“挖礦”行為的危害無需多言。自去年以來，我國虛擬貨幣監管政策持續加碼，清退“挖礦”活動與禁止相關業務活動雙管齊下，全力打擊治理違法“挖礦”行為。就如上面這個通告中說明的一樣，雖然運營商、服務商已經全面禁止云主機挖礦，卻仍有不少“礦工”會千方百計，發動無差別攻擊去尋找“礦機”，而疏于防范的云主機便是他們的獵物之一。

淪為“礦機”的云主機，危害有大？

首先，“挖礦”需要一個龐大的算力系統，會完全吞噬用戶的云算力，云主機CPU飚滿，直接影響企業的正常業務往來，更會付出額外的電力成本和運維成本。

其次，部分挖礦木馬還具備蠕蟲化的特點，在主機被成功入侵之后，挖礦木馬還會向內網滲透，并在被入侵的主機上持久化駐留以獲取最大收益。

圖：典型的挖礦木馬攻擊場景、步驟和通信過程

最后，一些挖礦的主機還可能會被植入勒索病毒，攜帶APT攻擊代碼等等，導致組織重要數據泄露，或者黑客利用已經控制的機器，作為繼續對內網滲透或攻擊其他目標的跳板，導致更嚴重的網絡安全攻擊事件發生。

云主機防挖礦“三步半”

“挖礦”木馬已是繼勒索病毒后網絡犯罪分子牟利的又一重磅利器，而擁有龐大數量級的云數據中心正成為“挖礦”木馬重要攻擊目標。對此，亞信安全建議用戶通過“事前早發現、事中防得住、事后能跟蹤”的三條原則來建立防護體系，為云主機提供一體化的安全防護平臺，實現挖礦攻擊的全面治理。

?半步：“無代理”做好準備

為什么要先說這“半步”呢？當原有服務器設備在遷移至云資源池后，其上部署的傳統防病毒方案（需要安裝代理客戶端）將產生“防毒掃描風暴(AV Storms)”。這是因為，傳統防病毒方案與虛擬化底層兼容性極低，當云主機均采用這些技術時，一旦采用全盤掃描病毒或集中升級代碼時，就會造成搶占CPU、內存、存儲I/O和網絡擁堵的現象，直接造成業務訪問延遲或超時。因此，在云主機防止挖礦之前，先要選對平臺，利用“無代理”等新技術，從下至上形成底層防護。

? 第一步：事前早發現

無數臺云主機構成了企業的云算力，隨著數字化業務持續增長，云主機可能就會出現失控逃逸的情況，存在眾多“灰色”資產，造成了嚴重的安全隱患。因此，對于挖礦威脅的防御，第一步就是要構建資產指紋庫，避免資產死角，全面摸清家底。其次，云數據中心離不開強大的漏洞風險檢測及修復能力，需能夠對漏洞風險進行精準發現并得到有效修復。最后，是云主機要形成安全策略的一致性，這就離不開強大的基線合規性檢查能力，不留死角，防止風險的產生。

?第二步：事中防得住

面對挖礦木馬和不法分子的攻擊，應實現基于攻擊路徑的實時檢測與分析能力，及時發現失陷主機，提供虛擬補丁等響應措施，有效阻止黑客進一步入侵。此外，還應對主機網絡進行快速隔離，避免“挖礦”病毒橫向傳播，并且同步通過基因識別、虛擬沙盒等技術精準識別“挖礦”病毒，提供多樣化響應措施。

? 第三步：事后能跟蹤

對于已發生的挖礦病毒事件，需要擁有“高清”的威脅檢測及響應產品，通過EDR對操作系統中的文件、進程、注冊表和網絡連接的海量信息中攻擊過程進行可視化呈現，找到攻擊發生的根本原因、還原復雜的攻擊技術、并有針對性地進行響應和處置。

XDR挖礦治理有道，云主機更有“特殊”關照

針對挖礦治理，亞信安全提供了XDR整體方案，不僅可以幫助用戶更早的發現挖礦木馬威脅、定位高危資產，并且通過根因和范圍分析，確定是存在挖礦行為，攻擊是怎么發生，從而確保終端和云端不留死角。XDR整體方案中，共設立了14個關鍵監測點，通過信桅深度威脅發現設備(TDA)、信艙云主機安全(DeepSecurity)、信端病毒防護(O?ceScan)、信端終端檢測與響應系統(EDR)、網絡檢測與響應(TDA+Spiderflow)、信舷防毒墻(AISEdge)、調查分析威脅狩獵服務等，多維度發現、檢測、響應、查殺、恢復和預防挖礦病毒。

特別是針對云主機一體化安全防護，亞信安全提供了能夠全面覆蓋云工作負載保護平臺(Cloud?Workload?Protection?Platform，CWPP)的信艙云主機安全(DeepSecurity)產品，可通過資產管理、安全基線、虛擬補丁、日志審核、漏洞風險管理和主機資源監控等手段，助力客戶建立面向物理機、虛擬機、容器多種云工作負載的防護體系，從而滿足“事前、事中、事后”的全面覆蓋。

為云算力構筑起第二道防火墻

當前，云安全問題已成為云計算產業發展痛點，云計算產業規模的擴大，更需要利用安全技術的突破與創新，解決和改善云安全問題。其中，云主機安全更是云安全系統核心構成，也稱為第二道防火墻。為此，亞信安全將協助各個行業用戶筑牢這道墻，確保它不被“挖”穿，共同贏得云算力的保衛戰！