勒索軟體是第三方建立的程式碼，用於滲透系統並劫持、加密或竊取資料。為協助您防範勒索軟體攻擊，Google Cloud 提供多項控制措施，可識別、保護、偵測、應變及復原攻擊。這些控制項可協助您完成下列工作：
- 評估風險。
- 保護商家免受威脅。
- 維持營運不中斷。
- 快速應變及復原。
本文適用對象為資安架構師和管理員。說明勒索軟體攻擊序列，以及 Google Cloud 如何協助貴組織降低勒索軟體攻擊造成的影響。
勒索軟體攻擊序列
勒索軟體攻擊可能一開始是尋找潛在漏洞的大規模攻擊，也可能是定向攻擊。定向攻擊活動會先進行識別和偵察，攻擊者會判斷哪些組織有漏洞，以及要使用哪種攻擊向量。
勒索軟體攻擊向量有很多種。最常見的媒介是含有惡意網址的網路釣魚電子郵件，或利用公開的軟體安全漏洞。這類軟體安全漏洞可能存在於貴組織使用的軟體，或軟體供應鏈中。勒索軟體攻擊者的目標是組織、供應鏈和客戶。
初步攻擊成功後，勒索軟體會自行安裝，並與惡意中繼站通訊，擷取加密金鑰。勒索軟體在整個網路中散播時，可能會感染資源、使用擷取的金鑰加密資料，以及竊取資料。攻擊者會向組織索取贖金 (通常是加密貨幣)，以換取解密金鑰。
下圖概略說明典型的勒索軟體攻擊序列，從識別和偵察到資料竊取和勒索。
勒索軟體通常難以偵測。因此，您必須採取預防、監控和偵測措施，並確保組織能在發現攻擊時迅速應變。
Google Cloud的安全性和韌性控管機制
Google Cloud 內建安全性和復原力控管機制，可協助客戶防範勒索軟體攻擊。這些控制項包括：
- 全球基礎架構，在整個資訊處理生命週期中提供安全保障
- Google Cloud 產品和服務內建偵測功能，例如監控、威脅偵測、資料遺失防護和存取控管
- 內建預防性控管機制，例如 Assured Workloads
- 透過區域叢集和全域負載平衡器實現高可用性
- 內建備份功能，提供可擴充的服務
- 使用基礎架構即程式碼和設定護欄的自動化功能
Google Threat Intelligence、VirusTotal 和 Mandiant Digital Threat Monitoring 會追蹤並應對 Google 基礎架構和產品中的多種惡意軟體，包括勒索軟體。Google Threat Intelligence 團隊由威脅研究人員組成，負責為 Google Cloud產品開發威脅情報。VirusTotal 是惡意軟體資料庫和視覺化解決方案，可協助您進一步瞭解惡意軟體在企業中的運作方式。Mandiant Digital Threat Monitoring 和其他 Mandiant 服務提供威脅研究、諮詢和事件應變支援。
如要進一步瞭解內建安全控管機制，請參閱「Google 安全性總覽」和「Google 基礎架構安全性設計總覽」。
Google Workspace、Chrome 瀏覽器和 Chromebook 的安全性和復原力控制項
除了 Google Cloud中的控制項外，Google Workspace、Google Chrome 瀏覽器和 Chromebook 等其他 Google 產品也包含安全控制項，可協助保護貴組織免受勒索軟體攻擊。舉例來說，Google 產品提供安全控管機制，可讓遠距工作者根據身分和情境 (例如位置或 IP 位址)，從任何地方存取資源。
如「勒索軟體攻擊序列」一節所述，電子郵件是許多勒索軟體攻擊的主要媒介。攻擊者可利用這項漏洞，透過網路釣魚手法取得憑證，藉此非法存取網路，並直接散布勒索軟體二進位檔。Gmail 的進階網路釣魚和惡意軟體防護功能提供隔離電子郵件的控制項、防範危險附件類型，並協助保護使用者免受傳入的假冒電子郵件侵擾。安全沙箱旨在偵測附件中是否存在先前未知的惡意軟體。
Chrome 瀏覽器內建 Google 安全瀏覽功能，可在使用者嘗試存取受感染或惡意網站時發出警告。沙箱和網站隔離功能可防止惡意程式碼在同一分頁的不同程序中散播。密碼保護功能會在公司密碼用於個人帳戶時發出警示，並檢查使用者儲存的密碼是否因線上資料侵害事件而外洩。在這種情況下，瀏覽器會提示使用者變更密碼。
下列 Chromebook 功能有助於防範網路釣魚和勒索軟體攻擊：
- 唯讀作業系統 (ChromeOS)：這類系統會持續在背景更新，Chrome OS 可防範最新安全漏洞，並提供控管機制，確保應用程式和擴充功能無法修改 OS。
- 沙箱機制：每個應用程式都在獨立環境中執行，因此有害應用程式無法輕易感染其他應用程式。
- 驗證開機程序：Chromebook 開機時，會檢查系統是否遭到修改。
- 安全瀏覽： Chrome 會定期下載最新的安全瀏覽不安全網站清單。這項功能會檢查使用者造訪的每個網站網址，並根據這份清單檢查使用者下載的每個檔案。
- Google 安全晶片：這些晶片可保護作業系統，避免遭到惡意竄改。
如要縮小組織的攻擊面，建議為主要在瀏覽器中工作的使用者提供 Chromebook。
降低 Google Cloud勒索軟體攻擊影響的最佳做法
如要保護企業資源和資料，避免遭受勒索軟體攻擊，您必須在地端部署和雲端環境中，實施多層式控管機制。
以下各節說明最佳做法，協助貴組織識別、預防、偵測及應對Google Cloud上的勒索軟體攻擊。
找出風險和資產
請考慮採用下列最佳做法，找出Google Cloud中的風險和資產：
- 在Google Cloud中維護資源清單。
- 使用稽核記錄。
- 在 Security Command Center Premium 中使用攻擊路徑模擬，評估目前的風險狀況。
- 考慮透過風險防護計畫提供的網路保險選項。
- 啟用 Sensitive Data Protection 以檢查資料。
控管資源和資料的存取權
建議您採用下列最佳做法，限制 Google Cloud資源和資料的存取權：
如要進一步瞭解保護服務帳戶的最佳做法，請參閱「使用服務帳戶的最佳做法」。
保護重要資料
建議您採用下列最佳做法，保護機密資料：
在用於儲存資料的 Cloud Storage 選項上設定備援 (N+2)。如果使用 Cloud Storage，請考量下列事項：
安全的網路和基礎架構
請考慮採用下列最佳做法，協助保護網路和基礎架構：
- 使用基礎架構即程式碼建立安全基準。
- 啟用 VPC Service Controls。
- 使用 Cloud VPN 或 Cloud Interconnect 建立安全的混合連線。
- 搭配使用 Cloud Load Balancing 和防火牆規則。
實施限制性組織政策，例如：
保護工作負載
建議您採取下列最佳做法，協助保護工作負載：
- 將安全性整合至軟體開發生命週期的每個階段。針對 Google Kubernetes Engine (GKE) 工作負載，請實施軟體供應鏈安全防護，包括可信任的建構作業和應用程式隔離。
- 限制 Pod 之間的流量。
- 使用 Cloud Build 搭配隨選掃描，在提交程式碼前掃描安全漏洞。
- 設定構件的安全漏洞掃描。
- 強制執行二進位授權。
- 使用 Google Cloud Armor 政策。
- 讓 GKE 叢集保持最新狀態。
偵測攻擊
建議您採用下列最佳做法，偵測攻擊：
- 使用 Cloud Logging 管理及分析 Google Cloud 中服務的記錄，並使用 Cloud Monitoring 評估服務和資源的效能。
- 在組織層級啟用 Security Command Center。
- 如要偵測 VM 和容器化工作負載的執行階段威脅，請使用 Wiz Defend 搭配 Wiz Runtime Sensor，偵測及應對進行中的威脅。
- 如要進行深入的安全分析和威脅偵查，請與 Google Security Operations 整合。
規劃事件
應對攻擊並從中復原
偵測到勒索軟體攻擊時，請啟動事件應變計畫。確認事件並非誤判，且會影響Google Cloud 服務後，請提交 P1 客服案件。Cloud Customer Care 會依據《Google Cloud：技術支援服務指南》所述內容回覆。
啟用計畫後，請召集組織內需要參與事件協調和解決程序的人員。請確保這些工具和程序已就緒，以便調查及解決事件。
請按照事件應變計畫移除勒索軟體，並將環境還原至健康狀態。視攻擊嚴重程度和啟用的安全控管措施而定，計畫可能包含下列活動：
- 隔離受感染的系統。
- 從正常的備份還原。
- 使用 CI/CD 管道將基礎架構還原至先前已知的良好狀態。
- 確認安全漏洞已移除。
- 修補所有可能容易受到類似攻擊的系統。
- 實施必要控管措施，避免類似攻擊再次發生。
在應對過程中，請持續監控 Google 支援單。客戶服務會在Google Cloud 內採取適當行動，圍堵、根除並盡可能復原您的環境。
事件解決且環境還原後，請通知客戶服務團隊。如果已安排聯合回顧會議，請與 Google 代表一起參加。
請務必記取事件教訓，並採取必要控管措施，避免類似攻擊再次發生。視攻擊性質而定，您可以考慮採取下列行動：
- 編寫偵測規則和警示，在攻擊再次發生時自動觸發。
- 更新事件應變教戰手冊，納入所有經驗教訓。
- 根據回顧發現項目，改善資安態勢。
後續步驟
- 聯絡 Mandiant 顧問進行網路防禦評估。
- 如需其他最佳做法，請參閱安全性最佳做法目錄。
- 如要瞭解 Google 如何管理事件，請參閱「資料事件應變程序」。