“挖礦”行為的危害無需多言。自去年以來，我國虛擬貨幣監(jiān)管政策持續(xù)加碼，清退“挖礦”活動與禁止相關業(yè)務活動雙管齊下，全力打擊治理違法“挖礦”行為。就如上面這個通告中說明的一樣，雖然運營商、服務商已經(jīng)全面禁止云主機挖礦，卻仍有不少“礦工”會千方百計，發(fā)動無差別攻擊去尋找“礦機”，而疏于防范的云主機便是他們的獵物之一。

淪為“礦機”的云主機，危害有大？

首先，“挖礦”需要一個龐大的算力系統(tǒng)，會完全吞噬用戶的云算力，云主機CPU飚滿，直接影響企業(yè)的正常業(yè)務往來，更會付出額外的電力成本和運維成本。

其次，部分挖礦木馬還具備蠕蟲化的特點，在主機被成功入侵之后，挖礦木馬還會向內(nèi)網(wǎng)滲透，并在被入侵的主機上持久化駐留以獲取最大收益。

圖：典型的挖礦木馬攻擊場景、步驟和通信過程

最后，一些挖礦的主機還可能會被植入勒索病毒，攜帶APT攻擊代碼等等，導致組織重要數(shù)據(jù)泄露，或者黑客利用已經(jīng)控制的機器，作為繼續(xù)對內(nèi)網(wǎng)滲透或攻擊其他目標的跳板，導致更嚴重的網(wǎng)絡安全攻擊事件發(fā)生。

云主機防挖礦“三步半”

“挖礦”木馬已是繼勒索病毒后網(wǎng)絡犯罪分子牟利的又一重磅利器，而擁有龐大數(shù)量級的云數(shù)據(jù)中心正成為“挖礦”木馬重要攻擊目標。對此，亞信安全建議用戶通過“事前早發(fā)現(xiàn)、事中防得住、事后能跟蹤”的三條原則來建立防護體系，為云主機提供一體化的安全防護平臺，實現(xiàn)挖礦攻擊的全面治理。

?半步：“無代理”做好準備

為什么要先說這“半步”呢？當原有服務器設備在遷移至云資源池后，其上部署的傳統(tǒng)防病毒方案（需要安裝代理客戶端）將產(chǎn)生“防毒掃描風暴(AV Storms)”。這是因為，傳統(tǒng)防病毒方案與虛擬化底層兼容性極低，當云主機均采用這些技術時，一旦采用全盤掃描病毒或集中升級代碼時，就會造成搶占CPU、內(nèi)存、存儲I/O和網(wǎng)絡擁堵的現(xiàn)象，直接造成業(yè)務訪問延遲或超時。因此，在云主機防止挖礦之前，先要選對平臺，利用“無代理”等新技術，從下至上形成底層防護。

? 第一步：事前早發(fā)現(xiàn)

無數(shù)臺云主機構(gòu)成了企業(yè)的云算力，隨著數(shù)字化業(yè)務持續(xù)增長，云主機可能就會出現(xiàn)失控逃逸的情況，存在眾多“灰色”資產(chǎn)，造成了嚴重的安全隱患。因此，對于挖礦威脅的防御，第一步就是要構(gòu)建資產(chǎn)指紋庫，避免資產(chǎn)死角，全面摸清家底。其次，云數(shù)據(jù)中心離不開強大的漏洞風險檢測及修復能力，需能夠?qū)β┒达L險進行精準發(fā)現(xiàn)并得到有效修復。最后，是云主機要形成安全策略的一致性，這就離不開強大的基線合規(guī)性檢查能力，不留死角，防止風險的產(chǎn)生。

?第二步：事中防得住

面對挖礦木馬和不法分子的攻擊，應實現(xiàn)基于攻擊路徑的實時檢測與分析能力，及時發(fā)現(xiàn)失陷主機，提供虛擬補丁等響應措施，有效阻止黑客進一步入侵。此外，還應對主機網(wǎng)絡進行快速隔離，避免“挖礦”病毒橫向傳播，并且同步通過基因識別、虛擬沙盒等技術精準識別“挖礦”病毒，提供多樣化響應措施。

? 第三步：事后能跟蹤

對于已發(fā)生的挖礦病毒事件，需要擁有“高清”的威脅檢測及響應產(chǎn)品，通過EDR對操作系統(tǒng)中的文件、進程、注冊表和網(wǎng)絡連接的海量信息中攻擊過程進行可視化呈現(xiàn)，找到攻擊發(fā)生的根本原因、還原復雜的攻擊技術、并有針對性地進行響應和處置。

XDR挖礦治理有道，云主機更有“特殊”關照

針對挖礦治理，亞信安全提供了XDR整體方案，不僅可以幫助用戶更早的發(fā)現(xiàn)挖礦木馬威脅、定位高危資產(chǎn)，并且通過根因和范圍分析，確定是存在挖礦行為，攻擊是怎么發(fā)生，從而確保終端和云端不留死角。XDR整體方案中，共設立了14個關鍵監(jiān)測點，通過信桅深度威脅發(fā)現(xiàn)設備(TDA)、信艙云主機安全(DeepSecurity)、信端病毒防護(O?ceScan)、信端終端檢測與響應系統(tǒng)(EDR)、網(wǎng)絡檢測與響應(TDA+Spiderflow)、信舷防毒墻(AISEdge)、調(diào)查分析威脅狩獵服務等，多維度發(fā)現(xiàn)、檢測、響應、查殺、恢復和預防挖礦病毒。

特別是針對云主機一體化安全防護，亞信安全提供了能夠全面覆蓋云工作負載保護平臺(Cloud?Workload?Protection?Platform，CWPP)的信艙云主機安全(DeepSecurity)產(chǎn)品，可通過資產(chǎn)管理、安全基線、虛擬補丁、日志審核、漏洞風險管理和主機資源監(jiān)控等手段，助力客戶建立面向物理機、虛擬機、容器多種云工作負載的防護體系，從而滿足“事前、事中、事后”的全面覆蓋。

為云算力構(gòu)筑起第二道防火墻

當前，云安全問題已成為云計算產(chǎn)業(yè)發(fā)展痛點，云計算產(chǎn)業(yè)規(guī)模的擴大，更需要利用安全技術的突破與創(chuàng)新，解決和改善云安全問題。其中，云主機安全更是云安全系統(tǒng)核心構(gòu)成，也稱為第二道防火墻。為此，亞信安全將協(xié)助各個行業(yè)用戶筑牢這道墻，確保它不被“挖”穿，共同贏得云算力的保衛(wèi)戰(zhàn)！