勒索病毒变身来袭

杨守福+俞飞

WannaCry2.0攻击已经开始，并且，没有发现可使其停止的“开关”

勒索病毒WannaCry在包括中国在内的全球一百五十余个国家及地区疯狂肆虐后，黑客的“自毁开关”网站域名被识别，勒索病毒攻击被阻止。与此同时，各安全厂商根据截获的病毒样本分析升级了各自的特征库，中国也自主研发出防御软件，以阻止已知和未知的勒索病毒破坏文件。

一切似乎归于平静。但是，危险真的就此消失了吗？

新一波攻击蠢蠢欲动

令人遗憾的是，危险并未离去。

国际几大知名网络安全实验室的最新监测发现，新一波的WannaCry2.0攻击已经开始，并且，没有发现可使其停止的“开关”。

引爆此次勒索病毒危机的黑客组织“影子经纪人”更是宣称：将出售更多病毒代码，用于侵入目前世界上使用最多的计算机、软件和手机。据说，新的病毒连苹果电脑也可以侵入。

黑客组织甚至发布了月度计划：从6月份开始，将每月出售浏览器、路由器、手机的攻击武器。

中国国家计算机病毒应急处理中心监测发现，一种名为“UIWIX”的勒索病毒新变种已在全球出现。而路透社也援引数据称，勒索病毒的变种正以每小时3600台电脑的感染速度在迅速扩散，提醒用户提高警惕，小心防范。

一个令人担忧的现实是：下一波的攻击不但无法避免，还将继续扩散，在接下来的几周内可能会出现更多的变种。

虽然此次勒索病毒的散播已经引起了大家对系统漏洞的重视，但是仍然有大量存在漏洞的系统能够轻易地访问，仍然有许多未知的潜在漏洞会被利用。并且，更新的恶意病毒不只针对计算机，还瞄准了手机、智能设备等。

黑客攻击的最终目的

此次勒索病毒危机，虽然黑客组织主要目标在于钱（比特币），但无法确定的是，以后的恶意病毒是否还有其他目的，比如获取数据。

必须相信， 入侵者一定有能力将数据窃取走，或者已经窃取了。如果真的如此，那后果将不堪设想。

从以往案例来看，窃取数据是绝大多数黑客网络攻击的最终目的。毕竟，在电脑系统中，最宝贵的就是所存储的数据资料，无论是对于个人电脑，还是企业服务器等。

数据泄露在日常生活中并不鲜见。

数据泄露的途径有很多，按泄露主体来分，主要包括主动泄露及被动泄露两大类。

所谓主动泄露，是指数据被内部人员有意泄露，主动泄露事件在许多单位、机构等均存在，主要源于管理不当。2017年3月初，京东协助公安部破获的“50亿条公民信息泄露”案件，就是一起典型的主动泄露事件，京东安全部试用期员工郑某鹏，利用职务之便，监守自盗，以身试法，最终自食其果。

被动泄露是最常见的数据泄露方式，主要指用户在不知情的情况下，数据被窃取。常见的病毒、木马、非法入侵者（如间谍）等，都屬于被动泄露范畴。在个人家庭使用计算机环境中，主要以被动泄露为主。

目前所发现的数据泄露事件，有超过90%是由于数据库引起的。入侵者一旦有机会进入目标机器，首要目标就是数据库（结构化数据），其次则是重要的文件（非结构化数据）。此次勒索病毒攻击发起组织“影子经纪人”所掌控的数据，基本都是通过非法途径窃取所得。

黑客关注什么，就重点防护什么

数据是网络应用的核心，数据的安全防护，是应对所有网络攻击的最后一道防线，同时，也是信息泄露的最后一道防线。

在日常工作生活中，如何确保数据的安全，不被内部人泄露、不被入侵者窃取，确保恶意软件进不来、进来之后拿不走、拿走之后打不开、泄露之后查得到，显得尤为重要。

如前所述，有超过90%的数据泄露事件跟数据库有关，因此，如何保护数据库安全是保护数据安全的重中之重。

数据库主要存储在服务器中，无论是普通企业还是机关单位的数据库，或存放在单位内部服务器中，或存放在互联网服务器中，或放在云服务器中，作为组织、存储和管理数据的角色，数据库一般都应该放在应用（如网站、App等）之后，对应用提供接口或对管理员提供独立的访问方式，不直接对普通用户开放。

入侵者主要从应用、数据库、物理存储设备等三个渠道入手，除此之外，数据也可能由管理员滥用特权账户泄露出去。因此，如要全面地保护数据库安全，就需要从数据库的使用过程入手。

事前，要对数据库进行现状评估，包括风险扫描和状态监控，发现问题，及时查漏补缺，起到预防作用，状态监控需要对数据库起到占用及及时报警作用，确保数据库实时正常运作，保证入侵者拿不走。

事中，一是设置针对数据库安全防护的专业防火墙，能够及时拦截非法造访，保证非法入侵者进不来;二是根据需要安装专业的数据库加解密设备，确保数据库中关键数据无明文，保证数据丢失后窃取者打不开。

事后，需要确保有独立的数据库审计系统，能够追踪溯源，便于分析原因与界定责任。

通过以上全过程的安全防护，才能实现入侵者进不来、进来后拿不走、拿走后打不开，丢失后可追溯。

保护数据的国家行动

要想彻底维护网络与信息安全，更离不开对违法犯罪的震慑和打击。

2017年6月1日起，《中华人民共和国网络安全法》《最高人民法院 最高人民检察院 关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》等正式实施。其中，网络安全法涵盖了网络数据安全、网络信息安全、网络运行安全、网络设备设施安全等多方面内容;《解释》对于侵犯公民个人信息罪的定罪量刑标准、严打泄露个人信息“内鬼”等社会关注焦点作了明确规定，对每个公民的个人信息安全保护又增加了一层法律法规的铠甲，力度之大、范围之广前所未有。

作为我国网络与信息安全领域的重要法规，它们与《刑法》等法律一起构成了一个相对完善的法律保护体系，对进一步保护网络和个人信息安全具有十分重要的现实意义，注定将成为中国网络与信息安全的一个里程碑。

互联网深刻融入和影响着每个人的生活，只有安全的网络、健全的法律，才能让每个人在虚拟世界里有安全感。为此，亟需建立起一套完善的网络与信息安全技术体系和健全的法律体系，为信息安全提供保障，为互联网发展保驾护航。