设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [10359] 2016-08-01_大数据安全分析的前世今生 ...
返回列表 发新帖
查看: 3|回复: 0

[10359] 2016-08-01_大数据安全分析的前世今生

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2016-08-01_大数据安全分析的前世今生 大 数 据 安 全 分 析 的 前 世 今 生 木 千 之   F r e e B u f   2 0 1 6 - 0 8 - 0 1 * 本 文 原 创 作 者 ： 木 千 之 ， 本 文 未 经 许 可 禁 止 转 载 引 言 引 言 截 止 到 2 0 1 2 年 ， 全 球 数 据 量 已 经 从 T B （ 1 0 2 4 G B = 1 T B ） 级 别 跃 升 到 P B （ 1 0 2 4 T B = 1 P B ） 、 E B （ 1 0 2 4 P B = 1 E B ） 乃 至 Z B ( 1 0 2 4 E B = 1 Z B ) 级 别 。 国 际 数 据 公 司 （ I D C ） 的 研 究 结 果 表 明 ， 2 0 0 8 年 全 球 产 生 的 数 据 量 为 0 . 4 9 Z B ， 2 0 0 9 年 的 数 据 量 为 0 . 8 Z B ， 2 0 1 0 年 增 长 为 1 . 2 Z B ， 2 0 1 1 年 的 数 量 更 是 高 达 1 . 8 2 Z B ， 相 当 于 全 球 每 人 产 生 2 0 0 G B 以 上 的 数 据 。 而 到 2 0 1 2 年 为 止 ， 人 类 生 产 的 所 有 印 刷 材 料 的 数 据 量 是 2 0 0 P B ， 全 人 类 历 史 上 说 过 的 所 有 话 的 数 据 量 大 约 是 5 E B 。 I B M 的 研 究 称 ， 整 个 人 类 文 明 所 获 得 的 全 部 数 据 中 ， 有 9 0 % 是 过 去 两 年 内 产 生 的 。 而 到 了 2 0 2 0 年 ， 全 世 界 所 产 生 的 数 据 规 模 将 达 到 今 天 的 4 4 倍 。 每 一 天 ， 全 世 界 会 上 传 超 过 5 亿 张 图 片 ， 每 分 钟 就 有 2 0 小 时 时 长 的 视 频 被 分 享 。 然 而 ， 即 使 是 人 们 每 天 创 造 的 全 部 信 息 — — 包 括 语 音 通 话 、 电 子 邮 件 和 信 息 在 内 的 各 种 通 信 ， 以 及 上 传 的 全 部 图 片 、 视 频 与 音 乐 ， 其 信 息 量 也 无 法 匹 及 每 一 天 所 创 造 出 的 关 于 人 们 自 身 的 数 字 信 息 量 。 这 种 趋 势 是 否 会 继 续 下 去 ？ 答 案 是 肯 定 的 ， 我 们 现 在 尚 处 于 “ 物 联 网 ” 的 最 初 级 阶 段 ， 智 能 设 备 还 仅 仅 存 在 于 家 用 电 器 等 ； 而 随 着 技 术 成 熟 ， 我 们 的 工 业 设 备 、 交 通 工 具 和 迅 速 发 展 的 “ 可 穿 戴 ” 科 技 将 能 互 相 连 接 与 沟 通 。 互 联 互 通 的 高 度 信 息 化 社 会 产 生 的 可 用 数 据 量 当 超 越 已 有 的 任 一 个 社 会 阶 段 。 我 们 已 然 处 于 我 们 已 然 处 于 “ 大 数 据 大 数 据 ” 时 代 ， 不 仅 仅 是 时 代 ， 不 仅 仅 是 “ 数 据 数 据 ” ， 而 且 是 ， 而 且 是 “ 大 大 ” 数 据 。 数 据 。 大 数 据 时 代 下 的 信 息 安 全 面 临 着 新 的 威 胁 ， 如 云 平 台 下 的 个 人 隐 私 保 护 ， 如 全 方 位 立 体 的 信 息 系 统 增 加 了 受 威 胁 攻 击 的 承 受 面 积 等 。 每 一 个 新 的 数 据 源 加 入 信 息 网 络 ， 便 会 成 为 新 的 潜 在 受 攻 击 点 。 庆 幸 的 是 ， 大 数 据 分 析 技 术 也 开 始 渗 透 进 入 安 全 领 域 ， 开 始 与 传 统 安 全 技 术 相 结 合 ， 诞 生 了 数 据 时 代 的 新 型 安 全 应 对 方 法 ： 大 数 据 安 全 分 析 。 今 天 ， 我 们 就 从 最 初 的 网 络 安 全 开 始 讲 起 ， 一 起 来 回 顾 大 数 据 安 全 分 析 技 术 诞 生 的 整 个 路 程 。 1 、 、   网 络 安 全 的 主 干 网 络 安 全 的 主 干 F r e e B u f 是 一 个 关 于 安 全 的 顶 级 盛 宴 ， 一 般 来 说 ， 你 总 是 能 在 这 里 找 到 你 关 心 的 安 全 问 题 ， 比 如 漏 洞 挖 掘 、 后 门 设 计 、 智 能 安 全 等 。 我 们 今 天 所 谈 当 属 其 中 一 个 较 大 的 类 别 ， 也 是 我 们 今 天 讨 论 的 起 点 — — 网 络 安 全 （ C y b e r S e c u r i t y ） ： 网 络 安 全 是 指 ： 网 络 系 统 的 硬 件 、 软 件 及 其 系 统 中 的 数 据 受 到 保 护 ， 不 因 偶 然 的 或 者 恶 意 的 原 因 而 遭 受 到 破 坏 、 更 网 络 安 全 是 指 ： 网 络 系 统 的 硬 件 、 软 件 及 其 系 统 中 的 数 据 受 到 保 护 ， 不 因 偶 然 的 或 者 恶 意 的 原 因 而 遭 受 到 破 坏 、 更 改 、 泄 露 ， 系 统 连 续 可 靠 正 常 地 运 行 ， 网 络 服 务 不 中 断 。 改 、 泄 露 ， 系 统 连 续 可 靠 正 常 地 运 行 ， 网 络 服 务 不 中 断 。 仅 从 定 义 来 看 网 络 安 全 定 义 吧 ， 不 免 有 些 抽 象 ， 一 般 来 说 我 们 可 以 使 用 C I A 来 具 体 描 述 网 络 安 全 内 涵 （ 目 标 ） ： 机 密 性 （ 机 密 性 （ C o n f i d e n t i a l i t y ） ： 数 据 不 被 非 法 访 问 ； ） ： 数 据 不 被 非 法 访 问 ； 完 整 性 （ 完 整 性 （ I n t e g r i t y ） ： 数 据 不 被 非 法 修 改 ； ） ： 数 据 不 被 非 法 修 改 ； 可 用 性 （ 可 用 性 （ A v a i l a b i t l i y ） ： 网 络 服 务 始 终 良 好 运 行 ； ） ： 网 络 服 务 始 终 良 好 运 行 ；
当 然 ， 除 去 通 用 的 C I A 安 全 属 性 ， 我 们 也 可 以 要 求 可 审 计 性 、 不 可 否 认 性 （ 数 字 签 名 ） 以 及 可 控 性 （ 信 息 传 播 及 内 容 受 控 ， 如 次 数 或 特 定 人 群 访 问 权 ） 等 。 具 体 可 以 根 据 自 身 的 业 务 需 求 在 C I A 基 础 上 充 实 成 为 最 适 合 自 身 企 业 的 安 全 模 型 。 网 络 安 全 的 目 标 实 现 依 赖 于 其 实 现 体 系 ， 其 体 系 可 以 归 结 为 图 1 ： 上 图 中 涉 及 到 网 络 安 全 四 个 关 键 机 制 ， 其 中 预 防 是 安 全 的 起 始 ， 通 过 风 险 评 估 与 控 制 形 成 初 级 安 全 防 御 ； 当 预 防 措 施 失 效 时 ， 检 测 机 制 将 发 现 存 在 的 攻 击 行 为 ， 报 警 后 由 响 应 机 制 进 行 中 断 服 务 、 断 开 连 接 等 具 体 安 全 措 施 。 最 初 的 网 络 安 全 框 架 中 只 有 上 述 三 类 ， 随 着 攻 击 特 征 的 研 究 逐 渐 增 多 ， 预 测 攻 击 行 为 的 可 能 性 增 大 ， 因 此 预 测 机 制 专 用 于 预 测 高 风 险 用 户 与 高 风 险 节 点 ， 响 应 的 攻 击 分 析 后 可 以 作 为 新 知 识 提 供 给 预 测 模 块 ， 实 现 预 测 的 智 能 升 级 。 预 防 、 预 测 、 检 测 与 相 应 构 成 了 网 络 安 全 的 主 干 （ 整 体 框 架 ） ， 而 百 花 争 艳 的 安 全 技 术 则 像 是 点 缀 其 上 的 美 艳 花 朵 。 2 、 孤 掌 难 鸣 的 困 境 、 孤 掌 难 鸣 的 困 境 遗 憾 的 是 ， 现 有 的 安 全 防 御 机 制 在 大 数 据 时 代 的 表 现 总 是 力 不 从 心 。 我 们 先 来 看 看 预 防 机 制 。 预 防 机 制 的 核 心 是 风 险 管 理 ， 即 识 别 和 控 制 机 构 面 临 的 安 全 风 险 的 过 程 。 风 险 管 理 主 要 包 括 风 险 识 别 与 风 险 控 制 ， 风 险 识 别 指 检 查 和 分 析 机 构 信 息 系 统 的 安 全 态 势 与 面 临 的 风 险 ， 形 成 分 线 评 估 报 告 ； 风 险 控 制 则 是 指 用 控 制 手 段 ， 减 少 机 构 面 临 的 安 全 风 险 。 风 险 管 理 可 以 简 单 理 解 为 “ 先 评 估 ， 后 实 施 先 评 估 ， 后 实 施 ” 。 一 般 来 说 风 险 管 理 可 以 分 为 三 个 层 次 ： 管 理 控 制 ， 主 要 是 策 略 方 针 ， 如 密 码 安 全 策 略 （ 复 杂 性 与 长 度 要 求 ） ， 支 付 卡 行 业 数 据 安 全 标 准 （ P C I D S S ） 等 ； 技 术 控 制 ： 逻 辑 访 问 控 制 （ 基 于 角 色 的 访 问 控 制 策 略 ） 、 加 密 协 议 等 ； 物 理 控 制 ： 门 禁 、 设 施 保 护 、 安 全 视 频 监 控 等 。
图 2 给 出 了 企 业 风 险 管 理 的 层 次 实 例 ， 常 见 的 预 防 措 施 可 以 分 为 主 机 与 网 络 两 个 层 次 ， 主 机 方 面 涉 及 安 全 操 作 系 统 设 计 ， 已 有 漏 洞 补 丁 升 级 ； 逻 辑 访 问 控 制 ： 认 证 （ 用 户 身 份 ） 与 授 权 （ 文 件 访 问 权 、 网 络 使 用 权 等 ） ； 安 全 实 现 ： 代 码 安 全 审 查 （ s t r c p y ( ) / s t r n c p y ( ) ） 、 单 元 测 试 、 最 小 特 权 实 现 等 。 网 络 层 面 包 括 安 全 协 议 ： S S L / T L S 等 加 固 I P / T C P ； 安 全 设 备 ： 防 火 墙 ， I D S 等 （ 基 于 网 络 数 据 包 的 分 析 ） 。 最 为 常 见 的 例 子 莫 过 于 在 网 络 层 实 施 S S L 协 议 ， 该 协 议 的 主 要 功 能 是 在 原 有 T C P / I P 框 架 上 添 加 身 份 认 证 与 数 据 加 密 功 能 ， 数 据 包 结 构 如 图 3 ： 一 般 的 S S L 协 议 通 信 过 程 可 以 见 图 4 （ 客 户 端 连 接 服 务 器 ） ：
客 户 端 A l i c e 首 先 要 验 证 服 务 端 B o b 的 身 份 ， 之 后 二 者 协 商 生 成 一 个 本 次 会 话 的 临 时 密 钥 K ， 使 用 K 加 密 本 次 会 话 数 据 包 ， 从 而 实 现 了 安 全 数 据 传 输 。 看 上 去 从 主 机 到 网 络 ， 我 们 已 经 根 据 风 险 评 估 的 结 果 实 施 了 全 面 的 防 御 准 备 ， 看 上 去 固 若 金 汤 ， 可 是 事 实 上 果 真 如 此 吗 ？ 事 实 上 网 络 安 全 威 胁 从 未 消 失 或 减 缓 ， 反 而 变 本 加 厉 ， 而 “ 安 全 ” 也 成 为 了 互 联 网 的 热 搜 词 汇 ， 甚 至 国 家 层 面 都 成 立 了 “ 中 共 中 央 网 络 安 全 和 信 息 化 领 导 小 组 ” ， 因 此 可 见 网 络 安 全 形 式 之 严 峻 。 自 身 防 御 漏 洞 百 出 自 身 防 御 漏 洞 百 出 安 全 形 式 严 峻 的 第 一 个 重 要 因 素 就 是 ， 防 御 体 系 自 身 就 漏 洞 百 出 。 首 先 从 计 算 机 系 统 与 信 息 网 络 自 身 角 度 来 看 脆 弱 性 始 终 存 在 ： 设 计 缺 陷 ： 竞 争 条 件 漏 洞 （ r a c e   c o n d i t i o n   v u l n e r a b i l i t y ） 、 缓 冲 区 溢 出 等 ；   竞 争 漏 洞 ： 如 r o o t 程 序 的 核 查 文 件 （ a c c e s s ） 与 修 改 文 件 （ w r i t e ） 间 具 有 时 间 间 隔 ， 导 致 攻 击 者 改 变 了 文 件 符 号 链 接 ， 将 符 号 链 接 到 密 码 文 件 上 ； 缓 冲 区 溢 出 ： s t r c p y ( ) 的 源 字 符 串 长 度 超 过 了 目 标 字 符 串 空 间 长 度 ， 导 致 覆 盖 掉 了 R E T 指 针 ； 即 便 设 计 科 学 的 防 御 系 统 在 实 际 部 署 中 也 会 存 在 诸 多 问 题 ， 如 ：
某 些 业 务 应 用 设 计 时 未 考 虑 安 全 因 素 ， 安 全 模 块 事 后 追 加 ， 存 在 片 面 性 与 兼 容 性 问 题 ； 相 关 人 员 缺 乏 相 应 安 全 培 训 ； 系 统 设 置 缺 陷 （ 防 火 墙 使 用 默 认 密 码 或 开 放 默 认 端 口 ） 实 际 部 署 成 本 制 约 无 法 真 实 实 现 防 御 系 统 功 能 ， 如 考 虑 安 全 性 与 效 能 之 间 的 折 衷 （ 如 卡 巴 斯 基 的 查 杀 率 与 系 统 占 用 率 ） 、 部 署 预 防 系 统 时 的 非 技 术 考 量 ： 机 构 需 求 、 经 济 成 本 、 上 级 政 策 等 ； 一 般 来 说 ， 企 业 的 信 息 系 统 中 一 般 都 会 存 在 以 下 漏 洞 ： 后 门 ： 隐 秘 登 录 端 口 ， r o o t k i t （ 隐 藏 后 门 等 恶 意 程 序 ， 暗 中 收 集 数 据 ） 拒 绝 服 务 ： 升 级 版 D D O S 窃 听 ： 窃 听 网 络 机 密 数 据 传 输 、 监 控 硬 件 设 备 电 磁 信 号 （ 如 测 信 道 攻 击 ） 应 用 漏 洞 ： 主 要 用 于 获 取 r o o t 权 限 ， 然 后 创 建 / 维 护 后 门 、 木 马 等 ； 社 工 ： 攻 击 机 构 中 脆 弱 的 “ 人 性 ” 因 素 （ 欺 诈 攻 击 ） 因 此 ， 防 御 系 统 自 身 的 设 计 缺 陷 以 及 实 际 部 署 中 的 成 本 制 约 与 管 理 不 规 范 导 致 安 全 漏 洞 无 法 完 全 避 免 。 攻 击 者 日 益 精 进 攻 击 者 日 益 精 进 除 去 防 御 者 自 身 因 素 之 外 ， 攻 击 者 日 益 精 进 ， 从 而 威 胁 越 来 越 高 级 、 复 杂 也 是 一 个 重 要 原 因 。 我 们 先 来 看 看 常 见 的 攻 击 分 类 ： 探 测 攻 击 （ P r o b e ） ： 端 口 扫 描 （ n m a p - m : n ） 、 抓 包 解 析 （ t c p d u m p 等 ） 拒 绝 服 务 攻 击 ： T C P   S Y N 洪 流 （ 发 送 多 个 S Y N 连 接 不 响 应 ） 、 P i n g o f D e a t h （ P i n g 协 议 组 包 错 误 ） 、 D D O S （ 多 枚 炮 弹 同 时 命 中 ） 远 程 入 侵 攻 击 （ R 2 L ） ： 登 录 密 码 暴 力 破 解 / 字 典 攻 击 、 缓 冲 区 溢 出 、 S Q L 注 入 、 社 工 ； 提 权 攻 击 （ U 2 R ） ： 缓 冲 区 溢 出 、 r o o t k i t 等 ； 感 染 传 播 攻 击 （ I n f e c t i o n s ） ： 木 马 、 B o t n e t 等 ； 网 络 攻 击 并 不 容 易 ， 必 须 经 过 缜 密 的 侦 查 与 策 划 ， 其 核 心 阶 段 有 五 个 ： 准 备 阶 段 ： 探 测 目 标 端 口 、 判 断 系 统 软 件 版 本 信 息 等 ， 社 工 收 集 补 充 信 息 ， 评 估 目 标 防 御 水 平 ， 选 择 攻 击 突 破 口 ； 入 侵 阶 段 ： 利 用 缓 冲 区 溢 出 、 S Q L 注 入 等 方 法 获 得 系 统 r o o t 权 限 ， 是 R 2 L 与 U 2 R 两 类 攻 击 的 结 合 ， 甚 至 是 社 工 方 式 进 入 （ 钓 鱼 网 站 等 ） ； 后 入 侵 阶 段 ： 创 建 后 门 与 安 装 r o o t k i t 以 便 于 长 期 控 制 目 标 ； 以 目 标 为 基 础 ， 探 测 周 围 网 络 ， 贡 献 其 它 目 标 主 机 （ 感 染 ） ， 寻 找 有 价 值 目 标 （ A P T ） ； 自 我 保 护 阶 段 ： 设 置 r o o t k i t 加 密 等 多 种 安 全 保 护 程 序 ， 修 改 内 核 进 程 表 避 免 安 全 软 件 查 杀 、 修 改 安 全 日 志 等 ； 总 攻 阶 段 ： 秘 密 传 输 目 标 网 络 的 机 密 信 息 或 崩 溃 目 标 网 络 系 统 ， 取 决 于 攻 击 者 的 动 机 、 目 标 以 及 技 术 能 力 和 目 标 的 安 全 防 御 水 平 ； 每 一 个 攻 击 类 型 都 很 复 杂 ， 而 且 阶 段 繁 琐 ， 因 此 自 然 对 攻 击 者 的 技 术 门 槛 很 高 ； 然 而 现 实 中 的 攻 击 者 很 多 仅 仅 是 “ 脚 步 小 子 ” ， 原 因 就 在 于 当 前 存 在 许 多 可 选 、 高 效 、 开 放 的 黑 客 工 具 。 由 于 数 量 众 多 ， 我 们 今 天 仅 对 代 表 性 的 工 具 作 一 速 览 ： 信 息 收 集 工 具 包 括 网 络 包 捕 获 工 具 W i r e s h a r k T c p d u m p N e t 2 p c a p 等 ， 网 络 扫 描 探 测 工 具 （ 主 机 I P 协 议 版 本 ） ： N m a p A m a p V m a p X p r o b e 等 。 攻 击 工 具 包 括 木 马 类 的 D a n g e r A I M S p y N e t S p y 等 ； 拒 绝 服 务 攻 击 类 的 T a r g a 、 H O I C L O I C 等 ； 网 络 包 伪 造 类 ： P a c k e t h P a c k e t   E x c a l i b u r L i b n e t 等 ； 应 用 层 类 ： C o d e   R e d   W o r m N i m d a   W o r m A p p D D o S B o t n e t 等 ； 用 户 攻 击 类 ： N t f s d o s Y a g a M e t a s p l o i t 等 。 值 得 一 提 的 是 M e t a s p l o i t ， 现 在 已 经 更 新 为 K a l i 系 统 ， 其 上 融 合 了 现 有 的 全 套 安 全 工 具 ， 从 网 络 扫 描 、 D N S 解 析 ， 到 S Q L 注 入 、 邮 件 伪 造 、 P O C 利 用 等 ， 已 经 成 为 了 事 实 上 渗 透 测 试 的 标 准 平 台 。
上 图 中 是 K a l i 系 统 上 的 一 次 攻 击 应 用 。 随 着 这 些 高 级 工 具 的 出 现 ， 原 本 复 杂 攻 击 要 求 的 高 技 术 门 槛 越 来 越 低 ， 呈 现 了 反 向 增 长 的 奇 怪 曲 线 ， 如 图 6 ： 上 图 反 映 了 历 史 攻 击 复 杂 度 与 攻 击 者 技 术 要 求 的 变 化 曲 线 ， 可 以 看 出 攻 击 演 变 趋 势 上 ， 攻 击 成 本 日 益 低 廉 ， 技 术 门 槛 越 来 越 低 ； 与 此 同 时 攻 击 工 具 日 趋 复 杂 ， 攻 击 复 杂 度 越 来 越 高 ， 攻 击 越 来 越 难 以 防 范 。 而 不 断 进 化 的 攻 击 也 使 得 防 御 系 统 效 果 越 来 越 差 ， 单 单 B Y O D 的 引 入 ， 就 使 得 自 用 设 备 打 破 了 原 始 的 安 全 边 界 防 御 ， 更 何 况 大 数 据 时 代 便 捷 多 元 的 信 息 通 信 设 备 与 方 法 ， 传 统 安 全 防 御 技 术 基 本 形 同 虚 设 。
3 、 、   似 是 而 非 的 替 代 方 案 似 是 而 非 的 替 代 方 案 原 有 单 纯 基 于 安 全 边 界 与 单 一 安 全 设 备 的 防 御 体 系 被 现 实 摧 垮 ， 于 是 人 们 开 始 寻 找 安 全 的 替 代 方 案 。 当 网 络 中 具 备 了 防 火 墙 I D S 等 多 种 安 全 设 备 之 后 ， 一 种 自 然 的 想 法 是 将 现 有 所 有 安 全 机 制 融 合 ， 形 成 层 次 渐 进 的 安 全 防 御 机 制 ， 即 纵 深 防 御 ， 也 称 作 深 度 防 御 。 深 度 防 御 （ D e f e n s e - i n - d e p t h ） 指 利 用 一 系 列 防 御 机 制 来 保 护 计 算 机 网 络 的 理 念 ， 效 果 是 一 旦 某 一 机 制 无 法 正 常 运 行 ， 会 有 另 外 一 个 可 正 常 运 行 的 机 制 替 代 它 。 一 个 典 型 的 深 度 防 御 模 型 如 图 7 ， 其 中 ： 实 时 防 御 部 分 负 责 对 实 时 消 息 流 进 行 检 测 防 御 ： 防 火 墙 为 第 一 道 关 口 ， 负 责 控 制 内 外 网 络 访 问 ； I D S 对 通 过 防 火 墙 的 数 据 流 进 一 步 检 查 ， 发 现 其 中 的 攻 击 行 为 报 警 相 应 ； 若 攻 击 逃 避 I D S 检 测 ， 则 直 接 由 应 急 响 应 与 灾 难 恢 复 模 块 处 理 。 日 常 防 御 模 块 由 脆 弱 性 检 测 模 块 进 行 系 统 自 检 ， 而 预 警 子 系 统 要 综 合 已 有 所 有 安 全 信 息 ， 对 未 知 攻 击 进 行 初 步 的 预 测 。 基 础 设 施 主 要 有 多 种 数 据 库 组 成 ， 分 别 对 两 类 防 御 提 供 平 台 支 持 。 深 度 防 御 的 关 键 在 于 检 测 出 攻 击 ， 从 而 将 攻 击 损 失 降 到 最 小 。 现 有 基 于 I D S 的 检 测 系 统 是 深 度 防 御 的 核 心 模 块 ， 因 此 我 们 重 点 分 析 下 现 有 的 检 测 系 统 。 入 侵 检 测 系 统 （ I D S ） 由 来 已 久 ， 至 今 发 展 经 历 了 个 世 代 ， 第 一 个 世 代 中 的 I D S 基 于 误 用 检 测 （ 特 征 、 规 则 检 测 ） ， 重 点 分 析 网 络 包 数 据 ， 从 而 发 现 可 能 的 入 侵 与 D O S 攻 击 ， 此 时 的 I D S 仅 能 检 测 已 知 威 胁 。 第 二 世 代 的 I D S 利 用 S I E M 进 行 了 融 合 ， 从 而 可 以 关 联 多 个 I D S 的 报 警 数 据 ， 提 高 了 发 现 攻 击 的 能 力 。 虽 然 I D S 发 展 了 两 个 世 代 ， 但 是 其 不 足 也 是 明 显 的 。 一 方 面 攻 击 态 势 日 趋 严 峻 ， 攻 击 方 式 日 趋 复 杂 （ 工 具 多 元 化 ） ， 攻 击 门 槛 日 趋 降 低 （ 技 术 要 求 降 低 ， 脚 本 小 子 ） ， 攻 击 动 机 日 趋 强 化 （ 脚 本 小 子 - 好 奇 ， 黑 产 - 经 济 利 益 ， 国 家 队 - 权 力 / 政 治 ， 内 部 人 - 不 满 报 复 ） ； 另 一 方 面 现 有 检 测 技 术 能 力 有 限 ， 应 对 多 态 恶 意 代 码 、 A P T 攻 击 、 0 - d a y 攻 击 时 都 束 手 无 策 。 而 且 防 御 与 攻 击 的 最 大 不 同 在 于 ： 攻 击 只 为 成 功 一 次 ， 防 御 则 要 成 功 每 一 天 攻 击 只 为 成 功 一 次 ， 防 御 则 要 成 功 每 一 天 ， 因 此 防 御 方 责 任 更 大 ， 形 势 更 为 严 峻 。 最 近 几 年 发 生 的 安 全 事 件 也 验 证 了 当 前 安 全 防 御 脆 弱 无 力 的 事 实 ， 如 2 0 1 0 年 发 生 的 震 惊 全 球 的 “ 极 光 攻 击 ” 与 “ 震 网 ” 两 个 典 型 A P T 攻 击 ， 其 影 响 损 失 不 言 而 喻 ， 但 是 伊 朗 核 电 站 所 受 影 响 已 无 法 简 单 用 经 济 损 失 来 衡 量 。 2 0 1 4 年 韩 国 银 行 客 户 金 融 数 据 失 窃 ， 童 年 J P 摩 根 银 行 客 户 账 户 失 窃 ， 内 部 人 信 息 窃 取 、 欺 诈 已 经 成 为 了 企 业 面 临 的 首 要 威 胁 。 具 体 可 参 加 下 图 ：
正 当 人 们 为 现 有 安 全 防 御 无 力 痛 心 的 时 候 ， 大 数 据 技 术 却 蓬 勃 发 展 ， 一 系 列 核 心 技 术 与 平 台 架 构 均 日 趋 成 熟 ， 甚 至 出 现 了 成 熟 的 市 场 实 例 （ 如 A m a z o n 的 大 数 据 分 析 平 台 ） 。 与 此 同 时 ， 安 全 日 志 的 重 要 性 逐 渐 得 到 大 家 的 重 视 ， 2 0 1 0 年 一 份 报 告 显 示 8 6 % 的 安 全 事 件 可 以 回 溯 到 安 全 日 志 ， 而 安 全 日 志 数 据 量 巨 大 ， 导 致 实 际 无 法 有 效 利 用 。 如 同 发 现 了 新 的 美 洲 大 陆 ， 安 全 界 不 约 而 同 将 目 光 转 向 了 大 数 据 技 术 在 安 全 日 志 中 的 应 用 。 学 术 界 普 遍 认 为 利 用 大 数 据 技 术 是 挖 掘 日 志 价 值 ， 是 提 升 安 全 检 测 效 果 的 关 键 。 因 此 第 三 个 世 代 的 I D S 出 现 了 ， 其 融 合 了 大 数 据 分 析 技 术 ， 构 建 了 安 全 威 胁 情 报 平 台 ， 从 长 时 间 窗 口 中 关 联 ， 挖 掘 攻 击 信 息 ， 不 仅 提 高 了 检 测 未 知 威 胁 的 能 力 ， 也 缩 短 了 攻 击 与 检 测 相 应 的 时 间 周 期 。 4 、 、   达 摩 克 利 斯 之 剑 达 摩 克 利 斯 之 剑 大 数 据 技 术 的 出 现 使 得 分 析 蕴 藏 着 攻 击 痕 迹 的 海 量 安 全 日 志 成 为 可 能 ， 以 此 为 依 托 ， 国 内 外 均 开 展 了 大 量 大 数 据 安 全 领 域 研 究 。 内 部 威 胁 因 其 特 有 的 隐 蔽 、 透 明 特 性 也 成 为 了 大 数 据 安 全 分 析 的 重 要 应 用 领 域 。 基 于 企 业 内 部 特 有 的 内 部 威 胁 风 险 ， 提 取 威 胁 特 征 ， 然 后 在 各 设 备 安 全 日 志 中 挖 掘 分 析 ， 从 而 检 测 内 部 威 胁 成 为 未 来 行 之 有 效 的 内 部 威 胁 检 测 方 案 ， 可 以 说 大 数 据 安 全 分 析 技 术 成 为 了 悬 在 内 部 威 胁 头 上 的 达 摩 克 利 斯 之 剑 。 按 照 数 据 源 、 分 析 方 法 、 时 间 度 量 、 能 动 性 与 持 时 间 周 期 等 ， 我 们 可 以 将 现 有 内 部 威 胁 中 的 大 数 据 安 全 分 析 归 为 几 类 ： 按 照 数 据 来 源 可 以 分 为 主 机 、 网 络 、 应 用 分 析 三 类 。 基 于 主 机 数 据 检 测 数 据 来 自 系 统 调 用 日 志 与 系 统 日 志 ； 基 于 网 络 数 据 检 测 数 据 来 自 基 于 网 络 数 据 包 头 数 据 与 流 量 数 据 与 基 于 无 线 网 络 数 据 检 测 ； 基 于 应 用 日 志 检 测 数 据 来 自 数 据 库 日 志 、 网 站 日 志 、 I D S 指 示 器 数 据 等 。 按 照 使 用 方 法 可 以 分 为 误 用 检 测 与 异 常 检 测 。 误 用 检 测 又 称 特 征 检 测 ， 需 要 提 取 已 知 攻 击 特 征 ， 基 于 签 名 匹 配 检 测 攻 击 ， 其 准 确 率 较 高 ， 然 而 无 法 检 测 未 知 威 胁 ； 异 常 检 测 基 于 “ 白 名 单 ” 思 想 ， 建 立 用 户 的 正 常 行 为 模 型 ， 从 而 检 测 偏 离 正 常 模 型 的 行 为 ， 其 可 以 检 测 未 知 威 胁   ， 但 误 报 率 较 高 。 按 照 时 间 度 量 可 以 分 为 实 时 内 部 威 胁 检 测 与 离 线 检 测 。 实 时 监 测 将 安 全 日 志 数 据 组 我 欸 数 据 流 实 时 分 析 报 警 ； 而 离 线 检 测 则 在 后 台 进 行 数 据 挖 掘 分 析 按 照 能 动 性 可 以 分 为 被 动 检 测 与 主 动 检 测 两 类 。 顾 名 思 义 ， 被 动 检 测 就 是 传 统 的 I D S ， 检 测 到 内 部 威 胁 即 报 警 ， 但 是 不 采 取 安 全 措
施 ， 等 待 人 为 命 令 ； 主 动 检 测 类 似 于 I P S ， 检 测 到 内 部 威 胁 可 以 自 动 断 开 内 部 攻 击 者 连 接 ， 剥 夺 其 访 问 权 等 。 按 照 时 间 周 期 可 以 分 为 连 续 监 测 与 周 期 检 测 。 连 续 监 测 即 不 间 断 监 测 ， 而 周 期 检 测 则 是 特 定 周 期 执 行 检 测 ， 两 次 检 测 间 隔 可 能 被 攻 击 者 利 用 。 5 、 、   实 例 实 例 作 为 本 章 的 最 后 ， 我 们 介 绍 一 个 实 际 的 大 数 据 安 全 在 内 部 威 胁 中 的 应 用 实 例 ， 以 供 大 家 参 考 。 如 检 测 内 部 人 团 伙 窃 取 信 息 行 为 ： 1 . 分 析 文 件 访 问 异 常 行 为 的 用 户 2 . 分 析 上 步 异 常 用 户 的 邮 件 联 系 人 图 ；   3 . 分 析 异 常 邮 件 关 系 图 中 所 有 用 户 的 文 件 行 为 ； 4 . 采 用 机 器 学 习 建 立 分 类 器 ， 多 人 、 多 终 端 家 呢 异 常 ； 5 . 关 联 多 类 异 常 ， 检 测 内 部 信 息 窃 取 攻 击 ； 内 部 威 胁 中 的 大 数 据 安 全 分 析 尚 未 形 成 统 一 的 理 论 ， 仍 处 于 “ 摸 着 石 头 过 河 ” 阶 段 。 6 、 小 结 、 小 结 本 篇 从 最 初 的 网 络 安 全 讲 起 ， 分 析 了 随 着 信 息 时 代 发 展 ， 网 络 防 御 方 所 面 临 的 挑 战 与 对 抗 安 全 威 胁 的 决 心 和 努 力 ， 随 着 大 数 据 平 台 技 术 与 分 析 技 术 的 成 熟 ， 终 于 大 数 据 安 全 分 析 应 用 逐 渐 成 为 了 现 实 。 本 文 的 基 本 脉 络 我 们 以 流 程 图 的 形 式 总 结 如 图 ８ ：
大 数 据 时 代 就 像 一 把 双 刃 剑 ， 一 方 面 带 了 了 新 的 安 全 威 胁 ， 如 大 数 据 时 代 下 的 隐 私 保 护 问 题 （ 图 1 0 - 个 人 隐 私 泄 露 风 险 ） ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:40 , Processed in 0.599226 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表