随着时间的推移，勒索软件的威胁在频率、复杂性和有效性方面都在增加。最初可能只是一个简单的勒索赎金计划，现在已经发展成为一个成熟的勒索软件，即服务(RaaS)提供商生态系统，网络攻击者甚至使用双重甚至三重威胁勒索策略来满足他们的勒索要求。
如今，没有安全的企业。勒索软件是服务(RaaS)市场使网络犯罪分子能够利用最先进的技术攻击特定组织（基于规模、行业、地理位置以及它们是在公共部门还是私营部门）。
那该担心什么呢？
企业对勒索软件攻击的主要担忧是，由于数据、应用程序和系统可能被封锁，他们无法开展业务。然后，他们担心网络攻击的成本；勒索软件是否需要支付，因为77%的网络攻击还包括数据泄露的威胁。其次是收入损失、平均停机时间23天、补救成本和对企业声誉的影响。
但这些都是网络攻击后的问题，企业应该首先关注哪些有效措施来阻止勒索软件攻击。
真正关注勒索软件大规模增长的企业正在努力了解网络威胁行为者使用的策略、技术和程序，以制定预防、测试和响应措施，以降低风险或最大限度地减少网络攻击的影响。此外，企业还需要仔细审查他们现有的技术、流程和框架，并询问他们的第三方供应链供应商。最后，他们试图确定必须防止勒索软件的最关键系统。
然而，这些都不是企业应该关注的主要问题。在这一切的核心中，凭证泄露是勒索软件攻击的主要原因，因为凭证为黑客提供了访问权限，以劫持企业的系统作为人质。如果企业消除用户名/密码凭证，则最有可能进入系统的入口点。
关注凭据
要了解勒索软件攻击中的凭据问题，必须了解凭据的真正含义。凭证代表用户的身份，通常由用户名和密码组成，企业有时也会采用第二种形式的身份验证(2FA)或多因素身份验证(MFA)。在这种情况下，企业在凭证中“身份”它是密码，大多数安全系统假设它是由其合法所有者使用的。
不幸的是，这些凭证可能被盗、共享、购买或黑客攻击，并用于实现初始访问。一旦进入，威胁参与者通常会寻求破坏特权访问凭证，以进一步渗透目录服务。
一个简单的8个字符的密码可以在1小时内破解，一个12个字符的密码可以在几周内破解。随着计算机处理速度的提高和软件的智能化，破解密码的时间越来越短，网络攻击者很容易找到和使用凭证。他们使用它Mimikatz和Microsoft的PsExec等合法工具从系统内存中转移存储凭证，并在远程系统中执行过程。
经验较少的威胁者可以购买被盗凭证。他们可以以低至20美元的价格购买低级别凭证。管理员级别账户的凭证价格从500美元到12万美元不等。
既然你知道把重点放在哪里，那么如何应对风险呢？
为什么用户名和密码不够好？
用户名/密码凭证本质上假设谁在访问尝试的另一边。只使用用户名和密码，企业永远不会将验证的身份添加到凭证中，因为任何人都可以使用它们。即使是双因素身份验证(2FA)、多因素身份验证(MFA)和FaceID和TouchID生物识别系统只基于密码和用户名——当然，它们有助于提高企业的安全性，但不能解决密码和用户名的核心漏洞。此外，还有无数的一次性密码破解、短信劫持SIM卡交换等示例。所有这些都表明，如果威胁者打算绕过双因素身份验证，他们很可能会这样做。
这并不意味着企业不应该使用多因素身份验证(MFA)和二级安全来源。安全系统的验证应始终不止一层，但为了使这些措施真正有效，企业必须建立与其验证证据相关的身份。
如何将身份与凭证联系起来
首先，用户必须改变他们的身份是什么，以及他们如何在安全和身份验证中发挥作用。身份验证依赖于三个要素：知道、拥有和身份。“知道的东西”它是最容易被网络攻击的身份验证形式，因为如果你知道，其他人也可以。然而，它是用户名/密码凭证的核心。为了在认证过程中建立可验证的身份，必须消除“知道的东西”，专注于“拥有的东西”和“身份”。
随着最近关于改善网络安全的行政命令，身份验证和生物特征认证正在获得动力。其中，美国总统拜登呼吁美国政府机构将基于云计算的内部设施和环境转向零信任架构。基于零信任“永不信任，永不验证”原则。在凭证场景中，这意味着在绝对验证之前，企业不相信账户所有者要求访问系统、应用程序或数据。
需要遵循零信任验证身份“拥有的东西”(如驾照或护照)与“身份”（如生物识别特征）的组合。由于最近的技术进步，用户可以将政府部门发布的文件上传到企业的安全系统，并在每次登录尝试时验证其实时生物识别信息。用户现在已经在他们的凭证上建立并添加了确认的身份。
因此，在勒索软件的背景下，这意味着企业甚至可以大大减少经验丰富的勒索软件威胁参与者访问其凭证。
将何去何从？
随着企业努力确定勒索软件攻击的预防策略，答案是检查威胁行为者更常用的内容。凭证问题不能通过简单地消除密码和用户名来解决。无密码解决方案无疑是未来的趋势，但如果不首先验证用户的身份，它们用了。
身份验证是企业安全系统中提供访问权限的最重要步骤，在建立身份之前无法进行身份验证。这被称为基于身份的身份验证，是有效安全措施的基础。一旦建立了高效的身份，基于密码的凭证就会过时。最终目标不是无密码解决方案，而是基于身份验证，无密码解决方案是实现这一目标的手段。
勒索软件攻击的成功取决于给网络攻击者机会。正确的技术将使企业摆脱被动的安全方法，有效应对日益复杂的网络攻击。