ARTICLE · 1323110
数据安全-恶意软件
说到恶意软件，大多数人脑子里最先出现的画面，是杀毒软件突然弹出一个窗口，提示发现了病毒，已经处理。这种画面容易让人觉得，病毒是离自己很远的事。不少人把病毒和乱下软件、用盗版、插来路不明的U盘绑在一起，觉得自己不干这些，病毒就到不了自己身上。可真遇上的时候，多数人碰到的，是钓鱼邮件夹带的木马、把文件锁起来的勒索软件，这些不声不响，反而贴得更近。
这种错觉之所以存在，正因为多数人分不清这些威胁真正的区别。真要问清病毒、蠕虫、木马、勒索软件到底有什么区别，又说不明白。还有一个常见的困惑：杀毒软件一直开着，病毒库也定期更新，为什么还是有人中招。原因常常出在，把病毒、蠕虫、木马、勒索软件全当成一种病毒来防，而这几种其实是机制完全不同的程序。
恶意软件是一类攻击手法
前面两篇分别讲了黑客的分类和钓鱼。这一篇讲恶意软件本身：病毒、蠕虫、木马、勒索软件到底是什么，怎么进到机器里，进来之后干什么。
恶意软件是指为损坏、更改或不当访问计算机或网络而创建的软件。计算机病毒、蠕虫、间谍软件、密钥记录器和广告软件都是恶意软件的例子。
恶意软件可以有多种形式，具体取决于其用途（复制、销毁、记录或进行盗窃，或行为监控）。
定义里最关键的是多种形式四个字：病毒、蠕虫、木马等几类机制不同的程序，都归在恶意软件这一个名字下面。把几类当成同一种来防，就一定会漏掉另一类。
怎么区分？问四个问题：靠什么进来、要不要依附别的程序才能活、自己会不会传播、进来之后干什么。把四个问题问完，几类程序的区别就清楚了。
上面前五种，是定义里列出的类型。勒索软件是近几年出现最频繁的一种，所以和病毒、蠕虫、木马一起，放在下面重点讲。
四种主要类型
病毒、蠕虫、木马、勒索最容易混在一起。分开看，每一类要满足一个特定条件才会真正发作。记住发作条件，比记住名字更有用。
病毒：要打开感染文件才活
病毒（Virus）是一种计算机程序，它将自身附加到可执行文件或易受攻击的应用程序上，能造成从让人讨厌到极具破坏性的后果。一旦受感染文件被打开就可执行病毒文件。病毒程序总是需要依附于另一个程序上。下载打开这些受感染的程序可能会释放病毒。
定义的关键在两点：依附和打开。病毒自己不会主动运行，必须挂在另一个程序上，等员工双击打开才被激活。一个典型的场景：某员工收到一封邮件，里面是一个带宏的报表文件，打开之后宏自动运行，病毒随之释放。文件没被打开，病毒只是安静地躺着。
蠕虫：不用点，自己会跑会传
计算机蠕虫（Worm）是一种自己可以在网络中进行复制和传播的程序。受蠕虫感染的计算机将源源不断地发送感染信息。其主要功能是通过消耗大量带宽来危害网络，从而导致网络中断。蠕虫也可能会执行多种其他恶意的活动。
和病毒相反，蠕虫不需要任何人去打开什么。蠕虫发现网络上有没打补丁的漏洞，就自己钻进去，再自己往外传。蠕虫的破坏方式通常不是删文件，而是把整个网络的带宽吃光，让正常业务跑不动。一台内网机器没补好，蠕虫就能顺着共享和漏洞一路复制下去。
木马：骗你当正常软件装进来
在计算机安全术语中，特洛伊木马是指通过伪装或嵌入合法软件而进入计算机系统的恶意程序。安装后的特洛伊木马将删除文件、访问个人信息、安装恶意软件、重新配置计算机、安装键盘记录器，甚至允许黑客将计算机用作攻击网络中其他计算机的武器（机器人或僵尸）。
木马来自特洛伊的典故：外面看着是礼物，里面藏着兵。落到计算机上，就是一份伪装成正常软件的程序，你点了安装，木马才进来。进来之后能干的活很多：删文件、偷信息、开后门，严重的还能把机器变成攻击别人的工具。前面一篇讲的网络钓鱼，很多时候就是木马进来的通道。骗子骗你下载一个所谓的安全更新，你一装，木马就进来了。
勒索软件：进来之后只干一件事
勒索软件是近几年出现最频繁的一类。进来之后的目标非常单一：把文件加密，然后索要赎金才交出解密钥匙。勒索软件不删文件，因为删了就没筹码；也不偷文件，因为加密锁住比偷走更省事。最麻烦的是恢复难。文件被加密以后，要么付钱，付了还不保证拿到钥匙，要么从备份恢复。所以对抗勒索，关键不在杀掉这一个程序，而在中了之后还能不能把数据拿回来。勒索软件通常借两条通道进来：一封伪装成账单的钓鱼邮件，或者一个没及时修补的漏洞。
无文件恶意软件：连文件都不落地
还有一种更隐蔽的：无文件恶意软件。这类程序不把坏文件写到硬盘上，而是借系统自带的工具，直接在内存里运行。杀毒软件认的是落地的坏文件特征，无文件恶意软件根本不落地，自然很难被认出来。这不是某一种特定程序，而是一种不落地的手法，上面任意一类都可能用上。
合起来看，杀毒软件认的是已知的、落地的坏文件特征。可木马要员工亲手放行，蠕虫自己钻漏洞跑，无文件恶意软件根本不落地。这三类都绕开了认文件这条线，所以杀毒软件必须装，但不能只靠杀毒软件。
分层防御
开头说过，杀毒软件一直开着还会中招。原因很简单：杀毒只是防线里的一层，认的是已知的、落地的坏文件特征。真正稳的防线要分层，任一层漏了还有下一层。
下面按从外到内的顺序，把每层的防什么、漏了会怎样列成一张表。端点防护层依赖终端检测与响应（EDR，一种在端点上监控异常行为、不只看文件特征的防护工具）。
这五层不是平摊的，按作用分成三组。前两层负责尽量让恶意软件进不来；中间两层负责进来了也拿不走、丢了也能拿回；最后一层是前面全漏之后的最后一道。任一组失守，还有下一组接着。
落地清单
终端部署 EDR 并保持更新。 操作系统与软件补丁按月统一推送，关键补丁按周。 邮件网关开启附件类型限制与沙箱检测。 关闭即时消息的自动接收文件。 普通员工默认无管理员权限，提权走审批流程。 核心数据每日备份，备份副本离线或异地保存，每季度做一次恢复演练。 钓鱼邮件上报通道常开，可疑邮件一键转发安全团队。
恶意软件这一类，最该记住两句话。第一，这几类是机制不同的程序，分清楚了才知道哪一层防得住哪一类。第二，没有哪一层能单独防住全部，分层才稳。一个组织最容易犯的错，就是把全部希望押在杀毒软件上，结果木马被员工亲手装进来、勒索把数据锁死，那一层的失效就变成整场的失效。
所以有一个问题值得现在就问：你们团队的备份，上一次真正从备份恢复成功，是在什么时候。
