RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

在数字世界中，保护珍贵信息长期以来一直依赖于一个简单的两部分策略：监视入侵者并保留一份工作的备份。安全软件充当守卫，扫描文件和程序以识别已知的窃贼或可疑行为。如果它看到危险的东西，就会拉响警报。另外，备份系统充当安全网，定期保存文件的副本，就像时钟每小时或每天鸣响一次一样。几十年来，这两个系统都是独立运行的。守卫在看到威胁时会大声呼喊，但备份时钟会按照自己的时间表继续滴答作响，并不知晓危险的存在。这种分离造成了一个漏洞。现代窃贼，特别是那些通过挟持数据来索要钱财的人，已经学会了快速出击，并且经常针对备份系统本身，在新的备份生成之前删除旧的副本或将其锁定。过去“保留三份副本、存放在两个地方、其中一份离线”的规则，是为备份系统仅作为被动目标而非活跃战场时的时代设计的。

尼日利亚昂多（Ondo）医科大学的研究人员提出了一种弥合这一差距的新方法。他们构建了一个名为 RansomShield 的系统，将“守卫”与“安全网”连接起来，使它们作为一个单一的、呼吸着的整体协同工作。该系统并非采用简单的开或关的警报，而是计算一个连续的“威胁评分”。这个评分根据系统在计算机内部观察到的情况而上升或下降。如果评分较低，系统表现正常，按标准速度保存文件。如果评分开始攀升，表明正在发生某些可疑情况，系统会自动加强防御。它开始更频繁地保存副本，锁定这些副本使其无法被篡改，并将它们与其余网络隔离。该系统不会等待绝对确定后再采取行动；它会根据感知到的危险程度做出比例化的反应。

为了构建这个系统，研究人员结合了四种不同的计算机监测方式。首先，他们观察计算机的内存——即活动程序运行的临时空间——寻找恶意代码的具体迹象。其次，他们追踪程序发送给操作系统的命令序列，寻找典型的文件加密模式。第三，他们监控数据写入硬盘的情况，检查是否存在突然的活动激增或奇怪的文件类型变化。最后，他们测量正在写入数据的随机性；加密后的文件看起来像纯粹的静态噪声，这在数学上与正常的文档或图像有着显著区别。系统将这四种信号加权处理，并通过平滑结果来避免由瞬间故障引起的误报。这个综合评分随后驱动一个控制器，决定具体如何保护数据。

研究人员使用来自公共档案的数据并通过模拟七个不同系列的勒索软件攻击测试了这个想法。在这些模拟中，该系统成功识别了每一次攻击。平均而言，它在观察到仅仅 13 个文件系统事件后就检测到了威胁，这在数字操作的世界里是一个非常短的时间。一旦发现威胁，系统会立即升级其响应措施。它从正常状态转变为高度警戒状态，在此状态下每 30 秒保存一次数据的完整副本。这些副本被制作成“不可篡改”的，这意味着它们被锁定，即使是攻击者也无法删除或更改它们，并且它们被放置在一个隔离的环境中，有效地与受感染的机器实现物理隔离（air-gapped）。系统并未达到其最高级别的警报（即停止所有进程），因为模拟的攻击在足够早的时候就被检测到，从而触发了强力但并非极端的响应。

研究还调查了该系统“虚报”的情况。在仅发生正常、无害的计算机活动的情景下，系统在大约 5% 的事件中标记了潜在威胁。虽然这是一个很低的比例，但研究人员指出，在现实世界中，这可能会导致不必要的额外工作，例如比需要时更频繁地保存文件。然而，系统足够聪明，能够将这些误报控制在适度水平；对于正常活动，它从未升级到最极端、最具破坏性的措施。结果显示，内存监测器是最强大的单一工具，在测试中能以近乎完美的准确率识别恶意活动。其他工具虽然单独来看精确度较低，但在结合使用时增加了宝贵的上下文信息。

这项工作目前仍处于概念验证阶段，即证明该想法在受控环境中是有效的。研究人员使用的是模拟攻击而非真实网络中的活病毒，并且尚未在医院或企业环境中测试该系统。他们承认，他们用于判断计算机行为的规则是手工编写的，且系统需要进一步测试以观察其如何处理各种现实世界的威胁。作者建议，未来的工作应包括在安全的沙箱中针对真实恶意软件进行测试，基于真实数据优化规则，并最终将其部署在资源有限的机构中。核心发现是明确的：通过将威胁检测直接与备份响应的强度相联系，可以创造出一种比传统的、脱节的方法更快且更具韧性的防御机制。该系统不仅是在观察麻烦，它还在实时调整其盾牌，在危险开始上升的瞬间收紧抓握。