基于固态存储设备防范勒索软件攻击的技术研究

In recent years, Ransomware, a malware that blackmails money by encrypting user files, became prevalent and exploded in volume, causing serious economic and management problems for a large number of individual users and many public departments such as healthcare and education. At present, most prevention technologies for ransomware are based on operating system security and cannot detect ransomware with system administrator privileges. Backup and recovery relying on cloud storage or adding extra local storage devices increase system overhead and economic cost..This project focuses on ransomware prevention technology based on solid state storage devices, including fine-grained, reliable and sensitive detection methods at the firmware layer through mathematical modeling; lightweight and transparent data backup method based on the characteristics of solid state storage devices; fast, automated data recovery method at any number of steps or points in time. The goal of this project is to provide a comprehensive system of supporting theory and implementation method for ransomware prevention. A technology system integrating ransomware detection, data backup and recovery with the ability of zero-data-loss will be realized based on the solid state storage system. The performing of this project can not only provide an advanced technical basis for preventing users from infecting ransomware, but also can guide and promote the improvement of ransomware prevention technologies at home and abroad.

近年来，一种通过加密用户文件来勒索赎金的恶意软件—勒索软件开始盛行，并呈现数量爆炸式增长，给广大个人用户及医疗、教育等众多公共行业带来严重的经济、管理问题。目前针对勒索软件的防范技术大都基于操作系统安全，不可检测具有系统管理员权限的勒索软件，依靠云存储或增加额外存储设备等进行数据备份恢复，增加了系统开销和经济成本。.本课题研究基于固态存储设备防范勒索软件攻击的技术，主要包括在固件层通过数学建模实现细粒度、可靠灵敏的检测；基于固态存储设备特性实现轻量化、透明化数据备份；可按任意操作步数或时间点的快速、自动化数据恢复。本课题旨在为防范勒索软件攻击提供一套完善的理论支撑和实施体系，基于固态存储系统，实现具备数据零丢失能力的，集勒索软件检测、数据备份和恢复于一体的技术体系。课题的实施可以为防止用户感染勒索软件提供先进的技术基础，也能够指导并促进国内外防范勒索软件攻击技术的改进。

近年来，一种通过加密用户文件来勒索赎金的恶意软件—勒索软件开始盛行，并呈现数量爆炸式增长，给广大个人用户及医疗、教育等众多公共行业带来严重的经济、管理问题。据SonicWall报告称，相比2020年上半年，2021上半年勒索软件攻击数量增长了151%。攻击规模和频率以惊人的速度增长，复杂性和创新水平不断提高，成为政府、企业、个人最为关注的安全风险之一，也是网络安全最重大威胁之一。目前针对勒索软件的防范技术大都基于操作系统安全，不可检测具有系统管理员权限的勒索软件，依靠云存储或增加额外存储设备等进行数据备份恢复，增加了系统开销和经济成本。. 本课题提出了一种基于固态存储设备防范勒索软件攻击的技术，主要包括1）在固态存储设备固件层（闪存转换层）中实现了基于勒索软件访问模式的细粒度、可靠灵敏的勒索软件检测方案；2）基于固态存储设备数据非原位更新特性实现了轻量化、透明化数据备份，并实现了可按任意操作步数或时间点的快速、自动化数据恢复。本课题通过分析11种合计518个勒索软件样本（如Locky,Cerber,Ransom32,CryptoWall,Maktub等），基于k-means算法提取4种典型勒索软件访问模式并用于检测，在开源固态存储器OpenNFM实现了勒索软件检测与数据恢复原型系统。相关成果发表在ACM旗舰会议CODASPY2019会议上，并申请了相关专利。. 本课题为防范勒索软件攻击提供了一套完善的理论支撑和实施体系，基于固态存储系统，实现了具备数据零丢失能力的，集勒索软件检测、数据备份和恢复于一体的技术体系。课题的实施可以为防止用户感染勒索软件提供先进的技术基础，也能够指导并促进国内外防范勒索软件攻击技术的改进。