Verhindern Sie Ransomware-Angriffe durch Erkennen verdächtiger Dateisystemaktivitäten

Angenommen, ein Windows 8/10-Heim- / Small-Office-System mit 3-4 Benutzern und einigen TB Dateifreigaben (etwa 6 TB in einem geeigneten RAID). Die meisten Dateien sind statisch, aber manchmal werden Dateien verschoben oder geändert. Wenn das Überschreiben / Löschen jedoch mit einer zu hohen Rate (Anzahl der Dateien / dauerhafte Rate) beginnt, könnte dies ein Zeichen für böswillige Aktivitäten sein und ein Ereignis sollte ausgelöst werden, um einen Benutzer zu warnen oder darauf zu reagieren.

Wenn es sich um einen Ransomlocker-Angriff handelt, und die Modifizierung der Datei in den ersten 5/30 Minuten erkannt und angehalten werden kann, ist die Wahrscheinlichkeit ziemlich groß, dass Schäden lokalisiert werden oder andere Sicherungen für dieselben / ähnliche Daten vorhanden sind. damit kann man mit leben. (Mein Grund für diese Ansicht ist, dass es 10 bis 20 Stunden dauert, nur ein 4-TB-Laufwerk für das lokale Kopieren zu streamen; das Verschlüsseln eines 6-TB-RAID ist aufgrund des ständigen Schreib- und Lesevorgangs der Quelllaufwerke viel langsamer.)

Das Problem ist, dass Datei-ACLs nicht für mehr als eine binäre "unbegrenzte Berechtigung" / "Null-Berechtigung" gedacht sind. Das funktioniert nicht bei anderen Malware-Problemen (schlechte Anhänge / Downloads usw.) und hilft hier nicht. Ich würde gerne eine Art "Sanitätsprüfung" darüber, wie viel und welche Art von Aktivität mit diesem Zugriff durchgeführt wird. Ich möchte aber auch die Dateibehandlung nicht verlangsamen, wenn dies legitim ist, es sei denn, ein tatsächlicher verdächtiger Zugriff wird erkannt.

Welche Arten von Techniken können verwendet werden, damit ein schädlicher Prozess auf dem Gerät oder im LAN ausgeführt werden kann und mit einem Hochgeschwindigkeitszyklus von "Read-Modify-Overwrite" oder "Read-Savenewfile-deleteoriginal" auf einem Gerät begonnen wird. Die resultierende Dateiaktivität könnte von diesem Gerät als verdächtig gemeldet werden?

Das Ziel der Entdeckung ist also die wahnsinnige Flut der Aktenaktivität, die ein Ransomlocker-Angriff starten würde. Es wäre sehr schwer zu verbergen, nachhaltig und sehr unverwechselbar. Ransomlocker-Angriffe sollten am einfachsten zu verhindern sein. Aber wie sollte man danach suchen?

Aktualisieren:

Bitte entschuldigen Sie die falsche Formulierung. Ich habe die Formulierung, die dazu geführt hat, als Ablenkung gestrichen - ich dachte, es wäre hepful. Aber die technischen Aspekte von ACL sind hier wirklich ein Thema. Das Problem / die Frage ist nicht "Können Sie Ihre Dateisystemstruktur sperren, um Probleme mit Ransomware zu vermeiden", auch wenn Sie dies unbedingt tun können.

Die Frage steht näher: "Sie haben ein großes Windows-basiertes Dateisystem, aber die Berechtigungen können oder werden nicht gesperrt ( aus welchem ​​Grund auch immer, ob einige zustimmen oder nicht zustimmen ). Theoretisch wäre ein Ransomlocker-Angriff Ransomware-Aktivitäten sind völlig unverkennbar, und es kann nicht erkannt werden, dass das Dateisystem eine unverwechselbare und äußerst unverwechselbare Dateisystemaktivität aufweist, die, falls sie bemerkt wird, möglicherweise wirksame Maßnahmen zulassen würde, bevor der Schaden extrem wird ungewöhnliches Verhalten des Dateisystems, auch wenn die Malware nicht erkannt wird Frage: Wenn eine solche Erkennung wünschenswert wäre, mit welchen Methoden / Tools / Techniken kann die Art der Aktivität erkannt werden? "