僅僅六周的時間，全球經(jīng)歷了兩起大規(guī)模勒索軟件攻擊：WannaCry與NotPetya。在這期間，令黑客氣焰高漲的是，勒索軟件Erebus向韓國網(wǎng)絡托管公司Nayana成功勒索683萬元。

從目前的威脅形勢來看，全球需要更好的防御措施，所幸的是，目前這種防御措施將開始出現(xiàn)。當這些措施實現(xiàn)時，也許人們要感謝人工智能給全球帶來的福音。

雖然勒索軟件的誘騙性和危險性不及其它惡意軟件，但可能會進一步惡化，或帶來毀滅性。

盡管面臨如此嚴峻的網(wǎng)絡威脅格局，許多人仍未養(yǎng)成更新安全軟件的好習慣。最近這兩起大規(guī)模勒索軟件攻擊給了這類人重重一擊，人們愈發(fā)認識到安裝Windows更新的重要性。

安全研究人員表示，監(jiān)控安全軟件也存在問題。NotPetya來襲時，在測試的60個安全軟件中，只有2個安全軟件在第一時間檢測到了這款勒索軟件。

加利福尼亞安全公司Proofpoint.賴安·卡萊博表示，大量常規(guī)的應用程序，尤其Windows上的應用程序，運作方式就像惡意軟件，因此難以區(qū)分。

在早期，可以將惡意程序（例如病毒）的代碼與已知惡意軟件數(shù)據(jù)庫進行對比，但新型惡意軟件變種可能會輕易溜走。

因此，安全公司開始根據(jù)惡意軟件的行為研究其中的特點。勒索軟件可能會加密文件嘗試多次將其鎖定，但這種行為可能會被標記為普通的計算機行為，例如文件壓縮。

新西蘭安全公司Emsisoft的首席技術官富賓恩·瓦沙瑞表示，新型技術包括尋找行為的組合方式。例如，開始加密文件，未在屏幕顯示進度條的程序可能會被標記為秘密活動，但同時也可能會帶來風險，導致某些文件被鎖定之后才成功識別惡意軟件。

使用惡意意圖相關的顯著特征辨識惡意軟件不失為一個更有效的方法，例如，隔離偽裝成PDF圖標隱藏真實身份的程序。

這類惡意軟件的分析不依賴確切的代碼匹配，因此不能輕易逃避。在潛在危險的程序運行之前執(zhí)行此類檢查較好。

兩三個特征可能無法正確辨識惡意軟件與合法軟件，那么幾十個、幾百個、甚至幾千個特征會如何？

對此，安全研究人員轉向了機器學習（屬于人工智能的一種方式）。安全系統(tǒng)分析合法軟件和惡意軟件的樣本，并找出惡意軟件中可能出現(xiàn)的因素。

當遇到新軟件時，系統(tǒng)會計算惡意軟件存在的可能性，并拒絕未達到特定門檻分值的軟件。當某些惡意軟件順利逃過檢測，那就關乎計算或調整門檻。由此，研究人員發(fā)現(xiàn)一種教授機器的新行為。

另一方面，惡意軟件開發(fā)人員可以獲取這些安全工具，并調整代碼尋求規(guī)避檢測的突破口。一些網(wǎng)站已經(jīng)可以測試軟件是否能夠繞過領先的安全系統(tǒng)，而惡意軟件開發(fā)人員可能會開始創(chuàng)建自己的機器學習模式，以擊敗專注安全的人工智能。

加利福尼亞安全公司CrowdStrike的創(chuàng)始人兼首席技術官德米特里·阿爾普洛維奇表示，即使一個特定的系統(tǒng)提供99%的保護，但有多少次能規(guī)避攻擊的剩下1%只是數(shù)學問題。

不過，采用機器學習的安全公司聲稱，已經(jīng)在阻止大多數(shù)惡意軟件（不止是勒索軟件）方面取得成功。安全公司SentinelOne甚至為阻止勒索軟件提供了100萬美元的擔保金，目前該公司還未支付過這筆錢。

近幾周內(nèi)為何勒索軟件仍能大肆傳播？

普通的反病毒軟件，甚至一些免費的反病毒軟件能幫助阻止新型惡意軟件，因為，許多反病毒軟件也融合了行為檢測和機器學習技術。但是，這類軟件仍依賴用戶不擅長更新的惡意軟件數(shù)據(jù)庫。

下一代服務，例如CrowdStrike、SentinelOne和Cylance傾向于以機器學習方式的挖掘數(shù)據(jù)庫。但是，這些服務專注的目標是公司客戶，每臺電腦收費40至50美元（約為三百多人民幣）。小型企業(yè)通常沒有這筆安全預算，這些安全公司并沒有將這些服務提供給消費者。雖然Cylance計劃于7月發(fā)布針對消費者的安全服務版本，但它卻表示銷售會相當艱難。

Cylance首席執(zhí)行官斯圖亞特·麥克盧爾指出，未遭受龍卷風攻擊，人們怎會購買龍卷頭保險。