扒勒索病毒史，聊真CDP與準(zhǔn)CDP
聊CDP之前，先聊勒索病毒
據(jù)公開(kāi)資料顯示，全球最早的勒索病毒雛形誕生于1989年，由Joseph Popp編寫(xiě)，該木馬程序以“艾滋病信息引導(dǎo)盤(pán)”的形式進(jìn)入系統(tǒng)。
中國(guó)大陸第一個(gè)勒索軟件——Redplus勒索木馬(Trojan/Win32.Pluder)出現(xiàn)在2006年，該木馬會(huì)隱藏用戶文檔和包裹文件，然后彈出窗口要求用戶將贖金匯入指定銀行賬號(hào)。
根據(jù)勒索病毒攻擊計(jì)算機(jī)的方式和部件，勒索病毒大概的類型主要包括如下種類。
| 病毒種類 | 代表 |
| 鎖屏加密勒索病毒（鎖定屏幕、加密文件） | CryptoLocker、WinLocker |
| MBR勒索病毒（加密磁盤(pán)） | Petya、NotPetya |
| 服務(wù)器勒索病毒（“無(wú)文件”式入侵服務(wù)器） | Master、wallet、Greystars |
| 文件加密勒索病毒（加密文件數(shù)據(jù)） | WannaCry、Aleta |
除此之外，攻擊移動(dòng)設(shè)備的勒索軟件需要引起大家的關(guān)注。2018年3月，國(guó)家互聯(lián)網(wǎng)應(yīng)急中心通過(guò)自主監(jiān)測(cè)和樣本交換形式共發(fā)現(xiàn)23個(gè)鎖屏勒索類惡意程序變種。該類病毒通過(guò)對(duì)用戶手機(jī)鎖屏，勒索用戶付費(fèi)解鎖，對(duì)用戶財(cái)產(chǎn)和手機(jī)安全均造成嚴(yán)重威脅。在移動(dòng)用戶感染的方式上，瀏覽非法淫穢網(wǎng)站和點(diǎn)擊下載不信任程序（如二維碼生產(chǎn)鏈接）成為兩種大被感染的渠道。
在支付方式上，最早是通過(guò)彈出窗口提示系統(tǒng)中毒者向指定郵件或銀行賬號(hào)支付等形式。2013年隨著比特幣市場(chǎng)的瘋狂炒作，勒索贖金的支付方式開(kāi)始轉(zhuǎn)向更加難以追蹤的虛擬貨幣為主。
事實(shí)表明，采用更加復(fù)雜的RSA加密方案，以及虛擬貨幣（如比特幣）的出現(xiàn)，加速了勒索軟件的泛濫。所以，WannaCry永恒之藍(lán)的全球肆虐不是偶爾，區(qū)塊鏈作為當(dāng)前信息化領(lǐng)域炙手可熱的技術(shù)，藏著魔鬼的一面。
CDP能夠恢復(fù)勒索病毒加密的數(shù)據(jù)
防范勒索病毒，應(yīng)該從兩個(gè)維度分析：
一是防范抵抗病毒攻擊，需要?dú)⒍拒浖?、網(wǎng)絡(luò)和數(shù)據(jù)庫(kù)防火墻，以及對(duì)系統(tǒng)和應(yīng)用補(bǔ)丁及時(shí)更新和修正。
二是系統(tǒng)和文件等被病毒感染后，如何快速恢復(fù)數(shù)據(jù)和業(yè)務(wù)，以前是需要事先對(duì)系統(tǒng)和文件進(jìn)行備份，現(xiàn)在更流行的方案是采用CDP技術(shù)進(jìn)行數(shù)據(jù)保護(hù)。
備份是一種傳統(tǒng)的備份方式，可以分為定期備份和實(shí)時(shí)數(shù)據(jù)同步。定期備份與CDP相比存在兩大劣勢(shì)：一是備份需要時(shí)間窗口，對(duì)于很多24小時(shí)業(yè)務(wù)運(yùn)行的機(jī)構(gòu)，線上業(yè)務(wù)不允許有過(guò)多系統(tǒng)停機(jī)進(jìn)行數(shù)據(jù)備份；二是定期備份無(wú)法保證數(shù)據(jù)丟失最少，即RPO值趨近于零的要求。
例如，醫(yī)院定期備份策略是每周一晚12點(diǎn)備份一次，但是在下一個(gè)備份時(shí)間到來(lái)之前，如本周五醫(yī)院發(fā)生勒索病毒攻擊事件，那么周二至周五的數(shù)據(jù)將會(huì)被加密，進(jìn)而會(huì)丟失。
實(shí)時(shí)數(shù)據(jù)同步可以解決備份窗口和備份周期存在的問(wèn)題，但是存在一個(gè)缺點(diǎn)——勒索病毒對(duì)生產(chǎn)端的破壞會(huì)同步到備份端，嚴(yán)重時(shí)會(huì)造成整個(gè)災(zāi)備策略的失效。
持續(xù)數(shù)據(jù)保護(hù)(CDP)技術(shù)能夠很好地解決這個(gè)問(wèn)題，它極大地減少了RPO值。CDP底層的技術(shù)原理比較抽象，從實(shí)現(xiàn)手段分析，CDP是對(duì)數(shù)據(jù)進(jìn)行自動(dòng)監(jiān)控，連續(xù)捕獲和備份數(shù)據(jù)變化，只要數(shù)據(jù)發(fā)生變化，便實(shí)時(shí)、準(zhǔn)確的備份下來(lái)。我們可以理解為基本上是在備份端以最接近實(shí)時(shí)的節(jié)點(diǎn)生成一份獨(dú)立數(shù)據(jù)，以確保有最新的數(shù)據(jù)進(jìn)行恢復(fù)，而這份數(shù)據(jù)是沒(méi)有被勒索病毒感染的。
目前，主流的CDP有很多維度，包括基于存儲(chǔ)數(shù)據(jù)塊的，存儲(chǔ)快照的，操作系統(tǒng)IO層的，采取不同的技術(shù)維度，所獲得的數(shù)據(jù)還原細(xì)粒度也有所差別，根據(jù)恢復(fù)的細(xì)粒度的大小，業(yè)界將CDP分為真CDP(True CDP)和準(zhǔn)CDP(Near CDP)。
真CDP技術(shù)是持續(xù)不間斷的監(jiān)控并備份數(shù)據(jù)變化，可以恢復(fù)到過(guò)去任意時(shí)間點(diǎn)，是真正的實(shí)時(shí)備份，不會(huì)造成數(shù)據(jù)的丟失。準(zhǔn)CDP是指接近持續(xù)數(shù)據(jù)保護(hù)，數(shù)據(jù)備份存在延時(shí)，也就是意味著存在部分?jǐn)?shù)據(jù)丟失的風(fēng)險(xiǎn)。根據(jù)用戶對(duì)RPO的要求以及災(zāi)備策略的不一樣，CDP技術(shù)方案選擇有很大自主性，但是隨著數(shù)據(jù)量的增長(zhǎng)和業(yè)務(wù)信息化的加快，未來(lái)的趨勢(shì)將是以真CDP為主。
在市場(chǎng)方面，真CDP技術(shù)方案的廠家鳳毛麟角，上海英方是其中的代表。英方CDP技術(shù)是一種在不影響主要數(shù)據(jù)運(yùn)行的前提下，將變化的數(shù)據(jù)實(shí)時(shí)復(fù)制到災(zāi)備中心的同時(shí)也將數(shù)據(jù)的任何變化以日志方式記錄下來(lái)，實(shí)現(xiàn)對(duì)數(shù)據(jù)變化的可回溯性；也可在任何情況下依據(jù)數(shù)據(jù)變化日志，快速定位需要恢復(fù)的時(shí)間點(diǎn)，并將數(shù)據(jù)一鍵式恢復(fù)到異常點(diǎn)之前。
在專業(yè)的災(zāi)備領(lǐng)域，CDP技術(shù)的應(yīng)用不僅僅是為了防止勒索病毒對(duì)數(shù)據(jù)的加密，還要防止人為誤操作、系統(tǒng)崩潰、系統(tǒng)升級(jí)失敗等潛在威脅事件的發(fā)生。在此基礎(chǔ)上，很多行業(yè)會(huì)因?yàn)榈缺Ｒ髮?duì)重要數(shù)據(jù)進(jìn)行本地或異地容災(zāi)，對(duì)災(zāi)備項(xiàng)目的RTO與RPO進(jìn)行嚴(yán)格的劃分。
對(duì)于CDP在RTO與RPO兩個(gè)重要災(zāi)備考核指標(biāo)的表現(xiàn)，業(yè)界一直都有爭(zhēng)論，主流的觀點(diǎn)認(rèn)為在普遍成本接受的范圍內(nèi)，RTO與RPO是魚(yú)和熊掌不可兼得，只能在兩者中找到最佳平衡時(shí)間點(diǎn)。
當(dāng)前CDP也存在很多技術(shù)難點(diǎn)，例如雖然在高成本投入下，直接將異或運(yùn)算固化在芯片中，但是對(duì)于要解決高頻寫(xiě)操作數(shù)據(jù)的CDP壓縮RTO的難題，業(yè)界仍在探索中。
你是否也是CDP技術(shù)的探究者，是否也對(duì)CDP能夠恢復(fù)勒索病毒的測(cè)試感興趣，歡迎關(guān)注明天英方真CDP測(cè)試WannaCry勒索病毒的文章。
重慶分公司
重慶分公司
