勒索軟件唔會理嗰啲係你小朋友嘅BB相

2017年5月12號星期五下晝，英格蘭各地醫院嘅前台眼白白睇住電腦屏幕變紅。一個視窗彈咗出嚟：你嘅檔案已經俾人加密，畀 300 美元比特幣，三日之後價錢翻倍。手術俾人取消。救護車俾人改道。

呢次攻擊叫做 WannaCry。一日之內，佢蔓延到大約 150 個國家嘅 20 萬部電腦。佢教識咗所有人一個道理——保安行業由嗰陣開始一直重複，因為冇人鍾意聽：喺勒索軟件眼中，你嘅數據一啲都唔珍貴。佢係存貨。

喺加密面前，一切都只係數據

呢個係第一件要明白嘅事，都係勒索軟件同以往所有電腦犯罪唔同嘅地方。賊只會偷有價值嘅嘢，剩低嘅唔掂。勒索軟件就唔分青紅皂白咁加密——BB相、報稅表、婚禮影片、一間公司嘅貨運清單——因為加密根本唔需要知個檔案係乜。佢行勻成個檔案系統，按副檔名搵檔案，用冇人破解得到嘅軍用級密碼學將佢哋撈亂。

呢種殘忍係結構性嘅，唔係針對你個人。冇人專登釘住嗰間醫院；你俾人加密，只係因為你掂得到——一部冇打修補、連住網絡、用緊有漏洞嘅 SMB 檔案共享協議嘅機。WannaCry 借用嘅係 EternalBlue——由 NSA 開發、一個月前俾一個叫 Shadow Brokers 嘅組織洩露出嚟嘅漏洞利用工具。你嘅回憶，變咗人哋武器計劃入面嘅附帶損傷。

六個星期之後嚟咗 NotPetya——扮成勒索軟件，實際係清除器——佢透過烏克蘭稅務軟件 M.E.Doc 一個俾人污染咗嘅更新入侵，再借同一批偷返嚟嘅漏洞利用工具喺企業網絡入面橫向移動，連主開機記錄都一齊加密，部機直頭開唔返。檔案係乜唔重要。重要嘅係，佢哋喺嗰度。

三億美金嘅「BB相」

NotPetya 最有教育意義嘅受害者係馬士基——丹麥航運巨頭，全球海上貨運大約有五分之一經佢手。2017年6月27號朝早，馬士基嘅員工睇住屏幕一塊接一塊咁黑晒，遍布全球各地嘅辦公室。電話俾人拔晒。安排貨櫃船嘅訂艙系統停咗。成成十日，呢間公司相當一部分全球營運靠紙筆、即時通訊軟件同嗌嚟撐住。

之後嘅復原，係有史以來喺「戰時」狀態之下做嘅最大規模 IT 重建之一：大約 4,000 部伺服器、45,000 部電腦、2,500 個應用程式由零重裝。最終條數估計喺 2 億到 3 億美金之間。聯邦快遞嘅歐洲子公司 TNT Express 喺同一次攻擊入面唔見咗大約 3 億美金。製藥公司默克唔見咗大約 6.7 億美金。

對呢個故事真正緊要嘅細節喺呢度：馬士基得救，一部分靠嘅係運氣同斷聯。加納一部網域控制器——喺關鍵時刻因為當地停電啱啱好離線——喺所有連住網嘅機都俾人加密嗰陣留得低。嗰部唯一掂唔到嘅伺服器，變成公司重建整個網絡身份嘅種子。留得低嗰份拷貝，正正就係攻擊者掂唔到嗰份——唔係最先進嘅備份系統，只係一部啱啱好拔咗電嘅機。

你嘅備份都喺名單上面

大多數人嘅備份策略，如果有嘅話，係呢個樣：一塊插住喺電腦上面嘅外置硬碟，或者一個同步上雲端嘅資料夾。兩樣都掂得到。而「掂得到」，正正就係勒索軟件獵殺嘅嘢。

現代勒索軟件唔止加密你嘅文件。佢會列出晒網絡共享。佢會加密你枱面嗰隻 USB 手指。佢會喺你來得切用之前，搶先刪走 Windows 嘅磁碟區陰影副本——系統自己嘅還原點。有啲變種會靜靜雞潛伏幾個星期，慢慢加密雲端同步嘅資料夾，令損壞咗嘅版本同步去每一部裝置，毒化成個版本歷史。你嘅備份、你嘅同步、你嗰句「冇事，喺雲上面呢」——全部都喺同一個網絡入面、同一套憑證後面，只係隔住一次橫向移動。

呢個就係點解保安從業員會喺「備份」同「氣隙備份」之間劃一條硬線。備份係一份拷貝。氣隙備份係一份掂唔到嘅拷貝——你貪方便嗰陣掂唔到佢，所以攻擊者等機會嗰陣一樣掂唔到。唔方便，正正就係保護本身。每一個令備份容易啲掂到嘅捷徑，都令佢容易啲俾人毀滅。

「掂唔到」嘅物理學

行業入面勒索軟件復原嘅黃金標準三十年嚟幾乎冇變，原因就喺呢度：一份離線拷貝，擺喺另一個地點，做過復原測試。磁帶庫。拔落嚟嘅硬碟。一次寫入嘅介質。呢套技術特登唔起眼，因為起眼就係攻擊面。

諗下，攻擊者要毀滅一份真正嘅氣隙拷貝，要做啲乜。行網絡掂唔到，因為佢根本唔喺網上面。用偷返嚟嘅憑證加密，都唔得，因為冇任何憑證解鎖得到一塊瞓喺貨架上面密封袋入面嘅硬碟。佢要親自搵到嗰棟樓，過得到道門，將隻手放上介質上面。咁樣就將一次可以規模化嘅軟件攻擊——一個漏洞，20 萬個受害者——變成一單入屋爆竊。而爆竊冇辦法規模化。呢個正正係成盤棋嘅關鍵：勒索軟件係一門規模經濟，氣隙打破嘅就係呢門經濟。

Epicurus 有個詞，形容呢種安排帶嚟嘅狀態：ataraxia，通常譯作「安寧」。呢種安靜唔係因為相信壞事唔會發生，而係因為你已經安排妥當——壞事就算發生，都掂唔到緊要嘅嘢。大多數保安產品賣畀你嘅係第一種安靜：信我哋啦，我哋睇住㗎。一份離線拷貝畀你嘅係第二種：邊個睇住都唔重要，因為根本冇嘢好睇。

唔起眼嘅紀律

呢啲全部都唔係新嘢。3-2-1 法則——三份拷貝、兩種介質、一份異地兼離線——比 WannaCry 早咗幾十年。勒索軟件時代改變嘅，係跳過最後一步嘅代價。2010 年，跳過離線拷貝，賭嘅係火燭或者硬碟壞死。2017 年之後，賭嘅係一個會主動獵殺你所有拷貝嘅對手。

而最後呢一步仍然冇人做，因為佢係唯一抗拒自動化嘅部分。氣隙冇辦法靠剔一個格仔完成。總要有人將塊硬碟拔落嚟，拎去第二度存放，定期檢查、核對、再擺返好。呢啲係清潔式嘅工夫——編號、封存、記錄、檢查——按日程做，永遠做落去。

呢個正正係佢作為個人習慣會失敗、作為職業會成功嘅原因。做得最好嘅人，係嗰啲唔將佢當成攝喺其他事之間嘅雜務、而係當成成份工嘅人：接收介質，用有編號嘅封條封好，影低封條張相，將啲拷貝分開擺喺兩個地方，按計劃檢查封條，記錄，重複——而且，只有當介質嘅主人書面提出要求嗰陣，先會畀一塊硬碟通電去驗證佢。悶，有根有據，而且——當某個星期五下晝屏幕變紅嗰陣——佢就係「中斷」同「結局」之間嘅分別。

你嘅BB相唔會安全啲，唔係因為勒索軟件有咗良心。係因為由攻擊者去到嗰塊硬碟之間，根本冇路。冇路，就冇贖金。呢個唔係產品推銷。呢個係物理。

Everkeep 為你自己擁有、自己加密嘅硬碟提供離線保管：有編號嘅封條、影相記錄、兩份拷貝分開擺喺兩度、按計劃檢查封條——而且只有喺你書面要求嗰陣，先會通電驗證。每個設備槽位 199 美元/年。