微軟：不鼓勵企業支付勒索軟體贖金

近年勒索軟體肆虐政府機關或企業的事件頻傳，似乎付不付贖金都難辦。不過微軟說，他們不鼓勵企業或政府機關支付贖金以免助長網路犯罪。

遭遇勒索軟體攻擊時，究竟該不該支付贖金，往往讓企業左右為難，一則支付贖金希望歹徒按承諾解密資料，否則就啟動災難復原模式，自力救濟或找外部廠商來回復系統。但後者往往不太可行，因為企業有的沒有做好備份，有的是勒索軟體經常連備份資料或系統都加密了，使回復機制無法作用。

微軟偵測及回應團隊（Detection and Response Team，DART）資深網路安全顧問Ola Peters指出，從來不鼓勵受害者支付贖金。因為贖金不但昂貴、還會讓駭客食髓知味，並助長他們未來的攻擊實力。更重要的是，付了錢往往不保證能回復資料。

這也反映在FBI對企業的建議。2015年FBI建議企業付款花錢消災。但今年，FBI已改變態度，認為支付贖金並不是好方法。

那到底該怎麼好？微軟說，企業應該有正確的心態，即安全事件不是會不會發生，而是發生時間早晚的問題。因此企業必須在事件發生時快速而有效回應。而兩大產業標準框架如SANS（Sysadmin, Audit, Network, and Security），及美國國家標準技術研究院（National Institute of Standards and Technology，NIST）提出的網路安全框架（相關報導：NIST網路安全框架當紅），對惡意程式和網路安全事件的因應作法也都是類似概念。

簡而言之，企業對勒索軟體需能及早規劃、準備、回應及復原。因此微軟建議企業應使用郵件過濾方案攔阻惡意郵件、使用最新版防毒及終端安全方案、使用app白名單管理、定期為軟硬體安裝修補程式，防止像WannaCry這類利用軟體漏洞蔓延的惡意程式。

微軟也建議將管理權限帳密和一般帳號的帳密切分，以免駭客接管整個IT架構，並使用多因素驗證、權限者身份管理及存取管理（privileged identity and access management）方案，防止管理員帳號被濫用。最後，定期備份公司的關鍵系統、應用及檔案並定期測試，確保事件發生時能有效復原檔案系統，這是因應勒索軟體最重要的一環。

美國近兩年不少市政府遭到勒索軟體攻擊。上周五紐奧良市才傳出政府電腦檔案，被疑似Ryuk的勒索軟體加密勒贖，成為路易西安那州今年以來第3起當地政府遭攻擊事件。