勒索病毒Wanna Cry全球肆虐给银行业的启示

栏目编辑：梁丽雯 E-mail:liven_01@勒索病毒Wanna Cry全球肆虐给银行业的启示*■ 中国人民银行宿迁市中心支行 路学刚 任军远一、Wanna Cry事件的影响Wanna Cr y是一款蠕虫式的勒索病毒软件，是由黑客组织利用N S A（美国国家安全局）泄露的Windows危险漏洞“EternalBlue”（永恒之蓝）进行传播。

该病毒软件会扫描电脑上的TCP 445端口（Server Message Block/SMB），以类似于蠕虫病毒的方式传播，攻击主机并加密主机上存储的文件，然后要求以比特币的形式支付赎金。

此次勒索病毒波及范围比较广，全球150多个国家的30多万台电脑都受到影响。

其中俄罗斯受攻击最为严重，覆盖俄内务部、卫生部、俄罗斯储蓄银行、铁路系统，内务部1 000台电脑被攻击；英国公共卫生体系国民保健制度（NHS）也受到严重影响，英国45个公共医疗组织受到黑客病毒攻击。

此外，印度尼西亚的数家医院、美国联邦快递公司、西班牙电话公司、法国雷诺汽车公司工厂、几家挪威和瑞典的足球俱乐部等都受攻击。

中国此次受到的影响也比较大，其中教育、石油、摘要：2017年5月12日，一款名为WannaCry的勒索病毒肆虐全球，全球150多个国家的30多万台电脑遭到攻击。

其中，我国很多行业网络也遭到攻击，特别是教育、石油、交通、公安等行业受巨大影响。

这次多年未遇的全球性恶性病毒事件，暴露了IT安全防护脆弱现状，应引起高度重视，人民银行作为国家最重要的金融部门，更应从此事件中吸取经验教训。

笔者建议业界要全面做好技术防范工作、加强信息安全内部管理、探索新的网络架构体系和安全防御体系。

关键词：网络安全；信息管理；勒索病毒；蠕虫作者简介： 路学刚（1970-），男，江苏沭阳人，高级工程师。

任军远（1983-），男，江苏赣榆人，助理工程师。

收稿日期： 2017-05-23*本文仅代表作者个人观点，不代表作者所在单位意见。

栏目编辑：梁丽雯 E-mail:liven_01@交通、公安等行业受感染最严重。

国内部分高校网络也被感染，毕业论文及设计资料被锁。

除了教育网、校园网以外，不少网民反馈，北京、上海、江苏、天津等多地的出入境、派出所等公安网也疑似遭遇了病毒袭击，中石油所属部分加油站运行受到波及。

5月13日，包括北京、上海、杭州、重庆、成都和南京等多地中石油旗下加油站在当天凌晨突然断网，因断网无法刷银行卡或使用网络支付，只能使用现金。

二、Wanna Cry简介（一）勒索软件含义勒索软件是一种网络攻击行为，它可以立即锁定目标用户的文件、应用程序、数据库信息和业务系统相关的重要信息，直到受害者支付赎金才能通过攻击者提供的密钥恢复访问。

勒索软件专门以用户文件为攻击目标，同时避免破坏系统文件。

其中的原因是，一方面可以确保用户会收到相关的通知，以告知他们的文件遭到攻击；另一方面，用户也能够通过一定的方法支付赎金以取回勒索的文件。

勒索软件的发送方式通常包括：漏洞攻击包、水坑式攻击、恶意广告或者大规模的网络钓鱼活动。

此次的Wanna Cry便是勒索软件的一种。

它利用“EternalBlue”（永恒之蓝）进行传播，攻击主机。

主机中毒后最明显的症状是电脑桌面背景被修改，许多文件被加密锁死，病毒弹出提示。

受感染的主机将无法进入Windows系统的分享资源，运行速度也会减弱，如图1所示。

随后，攻击者称需支付价值300美元的比特币，就给相应的解密密钥，相关文件也可以解锁。

但实际情况是，与以往的勒索病毒相比，这次的WannaCry病毒存在一个致命缺陷——病毒作者无法认定哪些受害者支付了赎金，因此很难给出相应的解密密钥（密钥是图1 中毒后的电脑桌面对应每一台电脑的，没有通用密钥）。

该病毒至今还没有被破解，某些安全公司发布的解密工具宣称可以破解，其实是“文件修复工具”，可以有限恢复一些被删除的文件，但是依然无法解密被锁死的文件。

（二）勒索软件的工作原理勒索软件的工作原理是：攻击者对攻击目标收集相关信息，利用系统存在的漏洞，获得了对其网络的初始访问权限。

然后攻击者需要升级其授权，并确定网络中的关键目标，他们需要取得对这些目标的控制，这样受害者支付赎金的可能性会增加，其工作流程如图2所示。

攻击者正在尝试利用系统中的本地功能以在目标网络里逐步渗透，同时降低被发现的风险。

在许多操作系统里，攻击者可以利用很多的远程访问工具，从而在系统间逐步渗透，这样会让他们更难被发现。

Wanna Cry就是利用Windows 445端口存在的漏洞，先攻击互联网上计算机，然后通过被控制的互联网的计算机，扫描DMZ区中易受攻击的应用，从而将DMZ区的服务器攻破，再通过DMZ区的服务器，进一步攻击内部网络的主机和服务器。

三、Wanna Cry事件所暴露的信息安全风险近几年来，我国金融信息化在技术与基础设施、业态与产品创新、监管与法制建设等方面都有了迅猛的发展。

而且，由于金融信息化具有产品虚拟、经营环栏目编辑：梁丽雯 E-mail:liven_01@在传输过程中面临数据传输安全问题。

三是数据容灾备份，金融信息化平台对数据的容灾机制要求比较高，应得到重视。

（二）网络安全与传统商业银行独立性很强的通信网络不同，金融信息化企业处于开放式的网络通信系统中，TCP/IP协议自身的安全性面临较大非议。

另外，金融信息化交易平台需要在3个层面保障安全——安全环境检测、安全控件的加载以及用户账户口令认证，但当前密钥管理与加密技术并不完善，这导致金融信息化体系很容易遭受计算机病毒以及网络黑客的攻击。

一旦遭遇黑客攻击，金融信息化平台就会受到影响，危及消费者的资金安全和个人信息安全。

（三）安全应急技术在信息技术发展迅猛的当下，金融信息化企业自身所具备的安全故障恢复机制以及所需的安全保障技术储备仍具有一定的局限性和薄弱性。

面对Web应用漏洞以及已经造成的危害，金融信息化企业自身的技术团队力量及资源不足以提供所需的安全响应支撑，使得在出现突发安全事故的情况下，不能及时作出安全应急响应，迅速进行运营恢复，深入解决安全问题，从而最大程度降低整体安全风险和提高信息系统的安全等级。

境开放，以及市场运行透明等特征，因而快速发展，另一方面，金融信息化工作正面临着严峻的信息安全风险的考验。

根据国家互联网应急中心发布的《2016年我国互联网网络安全态势综述》报告显示，2016年约9.7万个木马和僵尸网络控制了我国境内1 699万余台主机，移动互联网恶意程序数量205万余个，1 Gbit/s以上DDoS 攻击事件日均452起，通用软硬件漏洞10 822个，约17.8万个针对我国境内网站的仿冒页面，约4万个IP地址对我国境内8.2万余个网站植入后门，境内约1.7万个网站被篡改，捕获敲诈勒索类恶意程序样本约1.9万个，数量创近年来新高。

从上述统计数据可知，安全事件的频频发生将信息安全风险推向了风口浪尖，如何有效防范信息化风险事件成为国家上层机构和全体国民关注讨论的焦点。

（一）数据安全风险这主要体现在3个方面。

一是后台数据库安全问题。

金融信息化平台由于拥有庞大的数据库，一旦数据遭到窃取、泄露、非法篡改，将对个人隐私、客户权益、人身安全构成威胁，犯罪分子可以通过对数据的收集分析，获得更精准有用的信息，因此，后台数据库安全要解决核心数据资源面临的越权使用、权限滥用、权限盗用等安全威胁。

二是数据传输安全，数据图2 勒索软件工作原理互联网网络攻击者VPS DMZ应用服务器内部网络2. 当发现DMZ中一台易受到攻击的服务器后，网络攻击者就会利用该系统建立一个“阵队”以做进一步访问1. 网络攻击者扫描公开的服务以找到DMZ 中易受到攻击的应用栏目编辑：梁丽雯 E-mail:liven_01@四、Wanna Cry的教训与启示此次国内这么多行业受到攻击，一方面说明国内互联网的普及程度正迅速提高，但另一方面也说明从终端用户到政府部门，对网络安全的重视程度还是不够。

人民银行作为国家最重要的金融部门，掌握着国家经济、金融的核心数据，是国家经济、民生金融正常运行的关键一环，更要从此次事件中吸取经验教训。

（一）全面做好技术防范工作此次勒索病毒主要针对用户的文件、数据库等资料进行加密，让用户无法使用。

因此，要做好以下工作。

一是要做好数据备份工作，同时做好个人数据与业务系统的备份，设计全面的备份方案，增加备份频度，防止病毒攻击而出现损失。

二是要通过技术手段强化安全保护，在系统设置和数据通信层面采取措施，如采用网络安全协议、电子签名，此外，建立反钓鱼机制，推广可靠电子签名应用等；部署网络安全防护产品，如防火墙、防病毒系统、漏洞扫描等，加固网络及边界安全。

三是建立全面的应急体系，制定和不断完善应急预案，提高金融信息化网络系统应对突发事件的能力，有效、快速、合理地应对突发事件，最大程度地减少信息安全事件造成的损失和影响，保障金融业务的连续运行。

（二）加强信息安全内部管理一是强化安全管理，注重加强内部控制体系建设，建立健全信息安全领导体系，明确各个岗位的信息安全责任。

二是提高安全防范意识，开展形式多样的信息安全教育教训，提高各类人员信息安全意识，筑牢内控思想防线，强化对网络病毒及网络攻击的风险识别、控制和防范能力。

三是落实安全管理责任。

把更新操作系统补丁、安装安全软件、使用正版软件等要求作为制度落实到每一个人。

（三）尽快完成当前核心业务系统的升级换代当前，人民银行的大部分业务系统都是基于Windows系统开发的，甚至相当一部分核心业务系统只能在Windows XP下运行。

所以，人民银行总分行应对此次病毒事件高度重视，积极更新和研发基于高版本Windows操作系统上的业务软件，或者是直接研发基于安全性相对比较高的Linux操作系统的业务软件，尽快完成人民银行现有业务系统的升级换代工作。

（四）探索新的网络架构体系和安全防御体系当前人民银行的网络体系分4种，分别是办公网、业务网、DMZ区的金融城域网和互联网，各网络之间都是物理隔离的。

当前，国内存在的一种观点是，只要网络物理隔离了，就安全无事了。

而此次的事件中，公安、石油等部门也是内外网物理隔离的，最终也被攻破，说明物理隔离已非安全之策，一些关键的基础设施与部门一直寄希望于内外网分离的方式，已不符合当前网络攻防技术的发展潮流。

所以，应积极探索新的网络架构体系和安全防御体系。

（五）政府应将开发国产的操作系统上升到国家战略此次病毒事件的罪魁祸首是N S A，它利用Windows系统所存在的安全漏洞，研发了战时攻击其他国家的网络武器，而该网络武器的泄露，导致了此次事件的发生。

世界上大部分国家，都是使用美国微软公司开发的Windows操作系统，如果发生在战时，借此漏洞，敌方对后勤系统及基础设施发动更为大型和专业化的网络攻击，其后果难以想象。