻击的风险. CCP网络安全模型(“模型”)识别关键能力，以帮助组织在其能力领域内防止勒索软件, 包括系统可靠性和保护技术. 该模型还定义了具体的操作, 称为实践, 公司可以在事件检测和持续监控能力领域传播之前检测勒索软件.
实施基于成熟度的网络安全计划的整体方法, 正如中国共产党所认识到的那样, 使公司能够评估风险，以建立量身定制的目标成熟度级别. CCP然后将这些目标成熟度级别转换为可实施的实践，以将其网络安全风险降低到可接受的水平, 包括勒索软件破坏商业运作的风险. 另外, CCP内的模型每两年更新一次，以确保网络安全能力随着不断变化的威胁和漏洞而发展.
编者按: 了解更多关于CCP的信息 在这里.
