无声杀手：解析勒索软件的延长驻留时间与日益扩大的检测鸿沟

勒索软件持续对各行各业的组织发动无情攻击，但近期事件分析凸显了一种特别阴险的演变：对延长驻留时间的战略性利用。勒索软件“大张旗鼓”地一进入就暴露自己的时代正逐渐成为过去。相反，老练的攻击者正利用长时间未被发现的访问来最大化影响、窃取数据并建立持久立足点。这种模式暴露了一个显著的检测鸿沟，特别是对于那些在最终破坏性勒索软件载荷之前，更安静的入侵。

发生了什么

近期事件报告揭示了勒索软件攻击动态中一个令人担忧的趋势。虽然普遍的认知往往将勒索软件与即时、破坏性的加密事件联系起来，但实际情况远比这微妙。分析表明，“嘈杂”威胁和“安静入侵”之间的检测速度存在显著差异。勒索软件一旦开始加密就会暴露自己，但其最终行动的准备工作往往长时间未被发现。

即使是拥有强大监控能力的组织，在检测到入侵之前也经历了显著的驻留时间。这强调了持续覆盖在攻击的隐秘阶段可能面临困难。在某些情况下，初始入侵与检测之间存在的巨大时间差，凸显了攻击者在不被察觉的情况下行动的能力，将看似突发的事件转变为数周未被发现活动的累积。这种延长的驻留时间为威胁行为者提供了充足的机会进行横向移动、提升权限并为最大化影响做准备。

为什么这种模式会不断重复

这种模式的持续存在可归因于几个因素，主要是威胁行为者日益复杂化以及防御策略的根本性弱点。一个普遍存在的弱点仍然是安全层级较低的环节，特别是在供应链内部，涉及那些拥有核心系统访问权限但往往缺乏同等监控能力的供应商。这为寻求建立安静入侵的攻击者创造了一个可利用的切入点。

另一个关键因素是不同威胁类型表现方式的内在差异。与勒索软件加密的即时、自暴露性质不同，其他形式的入侵——例如凭证盗窃、静默数据窃取或为未来使用建立休眠访问——不会产生同等的警报。传统的检测机制，通常旨在捕捉“响亮”警报，对这些更隐秘的策略效果不佳。这种差异意味着，主要为检测明显事件而构建的防御措施，对较慢、较安静的入侵保护不足。这些正是决心已定的攻击者更可能采用的入侵类型，使他们能够长时间逃避检测并最大化其行动优势。

网络安全挑战与其说是公开的战斗，不如说是无声的渗透。当攻击者能够长时间不被发现地驻留时，优势就决定性地转向他们，使得被动防御在很大程度上失效。

攻击者的分步策略

现代勒索软件攻击很少是单一的、自发的事件。相反，它遵循一个旨在隐秘和持久性的多阶段策略，利用了近期事件中观察到的检测鸿沟。这种有条不紊的方法使攻击者能够在发动最终破坏性载荷之前最大限度地利用其影响力。

最初，攻击者专注于获取初始访问权限，通常通过受损的第三方供应商或针对组织薄弱环节的网络钓鱼活动。一旦进入内部，目标就从公开行动转向隐蔽侦察。他们一丝不苟地绘制网络图，识别关键资产，并定位敏感数据。这个阶段的特点是低噪音活动，例如凭据收集、建立持久性机制以及创建与合法网络流量融合的后门。

侦察之后，攻击者进行横向移动，将他们的存在扩散到整个网络，以确保多个入侵点。这确保了检测的韧性，并使修复更具挑战性。他们提升权限，寻求对关键系统的管理访问，通常同时窃取数据。数据窃取具有双重目的：它为勒索提供了额外的筹码，并且即使勒索软件部署失败，也可以独立出售。最终阶段是勒索软件的部署，从受害者的角度来看，这似乎是突然发生的，但它仅仅是数周或数月未被发现的准备工作的结晶。这种充分的准备允许进行定制化攻击，增加了成功和有影响力的加密事件的可能性。

防御者错过了什么

面对这些不断演变的攻击模式，防御者错过了关键信号，这主要是因为过度依赖针对“嘈杂”威胁优化的检测策略。现有的检测速度数据显示，嘈杂、明显的事件与安静入侵的发现率存在显著差异。这种检测能力的根本性不匹配是一个重大的疏忽。

许多安全运营中心（SOC）和托管检测与响应（MDR）服务，尽管提供24x7的覆盖，但主要旨在捕捉攻击的即时后果。他们擅长识别预示活跃加密事件或公然窃取尝试的“嘈杂”入侵指标（IOC）。然而，前置阶段——细微的权限提升、安静的横向移动、休眠访问的建立——往往被忽视。这些活动，尽管单独来看是微小的，但共同构成了早期检测的关键窗口。

供应链安全方面的普遍弱点进一步加剧了这个问题。拥有组织系统访问权限的供应商通常没有相同级别的安全监控，从而产生了攻击者容易利用的盲点。这意味着源自受信任第三方的一项入侵可以绕过为直接攻击设计的内部防御。对边界防御和端点保护的关注，虽然必要，但往往忽视了定义现代勒索软件活动的复杂内部侦察和持久性建立，使组织容易受到无声杀手的攻击。

实用的防御清单

为了应对勒索软件延长驻留时间的威胁，CISO和安全工程师必须采取一种主动的、多层次的防御策略，优先考虑对安静入侵的早期检测。这需要从纯粹的被动措施转向持续验证和改进防御态势。

• 加强供应链安全审计： 严格评估所有具有网络访问权限的第三方供应商的安全态势。实施持续监控要求，并确保其安全控制与您自身保持一致，重点关注访问分段和日志记录。
• 实施高级行为分析： 部署能够检测异常用户和实体行为（UEBA）的工具，这些行为表明细微的横向移动、权限提升和数据暂存，而不仅仅是已知的IOC。关注与基线活动的偏差。
• 强化端点检测与响应（EDR）能力： 确保EDR解决方案不仅能检测，还能主动阻止和响应可疑进程，特别是那些试图禁用安全控制或建立持久性的进程。
• 网络分段并强制最小权限： 通过微观分段网络并严格执行所有用户和服务的最小权限原则，大幅减少潜在入侵的爆炸半径。限制横向移动路径。
• 定期演练事件响应（IR）剧本： 频繁进行勒索软件攻击的桌面演练和实况模拟，特别关注检测和响应多阶段、隐秘的入侵。这有助于建立肌肉记忆并发现差距。
• 自动化日志分析和警报： 利用安全信息和事件管理（SIEM）和安全编排、自动化和响应（SOAR）平台来关联分散的日志，并自动化检测低信号事件，这些事件结合起来预示着更大规模的攻击。
• 整合威胁情报和威胁搜寻： 在您的环境中主动搜寻高级持续性威胁（APT）和勒索软件指标，利用最新的威胁情报来指导您的搜索模式和假设。

现代攻击性测试本应如何发现这一点

近期勒索软件事件中观察到的延长驻留时间凸显了传统安全测试方法中的关键缺陷。现代攻击性测试，特别是带有可执行概念验证（PoC）的自主攻击性测试，提供了一种强大的解决方案，可以主动识别和修复这些隐秘的攻击路径，以免攻击者利用它们。专注于这种方法的平台正在兴起。

传统的渗透测试和漏洞评估，虽然有价值，但通常提供的是瞬时快照，可能无法完全复制真实世界攻击者在长时间内操作的持久性和隐秘性。它们可能会识别单个漏洞，但往往无法揭示构成成功勒索软件活动的链式利用和横向移动路径。一个决心已定的攻击者的策略，包括静默侦察、凭据盗窃和休眠访问，需要一种能够预测和检测这些细微行为的防御策略。

自主攻击性测试利用可执行PoC，持续且安全地模拟这些多阶段攻击场景。它不仅仅是寻找已知漏洞；它主动尝试利用它们，进行横向移动，提升权限，并建立持久性，从而模仿攻击者的完整生命周期。这种在受控环境中进行的持续模拟，本可以揭示攻击者可能用于未被发现驻留的具体途径，识别供应链中的薄弱环节，并暴露当前防御所遗漏的细微行为模式。通过根据实际攻击技术主动验证防御控制，组织可以调整其检测系统，以捕捉入侵的早期、安静指标，从而大大缩短驻留时间，并防止全面勒索软件部署的破坏性影响。

接下来需要关注什么

网络安全格局瞬息万变，勒索软件威胁将继续演变。CISO和安全工程师必须保持警惕，并预测未来的变化。一个需要关注的关键领域是“利用现有资源”（LotL）技术日益复杂化，攻击者利用合法的系统工具和进程来逃避检测。这进一步模糊了良性活动和恶意活动之间的界限，使得行为分析变得更加关键。

预计对供应链攻击的关注将持续增加，因为攻击者越来越多地将较小、安全性较低的供应商作为进入大型企业的门户。此类漏洞的连锁反应将需要更严格的供应商风险管理和持续监控要求。此外，操作技术（OT）和信息技术（IT）环境的融合将为勒索软件带来新的攻击向量，特别是在关键基础设施和制造业领域， unplanned downtime可能会带来严重的现实后果。

最后，围绕事件报告和数据泄露通知的监管环境可能会收紧，这增加了组织不仅要更快检测事件，还要展示强大安全态势的压力。重点将从仅仅从攻击中恢复，转向首先预防导致攻击的延长驻留时间，这要求采取更主动和具有攻击性思维的防御策略。