建站
咨詢
售后
建站咨詢
新聞中心
來自韓國仁荷大學(xué)(Inha University)、大邱慶北科技學(xué)院(DGIST)、中佛羅里達大學(xué)(UCF)、以及梨花女子大學(xué)(EWU)網(wǎng)絡(luò)安全系的一支研究團隊，剛剛介紹了一套應(yīng)對勒索軟件攻擊的 SSD 數(shù)據(jù)檢測與恢復(fù)方法。據(jù)說這套名為“SSD-Insider”的方案可實現(xiàn)幾乎 100% 的準(zhǔn)確性，且已通過現(xiàn)實世界中勒索軟件的測試考驗。
目前創(chuàng)新互聯(lián)建站已為超過千家的企業(yè)提供了網(wǎng)站建設(shè)、域名、網(wǎng)絡(luò)空間、網(wǎng)站托管、服務(wù)器托管、企業(yè)網(wǎng)站設(shè)計、禪城網(wǎng)站維護等服務(wù)，公司將堅持客戶導(dǎo)向、應(yīng)用為本的策略，正道將秉承"和諧、參與、激情"的文化，與客戶和合作伙伴齊心協(xié)力一起成長，共同發(fā)展。
研究配圖(來自：UCF | PDF)
據(jù)悉，SSD-Insider 的工作原理，是識別 SSD 活動中某些已知可辨別的勒索軟件行為模式。
為了僅通過 IO 請求標(biāo)頭的分布來識別勒索軟件活動，研究團隊留意到 WannaCry、Mole 和 CryptoShield 等勒索軟件，都具有相當(dāng)獨特的覆蓋行為。
仁荷大學(xué)研究員 DaeHun Nyang 在接受 The Register 采訪時稱：“當(dāng) SSD-Insider 檢測到勒索軟件活動時，存儲器的輸入 / 輸出(IO)將被暫停，以便用戶能夠?qū)账鬈浖M程進行剔除”。
勒索軟件行為模式分析
在勒索軟件被中止時，SSD-Insider 還可通過 SSD 的獨特屬性，來恢復(fù)已丟失的文件。
文章指出：在被新數(shù)據(jù)覆蓋之前，固態(tài)存儲器將始終保留此前被刪除的數(shù)據(jù)，直到后續(xù)被主控和固件的垃圾回收機制給清理。
通過利用 SSD 的這一內(nèi)置備份功能，SSD-Insider 也得以追蹤驅(qū)動器內(nèi)的舊版本數(shù)據(jù)。然后在勒索軟件檢測算法確認新版本數(shù)據(jù)未受到勒索軟件影響之前，這些數(shù)據(jù)都將不被徹底刪除。
SSD-Insider 測試表現(xiàn)
SSD-Insider 的真正獨特之處，在于它甚至能夠以固件級別運行。那樣即使系統(tǒng)上沒有安裝相應(yīng)的安全軟件，用戶也可獲得抵御勒索軟件攻擊的益處。
此外，論文中提到了傳統(tǒng)軟件防御方法的缺點，比如反勒索軟件的 CPU 開銷較高、且某些勒索軟件可能逃脫反病毒軟件的檢測。相比之下，SSD-Insider 的時間開銷僅在 147~254 ns 左右。
以 WannaCry 等勒索軟件展開測試時，SSD-Insider 為放過任何勒索軟件活動，且極少觸發(fā)誤報。在所有測試場景下，其錯誤拒絕率(FRR)為零、錯誤接受率(FAR)也幾乎為零。
測試訓(xùn)練用的勒索軟件 / 應(yīng)用程序
研究人員指出：就 FRR 而言，最糟糕的“背景噪聲”，來源于 IO / CPU 密集型的工作環(huán)境。至于 FAR，最糟糕的情況也是 DataWiping 和數(shù)據(jù)庫等重覆蓋類型的工作場景。
當(dāng)然，對于防病毒研究人員來說，SSD-Insider 的這樣的方法也并不是萬無一失的。
畢竟在勒索軟件開發(fā)者知曉了該方案的存在之后，后續(xù)仍可開發(fā)出對應(yīng)的繞過方法，所以大家還是要養(yǎng)成定期備份數(shù)據(jù)的好習(xí)慣。
網(wǎng)頁標(biāo)題：研究人員提出應(yīng)對勒索軟件攻擊的行為分析與SSD數(shù)據(jù)恢復(fù)方法
當(dāng)前URL：http://www.5511xx.com/article/ccessos.html
