设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [20962] 2019-03-26_浅谈APT攻击
返回列表 发新帖
查看: 0|回复: 0

[20962] 2019-03-26_浅谈APT攻击

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-03-26_浅谈APT攻击 浅 谈 A P T 攻 击 L e m o n S e c   2 0 1 9 - 0 3 - 2 6 如 今 高 级 持 续 性 威 胁 （ A d v a n c e d   P e r s i s t e n t   T h r e a t ， A P T ） 已 成 为 人 尽 皆 知 的 “ 时 髦 术 语 ” 。 越 来 越 多 的 企 业 开 始 对 其 高 度 关 注 ， 政 府 部 门 也 面 临 着 遭 受 A P T 攻 击 的 危 险 ， 在 安 全 顾 问 的 每 一 篇 分 析 报 告 中 都 会 提 及 它 的 “ 大 名 ” 。 众 多 企 业 机 构 惨 遭 “ 不 测 ” 的 一 个 主 要 原 因 在 于 它 们 没 有 发 现 真 正 的 漏 洞 所 在 并 加 以 修 复 。 如 果 用 户 还 在 疲 于 应 对 三 年 前 的 威 胁 ， 毫 无 疑 问 ， 这 将 于 事 无 补 。 A P T 促 使 企 业 和 机 构 必 须 将 重 点 放 到 今 天 存 在 的 真 正 威 胁 上 。 题 主 并 不 是 A P T 专 家 ， 只 是 每 个 人 在 不 同 时 机 看 的 东 西 不 一 样 ， 只 想 在 此 之 际 ， 科 普 一 下 ， 分 享 一 些 想 法 ， 欢 迎 指 正 ， 批 评 。   高 持 续 性 威 胁 （ A P T ） 是 以 商 业 和 政 治 为 目 的 的 一 个 网 络 犯 罪 类 别 。 A P T 需 要 长 期 经 营 与 策 划 ， 并 具 备 高 度 的 隐 蔽 性 ， 才 可 能 取 得 成 功 。 这 种 攻 击 方 式 往 往 不 会 追 求 短 期 的 经 济 收 益 和 单 纯 的 系 统 破 坏 ， 而 是 专 注 于 步 步 为 营 的 系 统 入 侵 ， 每 一 步 都 要 达 到 一 个 目 标 ， 而 不 会 做 其 他 多 余 的 事 来 打 草 惊 蛇 。   整 个 a p t 攻 击 过 程 包 括 定 向 情 报 收 集 、 单 点 攻 击 突 破 、 控 制 通 道 构 建 、 内 部 横 向 渗 透 和 数 据 收 集 上 传 等 步 骤 ： 1 、 定 向 情 报 收 集 定 向 情 报 收 集 ， 即 攻 击 者 有 针 对 性 的 搜 集 特 定 组 织 的 网 络 系 统 和 员 工 信 息 。 信 息 搜 集 方 法 很 多 ， 包 括 网 络 隐 蔽 扫 描 和 社 会 工 程 学 方 法 等 。 2 、 单 点 攻 击 突 破 单 点 攻 击 突 破 ， 即 攻 击 者 收 集 了 足 够 的 信 息 后 ， 采 用 恶 意 代 码 攻 击 组 织 员 工 的 个 人 电 脑 ， 攻 击 方 法 包 括 ： 1 ) 社 会 工 程 学 方 法 ， 如 通 过 e m a i l 给 员 工 发 送 包 含 恶 意 代 码 的 文 件 附 件 ， 当 员 工 打 开 附 件 时 ， 员 工 电 脑 就 感 染 了 恶 意 代 码 ; 2 ) 远 程 漏 洞 攻 击 方 法 ， 比 如 在 员 工 经 常 访 问 的 网 站 上 放 置 网 页 木 马 ， 当 员 工 访 问 该 网 站 时 ， 就 遭 受 到 网 页 代 码 的 攻 击 ， r s a 公 司 去 年 发 现 的 水 坑 攻 击 ( w a t e r i n g h o l e ) 就 是 采 用 这 种 攻 击 方 法 。 3 、 控 制 通 道 构 建 控 制 通 道 构 建 ， 即 攻 击 者 控 制 了 员 工 个 人 电 脑 后 ， 需 要 构 建 某 种 渠 道 和 攻 击 者 取 得 联 系 ， 以 获 得 进 一 步 攻 击 指 令 。 攻 击 者 会 创 建 从 被 控 个 人 电 脑 到 攻 击 者 控 制 服 务 器 之 间 的 命 令 控 制 通 道 ， 这 个 命 令 控 制 通 道 目 前 多 采 用 h t t p 协 议 构 建 ， 以 便 突 破 组 织 的 防 火 墙 ， 比 较 高 级 的 命 令 控 制 通 道 则 采 用 h t t p s 协 议 构 建 。 4 、 内 部 横 向 渗 透 内 部 横 向 渗 透 ， 一 般 来 说 ， 攻 击 者 首 先 突 破 的 员 工 个 人 电 脑 并 不 是 攻 击 者 感 兴 趣 的 ， 它 感 兴 趣 的 是 组 织 内 部 其 它 包 含 重 要 资 产 的 服 务 器 ， 因 此 ， 攻 击 者 将 以 员 工 个 人 电 脑 为 跳 板 ， 在 系 统 内 部 进 行 横 向 渗 透 ， 以 攻 陷 更 多 的 p c 和 服 务 器 。 攻 击 者 采 取 的 横 向 渗 透 方 法 包 括 口 令 窃 听 和 漏 洞 攻 击 等 。 5 、 数 据 收 集 上 传 数 据 收 集 上 传 ， 即 攻 击 者 在 内 部 横 向 渗 透 和 长 期 潜 伏 过 程 中 ， 有 意 识 地 搜 集 各 服 务 器 上 的 重 要 数 据 资 产 ， 进 行 压 缩 、 加 密 和 打 包 ， 然 后 通 过 某 个 隐 蔽 的 数 据 通 道 将 数 据 传 回 给 攻 击 者 。 转 载 自 ： h t t p : / / n e t s e c u r i t y . 5 1 c t o . c o m / a r t / 2 0 1 4 0 6 / 4 4 3 3 3 2 . h t m   下 面 针 对 A P T 攻 击 流 程 以 及 事 前 、 事 中 和 事 后 的 防 御 体 系 分 开 来 说 。 事 前 ： 信 息 收 集 A P T 攻 击 前 的 信 息 收 集 。 信 息 收 集 是 A P T 攻 击 的 第 一 步 ， 攻 击 者 通 过 这 个 步 骤 确 定 其 目 标 以 及 攻 击 方 法 。 个 人 资 料 ： 人 是 最 薄 弱 的 环 节 个 人 资 料 ： 人 是 最 薄 弱 的 环 节 很 多 时 候 ， 导 致 企 业 受 到 攻 击 的 信 息 通 常 是 没 有 得 到 足 够 重 视 和 保 护 的 信 息 。 这 可 能 是 电 话 号 码 、 电 子 邮 件 目 录 表 、 文 档 中 的 元 数 据 ， 以 及 企 业 高 管 的 全 名 以 及 公 司 发 展 史 等 。 公 开 的 个 人 或 企 业 的 信 息 被 称 为 开 源 情 报 ( O S I N T ) ， 因 为 任 何 人 都 可 以 免 费 公 开 地 获 取 这 些 信 息 。 很 多 网 络 罪 犯 会 链 接 信 息 ， 即 整 合 很 多 小 数 据 直 到 获 得 完 整 信 息 。 黑 客 组 织 A n o n y m o u s 在 发 动 攻 击 前 ， 就 是 利 用 “ d o x ” 来 收 集 关 于 个 人 或 事 物 的 信 息 ， 这 些 “ d o x ” 就 是 信 息 链 。 然 而 ， 不 只 是 黑 客 和 犯 罪 分 子 ， 安 全 专 家 也 会 采 用 这 种 做 法 ， 包 括 执 法 机 构 。 这 些 向 公 众 提 供 的 信 息 包 括 ： 业 务 报 告 、 新 闻 报 道 、 企 业 网 站 、 社 交 媒 体 账 户 ( 个 人 和 专 业 ) 以 及 来 自 商 业 伙 伴 的 相 关 信 息 。 通 过 这 些 信 息 ， 攻 击 者 将 了 解 其 攻 击 目 标 以 及 原 因 ; 更 重 要 的 是 ， 他 们 将 知 道 如 何 攻 击 这 些 目 标 ， 而 不 需 要 进 行 额 外 的 背 景 研 究 。 谈 到 没 有 受 到 保 护 的 数 据 ， 让 我 们 先 看 看 元 数 据 。 元 数 据 ： 进 入 企 业 的 隐 藏 的 钥 匙 元 数 据 ： 进 入 企 业 的 隐 藏 的 钥 匙 在 这 里 ， 元 数 据 是 指 嵌 入 在 文 档 和 图 像 中 的 信 息 。 大 多 数 人 都 不 知 道 他 们 上 传 到 网 上 的 图 片 不 仅 包 含 图 像 拍 摄 位 置 ， 而 且 还 包 含 准 确 的 时 间 戳 ， 以 及 硬 件 信 息 。 对 于 文 档 ( 从 P D F 到 P P T ) 中 的 元 数 据 ， 攻 击 者 可 以 获 取 软 件 产 品 名 称 和 版 本 、 文 档 作 者 的 名 字 、 网 络 位 置 、 I P 地 址 等 。 了 解 元 数 据 是 很 重 要 的 ， 因 为 在 侦 察 阶 段 ， 攻 击 者 收 集 的 第 一 个 信 息 是 可 公 开 获 取 的 文 档 。 以 下 是 利 用 元 数 据 的 很 好 的 例 子 。 在 2 0 1 1 年 ， 有 人 代 表 A n o n y m o u s 上 传 了 1 . 2 G B   t o r r e n t 文 件 ， 让 很 多 人 相 信 美 国 商 会 、 美 国 立 法 交 流 委 员 会 ( A L E C ) 、 公 共 政 策 麦 基 诺 中 心 遭 受 了 数 据 泄 露 。 事 后 发 现 ， 这 些 机 构 的 文 档 并 没 有 被 偷 窃 ， 只 是 使 用 F O C A 收 集 的 文 档 信 息 。 F O C A 可 以 帮 助 企 业 发 现 元 数 据 ， 还 有 很 多 可 用 资 源 可 帮 助 企 业 管 理 和 删 除 元 数 据 。 技 术 信 息 ： 入 侵 基 础 设 施 技 术 信 息 ： 入 侵 基 础 设 施 如 前 所 述 ， 攻 击 者 能 够 知 道 目 标 企 业 使 用 的 软 件 类 型 ， 还 有 I P 地 址 、 w e b 服 务 器 规 格 ( 例 如 平 台 版 本 ) 、 虚 拟 主 机 信 息 以 及 硬 件 类 型 。 平 台 版 本 号 码 可 以 帮 助 员 工 找 出 存 在 的 漏 洞 ， 当 对 于 硬 件 ， 这 些 信 息 可 以 用 来 定 位 默 认 登 录 信 息 。 而 对 于 脚 本 和 网 站 开 发 ， 攻 击 者 可 以 被 动 扫 描 裸 机 漏 洞 、 跨 站 脚 本 、 S Q L 注 入 和 其 他 漏 洞 。 技 术 侦 查 的 另 一 种 途 径 是 供 应 链 。 有 时 候 最 好 的 办 法 就 是 简 单 的 列 出 信 息 ， 下 面 是 攻 击 者 在 侦 察 活 动 中 可 能 寻 找 的 信 息 ： O S I N T 数 据 ▍ 可 下 载 文 件 、 员 工 照 片 和 企 业 活 动 照 片 · 这 为 攻 击 者 提 供 了 直 接 的 信 息 以 及 收 集 元 数 据 的 机 会 ▍ 人 员 名 单 以 及 领 导 层 信 息 · 了 解 谁 是 谁 ， 并 建 立 企 业 内 部 的 关 系 ▍ 项 目 和 产 品 数 据 · 当 搜 索 攻 击 面 和 背 景 信 息 时 很 有 用 ▍ B 2 B 关 系 · 这 种 数 据 被 用 来 建 立 供 应 链 关 系 和 销 售 渠 道 以 便 之 后 漏 洞 利 用 ▍ 员 工 的 详 细 信 息 · 这 包 括 社 交 媒 体 的 个 人 和 公 共 数 据 ▍ 软 件 数 据 · 目 标 企 业 内 使 用 的 软 件 类 型 构 建 完 整 的 个 人 资 料 完 整 个 人 资 料 包 括 ： 全 名 、 地 址 ( 过 去 和 现 在 ) 、 电 话 号 码 ( 个 人 和 工 作 ) 、 出 生 日 期 、 社 会 安 全 号 码 、   I S P 的 数 据 ( I P 地 址 、 提 供 商 ) 、 用 户 名 、 密 码 、 公 共 记 录 数 据 ( 税 收 、 信 贷 历 史 、 法 律 记 录 ) 、 爱 好 、 最 喜 欢 的 餐 馆 、 电 影 、 书 籍 等 等 。 信 息 量 越 大 ， 攻 击 者 成 功 的 几 率 就 越 大 。 构 建 完 整 的 技 术 资 料
技 术 资 料 信 息 包 括 ： 网 络 地 图 、 从 元 数 据 获 取 的 技 术 详 细 信 息 、 I P 地 址 、 可 用 硬 件 和 软 件 信 息 、 操 作 系 统 详 细 信 息 、 平 台 开 发 数 据 和 验 证 措 施 。 攻 击 者 可 以 利 用 个 人 资 料 数 据 并 瞄 准 服 务 台 。 知 道 I D 是 如 何 创 建 的 可 以 帮 助 攻 击 者 了 解 电 子 邮 件 地 址 是 如 何 创 建 ， 更 方 便 地 进 行 钓 鱼 攻 击 、 猜 测 地 址 或 初 步 沟 通 。 攻 击 者 还 可 以 搜 寻 操 作 系 统 、 第 三 方 软 件 和 平 台 数 据 的 漏 洞 或 默 认 访 问 。 数 据 收 集 资 源 ： 在 侦 察 阶 段 ， 这 些 网 站 被 用 来 收 集 个 人 资 料 信 息 ， 每 个 新 信 息 都 会 给 攻 击 者 带 来 更 多 可 利 用 信 息 。 社 交 媒 体 信 息 会 提 供 名 字 和 图 片 。 G o o g l e   ( w w w . g o o g l e . c o m ) 个 人 / 企 业 搜 索 这 些 网 站 提 供 了 对 个 人 用 户 、 企 业 以 及 二 者 之 间 联 系 的 公 共 信 息 。 Z o o m   I n f o   ( w w w . z o o m i n f o . c o m ) P I P L   ( w w w . p i p l . c o m ) I n t e l i u s   ( w w w . i n t e l i u s . c o m ) M u c k e t y   ( w w w . m u c k e t y . c o m ) 其 他 搜 索 资 源 W e b   A r c h i v e   ( w w w . a r c h i v e . o r g ) G e o I P   ( w w w . g e o i p t o o l . c o m   ) R o b t e x   ( w w w . r o b t e x . c o m ) K n o w E m   ( w w w . k n o w e m . c o m ) I m a g e O p s   ( h t t p : / / i m g o p s . c o m ) S H O D A N   ( w w w . s h o d a n h q . c o m ) 整 理 收 集 的 数 据 在 侦 察 阶 段 整 理 所 有 收 集 到 的 各 种 信 息 ， 推 荐 的 工 具 是 M a l t e g o 。 M a l t e g o 是 一 个 O S I N T 工 具 ， 黑 客 、 执 法 机 构 和 安 全 专 家 使 用 它 来 管 理 信 息 链 。 它 提 供 对 数 据 的 可 视 化 概 览 ， 能 够 帮 助 整 理 用 户 、 组 织 、 机 构 、 网 络 信 息 之 间 的 关 联 。 常 见 工 具 和 软 件 对 于 在 侦 察 阶 段 攻 击 者 使 用 的 工 具 ， 通 常 很 容 易 获 得 且 易 于 操 作 ， 包 括 这 些 ： S Q L M a p   ( h t t p : / / s q l m a p . o r g ) B a c k T r a c k   L i n u x   ( h t t p : / / w w w . b a c k t r a c k - l i n u x . o r g ) M e t a s p l o i t   ( h t t p : / / m e t a s p l o i t . o r g ) 总 结 防 止 侦 察 几 乎 是 不 可 能 的 。 你 可 以 缓 解 一 些 攻 击 ， 但 互 联 网 本 身 的 性 质 意 味 着 信 息 会 以 这 种 或 那 种 形 式 存 在 ， 并 且 ， 最 终 将 被 攻 击 者 发 现 。 对 于 缓 解 措 施 ， 下 面 是 需 要 考 虑 的 事 情 。 事 前 防 御 解 决 方 案 监 控 日 志 记 录 和 分 析 应 用 程 序 中 异 常 下 载 流 量 高 峰 。 决 不 允 许 内 部 端 口 ( 内 网 ) 、 文 档 或 存 储 中 心 从 网 络 外 部 访 问 。 通 过 受 限 制 I P 或 企 业 V P N 以 及 A C L 政 策 管 理 对 这 些 资 源 的 访 问 。 此 外 ， 良 好 的 I A M ( 身 份 和 访 问 管 理 ) 也 可 以 作 为 不 错 的 防 御 。 启 用 多 因 素 身 份 验 证 ， 有 效 管 理 过 时 的 账 户 和 密 码 。 同 样 地 ， 监 控 网 络 中 的 I C M P 流 量 。 此 外 ， 观 察 对 网 络 子 网 的 扫 描 。 这 很 罕 见 ， 并 且 相 当 明 显 ， 但 这 确 实 会 发 生 。 对 看 似 随 意 的 端 口 进 行 检 查 。 对 于 O S I N T ， 另 一 个 防 御 技 术 是 限 制 公 开 显 示 的 信 息 量 ; 包 括 电 话 簿 、 员 工 名 单 、 过 于 具 体 的 人 员 和 领 导 介 绍 、 项 目 计 划 、 业 务 和 渠 道 合 作 伙 伴 以 及 客 户 名 单 。 虽 然 这 些 数 据 并 不 是 特 别 重 要 ， 但 这 些 数 据 可 以 提 供 广 泛 的 攻 击 面 。 如 前 所 述 ， 过 滤 元 数 据 也 是 关 键 的 缓 解 措 施 。 然 而 ， 对 这 些 数 据 的 限 制 需 要 通 过 风 险 评 估 来 确 定 ， 这 需 要 所 有 业 务 领 域 的 参 与 。 还 要 注 意 标 语 提 取 ， 这 是 攻 击 者 了 解 企 业 技 术 缓 解 常 用 的 易 于 使 用 的 技 术 。 在 攻 击 者 进 行 侦 查 后 ， 下 一 个 步 骤 将 是 武 器 化 和 交 付 。 本 系 列 的 第 二 部 分 将 研 究 这 个 方 面 以 及 解 决 办 法 。 转 载 自 ： h t t p : / / n e t s e c u r i t y . 5 1 c t o . c o m / a r t / 2 0 1 4 0 2 / 4 3 0 0 7 6 . h t m 事 前 ： 攻 击 时 的 武 器 与 手 段 我 们 将 继 续 介 绍 A P T 攻 击 时 使 用 的 武 器 和 手 段 ， 这 是 真 正 开 始 发 动 攻 击 的 阶 段 ， 也 是 攻 击 者 需 要 通 过 的 第 一 道 " 关 卡 " 。 一 般 的 攻 击 主 要 依 赖 于 数 量 ， 攻 击 者 会 成 百 上 千 次 的 发 送 相 同 的 链 接 或 是 恶 意 软 件 ， 在 大 多 数 情 况 下 ， 这 个 过 程 是 自 动 化 的 ， 攻 击 者 使 用 机 器 人 或 基 于 w e b 脚 本 来 推 动 攻 击 ， 如 果 攻 击 了 大 量 的 潜 在 受 害 者 ， 那 么 攻 击 者 可 能 获 得 已 经 获 得 了 一 半 的 成 功 。 而 A P T 攻 击 则 会 使 用 多 个 链 接 、 不 同 类 型 的 恶 意 软 件 ， 并 控 制 攻 击 量 ， 因 此 ， A P T 攻 击 很 难 被 传 统 的 安 全 防 御 手 段 所 发 现 。 在 建 立 有 效 载 荷 、 选 定 攻 击 目 标 后 ， 攻 击 者 需 要 开 始 传 送 恶 意 载 荷 到 目 标 ， 他 们 选 择 的 传 送 方 法 包 括 ： 1 .   路 过 式 下 载 攻 击 ：   这 种 传 送 方 法 让 攻 击 者 可 以 瞄 准 更 广 泛 的 受 害 者 。 这 是 一 般 犯 罪 的 常 用 方 法 ， 例 如 信 息 窃 取 恶 意 软 件 或 僵 尸 网 络 构 建 恶 意 软 件 。 犯 罪 工 具 包 是 典 型 的 传 送 工 具 ， 因 为 它 们 可 以 利 用 多 个 漏 洞 。 任 何 具 有 可 利 用 漏 洞 的 网 站 都 可 能 受 这 种 攻 击 的 影 响 。 请 记 住 ， S Q L 注 入 攻 击 可 用 于 访 问 存 储 数 据 ， 也 可 以 访 问 感 染 数 据 库 中 的 身 份 验 证 详 细 信 息 ， 进 一 步 推 动 攻 击 。 此 外 ， 跨 站 脚 本 和 文 件 包 含 漏 洞 将 让 攻 击 蔓 延 。 当 恶 意 代 码 注 入 到 网 站 ， 攻 击 者 只 需 要 等 待 受 害 者 。 在 文 件 包 含 漏 洞 的 情 况 下 ， 如 果 攻 击 者 获 取 对 w e b 服 务 器 本 身 的 控 制 ， 他 们 就 可 以 攻 击 其 他 区 域 以 及 服 务 器 上 的 数 据 。 注 意 ：   这 就 是 分 离 和 保 护 网 段 的 原 因 。 这 能 够 帮 助 降 低 数 据 泄 漏 期 间 连 带 效 应 的 风 险 。 如 果 对 一 个 区 域 的 访 问 允 许 访 问 所 有 其 他 区 域 ， 攻 击 者 的 工 作 就 变 得 更 加 容 易 了 。 2 .   水 坑 攻 击 ：   细 粒 度 水 坑 攻 击 不 同 于 一 般 攻 击 。 虽 然 整 个 攻 击 活 动 可 能 让 其 他 不 相 关 的 人 成 为 受 害 者 ， 攻 击 者 对 选 定 的 一 组 人 或 特 定 人 更 感 兴 趣 。 这 种 攻 击 的 目 标 可 能 是 开 发 人 员 、 Q A 、 I T 或 销 售 人 员 ， 因 为 这 些 人 更 可 能 使 用 论 坛 或 其 他 社 交 环 境 来 与 同 行 交 流 或 寻 求 协 助 。   S Q L 注 入 、 文 件 包 含 和 跨 站 脚 本 漏 洞 都 将 是 主 要 切 入 点 。 如 果 攻 击 者 可 以 控 制 直 接 绑 定 到 目 标 网 络 的 服 务 器 ， 那 么 ， 攻 击 员 工 就 成 为 了 次 要 目 标 。 3 .   网 络 钓 鱼 ( 一 般 ) ： 一 般 网 络 钓 鱼 攻 击 会 瞄 准 广 泛 受 害 者 。 攻 击 者 可 以 通 过 这 种 方 式 散 布 大 量 恶 意 软 件 ， 既 快 速 又 便 宜 ， 而 且 不 需 要 太 费 功 夫 。 如 果 潜 在 受 害 者 打 开 邮 件 附 件 ， 或 者 点 击 恶 意 链 接 ， 在 有 效 载 荷 安 装 后 ， 就 说 明 攻 击 成 功 了 。 网 络 钓 鱼 被 用 来 传 播 财 务 恶 意 软 件 ， 而 一 般 恶 意 软 件 被 用 来 窃 取 数 据 和 构 建 僵 尸 网 络 ， 而 这 又 被 用 来 发 送 更 多 的 垃 圾 邮 件 。 网 络 钓 鱼 活 动 中 使 用 的 电 子 邮 件 地 址 可 能 来 自 各 种 来 源 ， 包 括 在 侦 察 阶 段 收 集 的 数 据 ， 同 时 也 可 能 来 自 数 据 库 泄 漏 事 故 公 开 披 露 的 数 据 。 一 般 网 络 钓 鱼 的 目 的 是 玩 数 字 游 戏 ， 如 果 攻 击 者 发 送 恶 意 邮 件 到 1 0 0 万 地 址 ， 而 安 装 了 1 0 0 0 个 恶 意 软 件 ， 那 么 ， 这 将 被 视 为 一 个 巨 大 的 成 功 。 4 .   网 络 钓 鱼 ( 重 点 ) :   重 点 网 络 钓 鱼 攻 击 ， 或 者 说 鱼 叉 式 网 络 钓 鱼 ， 工 作 原 理 与 一 般 网 络 钓 鱼 攻 击 差 不 多 ， 只 是 潜 在 受 害 者 范 围 小 得 多 。 鱼 叉 式 钓 鱼 攻 击 很 适 合 于 攻 击 一 个 人 或 者 一 个 小 组 ， 因 为 在 侦 察 阶 段 收 集 的 数 据 能 说 服 受 害 者 做 一 些 操 作 ， 例 如 打 开 恶 意 附 件 或 点 击 链 接 。 鱼 叉 式 网 络 钓 鱼 活 动 很 难 被 发 现 ， 特 别 是 对 于 被 动 的 反 垃 圾 邮 件 技 术 。 鱼 叉 式 网 络 钓 鱼 获 得 成 功 是 因 为 ， 受 害 者 相 信 邮 件 中 包 含 的 信 息 ， 而 且 大 多 数 人 都 认 为 反 垃 圾 邮 件 保 护 会 抵 御 这 种 威 胁 。 总 结 将 A P T 攻 击 阻 止 在 萌 芽 时 期 很 关 键 ， 因 为 如 果 你 能 在 这 个 阶 段 阻 止 攻 击 ， 那 么 ， 战 斗 已 经 赢 了 。 然 而 ， 犯 罪 分 子 没 有 这 么 容 易 对 付 。 除 非 你 部 署 了 分 层 防 御 措 施 ， 完 全 阻 止 这 种 攻 击 ， 说 起 来 比 做 起 来 容 易 。 下 面 我 们 看 看 抵 御 攻 击 的 方 法 ： 事 前 防 御 解 决 方 案 入 侵 检 测 系 统 ( I D S ) 和 入 侵 防 御 系 统 ( I P S ) 是 很 好 的 保 护 层 。 然 而 ， 大 多 数 只 是 部 署 了 其 中 一 个 ， 而 没 有 都 部 署 ， 最 好 的 办 法 就 是 同 时 部 署 这 两 者 。 I D S 产 品 提 供 了 可 视 性 ， 但 只 有 当 数 据 泄 漏 事 故 发 生 后 才 有 效 。 如 果 企 业 能 够 即 时 对 I D S 警 报 采 取 行 动 ， 损 失 和 损 害 可 以 得 到 缓 解 。 在 另 一 方 面 ， I P S 产 品 能 够 有 效 发 现 和 识 别 已 知 攻 击 ， 但 缺 乏 可 视 性 。 这 两 个 解 决 方 案 的 缺 点 是 它 们 所 依 赖 的 签 名 。 如 果 没 有 更 新 签 名 ， 你 可 能 无 法 检 测 攻 击 者 部 署 的 最 新 攻 击 技 术 。 反 病 毒 保 护 通 常 能 够 检 测 很 多 漏 洞 利 用 工 具 包 安 装 的 恶 意 软 件 。 但 单 靠 A V 签 名 并 没 什 么 用 ， 所 有 A V 产 品 都 需 要 依 赖 于 签 名 保 护 。 虽 然 A V 供 应 商 提 供 各 种 保 护 ， 包 括 白 名 单 和 基 于 主 机 的 I D S ， 但 这 些 功 能 需 要 启 用 和 使 用 。 垃 圾 邮 件 过 滤 也 是 检 测 和 阻 止 大 部 分 攻 击 必 不 可 少 的 方 法 ， 但 企 业 不 能 只 依 赖 反 垃 圾 邮 件 保 护 。 它 们 很 容 易 出 现 误 报 ， 无 法 阻 挡 一 切 攻 击 ， 特 别 是 当 攻 击 者 伪 装 成 白 名 单 中 的 域 名 时 。 补 丁 管 理 是 另 一 个 关 键 保 护 层 ， 因 为 它 能 够 应 对 攻 击 者 最 强 的 工 具 之 一 — 漏 洞 利 用 工 具 包 。 然 而 ， 修 复 操 作 系 统 并 不 够 ， 还 需 要 定 期 修 复 第 三 方 软 件 。 最 后 ， 还 需 要 安 全 意 识 培 训 。 企 业 应 该 对 用 户 进 行 培 训 来 抵 御 最 明 显 的 威 胁 ， 包 括 网 络 钓 鱼 攻 击 。 安 全 意 识 培 训 是 持 续 的 举 措 ， 能 够 直 接 解 决 企 业 面 临 的 风 险 。
转 载 自 ： h t t p : / / s a f e . i t 1 6 8 . c o m / a 2 0 1 4 / 0 2 2 0 / 1 5 9 4 / 0 0 0 0 0 1 5 9 4 8 6 5 . s h t m l 事 中 ： 攻 击 时 的 漏 洞 利 用 在 这 个 阶 段 情 况 已 经 急 转 直 下 ， 因 为 攻 击 者 已 经 成 功 交 付 其 恶 意 有 效 载 荷 。 毫 无 疑 问 ， 如 果 让 攻 击 者 已 经 顺 利 进 展 到 了 这 个 阶 段 ， 问 题 已 经 很 严 重 了 ， 但 是 你 仍 然 有 机 会 。 现 在 ， 攻 击 者 已 经 传 送 了 附 有 恶 意 附 件 的 电 子 邮 件 ， 如 果 成 功 的 话 ， 攻 击 者 将 能 够 利 用 你 企 业 使 用 的 软 件 中 的 漏 洞 。 而 如 果 漏 洞 利 用 成 功 的 话 ， 你 的 系 统 将 受 到 感 染 。 然 而 ， 攻 击 者 在 攻 破 你 的 防 御 后 ， 可 能 会 制 造 一 些 动 静 。 如 果 是 这 样 ， 关 于 他 们 攻 击 方 法 和 攻 击 类 型 的 证 据 可 能 位 于 网 络 或 系 统 日 志 中 。 另 外 ， 你 的 各 种 安 全 事 件 监 控 器 中 可 能 包 含 攻 击 的 证 据 。 如 果 攻 击 者 的 漏 洞 利 用 没 有 被 发 现 ， 你 的 胜 算 就 会 变 的 更 小 。 据 2 0 1 3 年 V e r i z o n 数 据 泄 漏 调 查 显 示 ， 6 6 % 的 数 据 泄 漏 保 持 几 个 月 甚 至 更 长 时 间 都 未 被 发 现 。 即 使 泄 漏 事 故 被 发 现 ， 也 主 要 是 因 为 无 关 的 第 三 方 曝 光 。 在 漏 洞 利 用 后 ， 攻 击 者 需 要 建 立 一 个 立 足 点 ， 也 就 是 安 装 ， 也 就 大 多 数 端 点 保 护 的 关 注 点 。 攻 击 者 通 常 是 通 过 在 感 染 主 机 上 安 装 额 外 的 工 具 来 获 得 立 足 点 。 攻 击 者 可 能 从 初 始 切 入 点 进 入 网 络 中 的 其 他 系 统 或 服 务 器 。 这 种 支 点 攻 击 ( P i v o t i n g ) 能 够 帮 助 攻 击 者 完 成 其 总 体 目 标 ， 并 确 保 他 们 不 被 发 现 。 通 常 情 况 下 ， 支 点 攻 击 的 成 功 是 因 为 对 网 络 政 策 的 漏 洞 利 用 ， 让 攻 击 者 能 够 直 接 访 问 一 些 系 统 ， 这 样 ， 他 们 就 不 需 要 利 用 另 一 个 漏 洞 或 恶 意 软 件 。 事 件 响 应 计 划 主 要 用 来 攻 击 者 活 动 的 安 装 阶 段 。 因 为 防 御 措 施 已 经 失 败 ， 所 以 响 应 是 唯 一 的 选 择 了 。 然 而 ， 只 有 在 检 测 到 攻 击 ， 才 可 能 进 行 事 件 响 应 。 假 设 漏 洞 利 用 阶 段 没 有 被 检 测 到 ， 而 攻 击 者 成 功 安 装 恶 意 软 件 后 ， 该 怎 么 办 ? 如 果 你 幸 运 的 话 ， 你 可 以 检 测 到 一 些 攻 击 的 证 据 ， 并 利 用 它 们 来 推 动 事 件 响 应 过 程 。 企 业 经 常 忽 视 感 染 指 标 企 业 经 常 忽 视 感 染 指 标 ( I n d i c a t o r s   o f C o m p r o m i s e ， ， I O C ) ， 因 为 它 们 通 常 隐 藏 在 海 量 日 志 记 录 数 据 中 。 没 有 人 有 时 间 读 取 数 百 或 数 千 条 数 据 ， 这 也 是 ， 因 为 它 们 通 常 隐 藏 在 海 量 日 志 记 录 数 据 中 。 没 有 人 有 时 间 读 取 数 百 或 数 千 条 数 据 ， 这 也 是 为 什 么 经 常 需 要 几 个 星 期 或 几 个 月 检 测 到 数 据 泄 漏 事 故 的 原 因 。 为 什 么 经 常 需 要 几 个 星 期 或 几 个 月 检 测 到 数 据 泄 漏 事 故 的 原 因 。 假 设 攻 击 者 瞄 准 一 名 员 工 ， 并 攻 击 了 企 业 系 统 ， 为 了 检 测 到 这 种 攻 击 ， 关 键 是 寻 找 异 常 情 况 ， 寻 找 似 乎 格 格 不 入 的 东 西 。 另 一 个 例 子 是 寻 找 随 机 的 意 想 不 到 的 D N S 请 求 。 攻 击 者 往 往 会 回 调 以 利 用 其 他 工 具 ， 或 者 他 们 的 有 效 载 荷 会 发 出 外 部 请 求 。 （ 1 ） 将 D N S 请 求 与 已 知 恶 意 服 务 器 、 名 声 不 好 的 I P 地 址 列 表 进 行 匹 配 ， 这 样 做 通 常 能 够 检 测 到 攻 击 ， 因 为 漏 洞 利 用 阶 段 是 攻 击 者 可 能 制 造 动 静 的 时 期 。 那 么 ， 对 于 水 坑 攻 击 呢 ? 什 么 算 是 很 好 的 I O C 呢 ? 这 也 将 需 要 读 取 大 量 日 志 数 据 ， 但 （ 2 ） 如 果 W e b 服 务 器 日 志 充 斥 着 5 0 0 错 误 、 权 限 错 误 或 路 径 错 误 ， 问 题 就 严 重 了 。 因 为 这 可 能 意 味 着 S Q L 注 入 和 跨 站 脚 本 攻 击 等 。 （ 3 ） 或 者 ， 5 0 0 错 误 也 可 能 是 良 性 的 。 但 当 它 们 与 数 据 库 错 误 同 时 出 现 ， 或 者 来 自 单 个 应 用 程 序 或 资 源 ， 则 可 能 意 味 着 攻 击 。 （ 4 ） 同 样 地 ， 观 察 4 0 4 错 误 ， 看 看 这 些 错 误 是 如 何 被 触 发 。 在 很 多 情 况 下 ， w e b 漏 洞 扫 描 仪 或 探 测 应 用 程 序 的 机 器 人 触 发 了 这 些 事 件 。 最 后 ， （ 5 ） 如 果 你 发 现 s h e l l 脚 本 ( 例 如 r 5 7 或 c 9 9 ) ， 通 常 是 因 为 你 已 经 注 意 到 了 日 志 中 的 随 机 G E T 或 P O S T 请 求 ， 这 是 很 明 显 的 I O C 。 事 实 上 ， w e b 服 务 器 上 的 s h e l l 是 最 糟 糕 的 发 现 ， 表 明 已 经 出 现 数 据 泄 漏 。 因 为 s h e l l 意 味 着 攻 击 者 已 经 控 制 着 一 切 。   事 中 防 御 解 决 方 案 在 缓 解 措 施 方 面 ， 很 多 签 名 提 到 的 保 护 层 仍 然 适 用 。 事 实 上 ， 其 中 一 些 保 护 层 很 适 合 于 漏 洞 利 用 阶 段 。 例 如 ， （ 1 ） 数 据 执 行 保 护 ( D E P ) 可 以 很 好 地 防 止 恶 意 软 件 在 被 感 染 主 机 上 运 行 。 虽 然 攻 击 者 可 能 能 够 传 送 恶 意 软 件 ， 当 受 害 者 尝 试 执 行 它 时 ， D E P 将 会 阻 止 它 。 然 而 ， 还 有 大 量 恶 意 软 件 变 种 和 软 件 漏 洞 利 用 会 瞄 准 D E P ， 所 以 你 不 能 仅 仅 依 靠 这 种 保 护 。 （ 2 ） 白 名 单 是 另 一 个 很 好 的 缓 解 措 施 ， 但 这 种 办 法 有 可 能 拦 截 合 法 ( 白 名 单 ) 应 用 程 序 ， 也 就 是 说 ， 白 名 单 也 不 能 作 为 防 止 漏 洞 利 用 的 唯 一 来 源 。 （ 3 ） 反 病 毒 控 制 ( 例 如 针 对 I P 地 址 和 软 件 的 声 誉 检 查 ) 是 很 好 的 防 御 措 施 ， 因 为 大 多 数 A V 软 件 提 供 行 为 检 测 。 但 A V 并 不 是 完 美 的 解 决 方 案 ， 如 果 漏 洞 利 用 阶 段 使 用 了 未 知 的 东 西 ， A V 可 能 会 完 全 没 用 。 基 于 主 机 的 I D S 同 样 是 如 此 ， 但 如 果 没 有 部 署 这 些 技 术 ， 情 况 会 更 糟 。 最 后 ， （ 4 ） 对 操 作 系 统 和 第 三 方 程 序 保 持 软 件 更 新 和 补 丁 修 复 ， 能 够 很 好 地 防 止 漏 洞 利 用 ， （ 5 ） 并 且 能 够 控 制 权 限 。 最 小 特 权 原 则 是 I T 内 经 常 忽 视 的 工 具 ， 但 这 是 个 很 好 的 工 具 。 这 些 缓 解 措 施 的 重 点 是 ， 它 们 都 不 能 完 全 阻 止 漏 洞 利 用 和 安 装 阶 段 ， 但 如 果 结 合 使 用 ， 防 止 严 重 攻 击 的 几 率 将 会 增 加 。 转 载 自 ： h t t p : / / n e t s e c u r i t y . 5 1 c t o . c o m / a r t / 2 0 1 4 0 2 / 4 3 0 2 9 7 . h t m 事 中 : 攻 击 时 的 命 令 和 控 制 在 这 个 阶 段 ， 攻 击 者 已 经 侵 入 了 你 的 网 络 ， 并 将 开 始 进 行 最 后 的 攻 击 活 动 ， 这 个 阶 段 通 常 被 称 为 C 2 。 攻 击 者 已 经 完 成 了 侦 察 、 武 器 化 和 传 送 以 及 漏 洞 利 用 和 安 装 阶 段 。 C 2 阶 段 主 要 是 关 于 通 信 ， 但 要 记 住 ， C 2 阶 段 并 不 包 括 数 据 传 输 。 C 2 阶 段 是 建 立 通 信 通 道 ， 允 许 攻 击 者 与 外 部 沟 通 。 被 动 攻 击 是 自 动 化 的 。 自 动 化 可 以 帮 助 攻 击 者 实 现 攻 击 量 ， 因 为 几 乎 不 需 要 交 互 。 然 而 ， 这 种 自 动 化 意 味 着 他 们 可 能 被 发 现 。 当 企 业 内 5 0 个 系 统 与 相 同 未 知 主 机 通 信 ， 可 能 会 被 注 意 到 。 有 针 对 性 的 攻 击 则 更 具 体 ， 几 乎 没 有 自 动 化 。 攻 击 者 将 会 发 出 命 令 ， 并 使 用 特 定 的 工 具 。 有 针 对 性 攻 击 的 所 有 活 动 都 是 有 目 的 的 ， 并 会 努 力 逃 避 侦 察 ， 尽 量 保 持 低 调 。 当 你 的 企 业 沦 为 被 动 攻 击 受 害 者 ， 攻 击 者 使 用 的 自 动 化 工 具 无 法 逃 避 现 有 安 全 控 制 和 缓 解 措 施 的 检 测 ， 因 为 它 们 制 造 了 太 多 动 静 。 因 此 ， 企 业 应 该 尽 快 阻 止 这 种 攻 击 。 需 要 注 意 的 是 ， 被 动 攻 击 采 用 自 动 化 方 式 是 因 为 ， 这 些 攻 击 活 动 背 后 的 操 作 者 更 侧 重 攻 击 量 ， 而 不 是 控 制 。 如 果 他 们 的 恶 意 软 件 或 其 他 有 效 载 荷 被 发 现 和 阻 止 ， 这 并 没 什 么 大 不 了 ， 他 们 可 以 马 上 转 移 到 其 他 受 害 者 。 然 而 ， 如 果 企 业 沦 为 有 针 对 性 攻 击 的 受 害 者 ， 这 意 味 着 攻 击 者 将 会 在 企 业 内 找 到 立 足 点 ， 并 会 绕 开 安 全 控 制 或 禁 止 安 全 控 制 来 避 免 被 发 现 。 （ 1 ） 此 外 ， 攻 击 者 还 会 试 图 建 立 后 门 程 序 到 其 他 系 统 ， 创 建 更 多 切 入 点 ， 以 防 其 中 一 个 切 入 点 被 发 现 。 因 此 ， 在 企 业 的 事 件 响 应 计 划 中 ， 一 个 很 好 的 经 验 法 则 是 ， 如 果 你 看 到 一 个 后 门 程 序 ， 这 意 味 着 还 潜 伏 着 其 他 后 门 程 序 。 “ 坚 实 的 ” C 2 是 指 攻 击 者 可 以 动 态 调 整 其 程 序 ， 增 加 事 件 响 应 者 手 动 检 测 的 难 度 ， 甚 至 不 可 能 。 这 也 是 数 据 泄 漏 事 故 很 长 时 间 才 被 发 现 的 原 因 。 攻 击 者 往 往 会 回 调 以 获 取 额 外 的 工 具 ， 或 使 用 有 效 载 荷 发 出 外 部 请 求 。 这 些 感 染 指 标 能 够 清 楚 地 揭 示 C 2 活 动 ， 因 为 与 正 常 网 络 流 量 相 比 ， 这 些 有 些 异 常 。 因 此 ， （ 2 ） 企 业 应 该 对 比 D N S 请 求 和 已 知 恶 意 服 务 器 列 表 ， 或 者 过 滤 有 着 不 良 声 誉 的 I P 地 址 ， 以 应 对 这 种 类 型 的 流 量 。 在 漏 洞 利 用 和 安 装 阶 段 后 ， C 2 阶 段 是 攻 击 者 少 数 制 造 动 静 的 时 期 。 然 而 ， 当 这 些 流 量 被 自 动 化 检 测 标 记 时 ， 则 表 明 是 被 动 攻 击 。 这 样 想 ， 如 果 攻 击 活 动 背 后 的 操 作 者 在 使 用 C 2 通 道 或 者 从 已 知 恶 意 来 源 下 载 有 效 载 荷 ， 你 的 企 业 可 能 是 攻 击 者 的 目 标 之 一 。 在 另 一 方 面 ， 有 针 对 性 攻 击 活 动 背 后 的 操 作 者 会 谨 慎 避 免 被 检 测 。 他 们 会 将 C 2 流 量 隐 藏 在 正 常 通 信 通 道 内 。 事 中 防 御 解 决 方 案 在 C 2 建 立 后 ， 攻 击 者 就 成 功 了 一 半 。 一 般 被 动 攻 击 是 自 动 化 的 ， 动 静 很 大 ， 并 且 会 立 即 发 动 攻 击 ， 而 有 针 对 性 攻 击 则 会 潜 伏 数 天 、 数 周 甚 至 数 月 。 因 此 ， （ 3 ） 在 C 2 阶 段 ， 流 量 监 控 是 关 键 防 御 措 施 。 如 果 能 够 结 合 前 面 提 到 的 防 御 措 施 ， 你 就 建 立 了 一 个 强 有 力 的 分 层 保 护 。 （ 4 ） 只 要 正 确 配 置 和 维 护 ( 包 括 定 期 更 新 ) ， I P S 和 I D S 系 统 可 作 为 第 一 层 防 御 。 然 后 ， （ 5 ） 企 业 需 要 A C L 规 则 来 通 过 防 火 墙 限 制 入 站 和 出 站 连 接 。 然 而 ， 还 需 要 限 制 防 火 墙 规 则 中 例 外 的 数 量 ， 并 且 需 要 对 这 些 例 外 进 行 密 切 检 测 ， 或 者 在 不 需 要 时 撤 销 。 在 有 针 对 性 攻 击 期 间 ， 你 的 安 全 规 则 和 政 策 可 能 被 用 来 针 对 你 ， 特 别 是 当 它 们 过 时 或 不 受 监 管 时 。 最 后 ， （ 6 ） 企 业 应 该 监 控 网 络 上 流 量 的 移 动 情 况 ， 更 重 要 的 是 ， 监 控 移 动 到 外 部 的 流 量 。 同 时 ， （ 7 ） 关 注 红 色 标 记 的 事 件 ， 例 如 修 改 H T T P 表 头 ， 以 及 到 未 知 I P 地 址 或 域 名 的 连 接 。 （ 8 ） 加 密 流 量 是 被 动 攻 击 和 有 针 对 性 攻 击 活 动 使 用 的 常 用 技 巧 ， 在 这 种 情 况 下 ， C 2 可 能 更 难 被 发 现 ， 但 也 不 是 没 有 可 能 。 （ 9 ） 你 可 以 查 找 自 签 名 证 书 和 未 经 批 准 或 非 标 准 加 密 使 用 。 转 载 自 ： h t t p : / / s a f e . i t 1 6 8 . c o m / a 2 0 1 4 / 0 2 2 6 / 1 5 9 6 / 0 0 0 0 0 1 5 9 6 8 9 2 . s h t m l 事 后 ： 攻 击 后 期 的 数 据 渗 出 在 这 个 阶 段 ， 也 是 A P T 攻 击 的 最 后 阶 段 ， 如 果 A P T 攻 击 活 动 还 没 有 被 阻 止 ， 那 么 数 据 很 可 能 即 将 被 泄 漏 出 去 。 数 据 渗 出 是 A P T 攻 击 的 最 后 一 步 ， 如 果 攻 击 者 完 成 这 一 步 ， 你 企 业 将 面 临 巨 大 损 失 。 在 目 标 数 据 被 确 定 后 ， 这 些 数 据 将 被 复 制 并 通 过 C 2 通 道 移 出 网 络 ， 或 者 可 能 被 复 制 到 网 络 中 的 另 一 区 域 ， 然 后 再 被 移 出 。 从 这 一 点 来 看 ， 企 业 应 该 容 易 发 现 被 动 攻 击 和 有 针 对 性 攻 击 。 被 动 攻 击 动 静 很 大 ， 分 层 防 御 措 施 很 容 易 发 现 这 种 攻 击 。 另 一 方 面 ， 有 针 对 性 攻 击 完 全 相 反 。 有 针 对 性 攻 击 活 动 背 后 的 攻 击 者 会 尽 可 能 保 持 低 调 ， 所 以 不 可 能 出 现 大 规 模 数 据 转 储 。 在 有 针 对 性 攻 击 中 ， 我 们 会 看 到 数 据 伪 装 成 正 常 流 量 通 过 C 2 通 道 离 开 网 络 。 在 前 面 C 2 中 ， 我 们 谈 到 了 攻 击 通 常 会 利 用 有 着 不 良 声 誉 的 通 信 信 道 。 对 于 每 个 感 染 的 主 机 ， 攻 击 者 会 使 用 了 相 同 的 容 易 识 别 的 通 道 。
这 种 攻 击 会 将 数 据 渗 出 到 其 他 国 家 的 数 据 中 心 的 服 务 器 ， 当 地 法 律 可 能 没 有 禁 止 这 种 数 据 使 用 。 在 这 些 情 况 下 ， 你 不 要 指 望 I S P 提 供 帮 助 。 所 以 ， 如 果 你 不 阻 止 数 据 离 开 网 络 ， 即 使 你 发 现 数 据 的 渗 出 ， 这 种 信 息 从 法 律 上 看 也 没 多 大 用 处 。 有 针 对 性 攻 击 会 攻 击 合 法 服 务 器 来 存 储 数 据 。 在 很 多 情 况 下 ， 受 感 染 的 服 务 器 管 理 员 可 能 不 知 道 他 们 正 在 托 管 不 属 于 自 己 的 数 据 ， 而 当 他 们 意 识 到 有 什 么 不 对 劲 时 ， 攻 击 者 已 经 早 已 离 去 。 事 后 防 御 解 决 方 案 在 渗 出 阶 段 ， 最 好 的 防 御 措 施 就 是 感 知 。 你 需 要 知 道 哪 些 数 据 进 出 你 的 网 络 ， 监 控 出 站 流 量 和 入 站 流 量 都 很 重 要 。 D L P 解 决 方 案 也 可 以 用 于 应 对 渗 出 阶 段 。 如 果 配 置 得 到 ， D L P 产 品 可 以 帮 助 监 控 网 络 流 量 ， 并 控 制 流 量 。 它 们 能 够 发 现 未 经 授 权 的 加 密 ， 被 动 和 有 针 对 性 攻 击 会 利 用 加 密 来 隐 藏 通 信 。 还 能 够 发 现 异 常 流 量 模 式 。 另 外 ， 监 控 用 户 账 户 活 动 也 可 以 作 为 防 御 措 施 ， 有 些 合 法 账 户 可 能 出 现 异 常 活 动 。 在 C 2 阶 段 使 用 的 防 御 措 施 同 样 可 用 于 渗 出 阶 段 ， 包 括 根 据 I P 地 址 、 I P S 和 I D S 系 统 ( 可 以 调 整 为 监 控 所 有 阶 段 的 活 动 ) 以 及 应 用 防 火 墙 规 则 ( 控 制 哪 些 程 序 允 许 发 送 流 量 到 外 部 ) 阻 止 访 问 。 这 些 规 则 还 可 以 应 用 到 工 作 站 或 网 段 。 假 设 你 捕 捉 到 渗 出 过 程 ， 日 志 记 录 将 成 为 事 件 响 应 的 关 键 资 源 ， 因 为 日 志 能 够 确 定 发 生 了 什 么 、 如 何 发 生 等 。 通 常 情 况 下 ， 在 被 动 或 有 针 对 性 攻 击 中 ， 确 定 攻 击 者 是 很 重 要 的 ， 但 实 际 上 这 是 不 可 能 的 ， 这 个 问 题 我 们 主 要 是 靠 猜 测 而 不 是 事 实 。 无 论 采 用 何 种 防 御 措 施 ， 最 好 的 办 法 是 在 事 故 发 生 前 阻 止 事 故 。 这 正 是 澳 大 利 亚 信 号 理 事 会 ( A S D ) 的 主 要 工 作 ， 其 网 络 不 断 有 攻 击 者 试 图 访 问 敏 感 信 息 。 A S D 采 用 了 四 种 防 御 措 施 ， 并 指 定 它 们 作 为 其 网 络 的 强 制 性 要 求 。 这 四 个 强 制 性 措 施 包 括 ： 1 .   应 用 程 序 白 名 单 2 .   第 三 方 软 件 补 丁 管 理 3 .   操 作 系 统 补 丁 管 理 4 .   权 限 管 理 ( 限 制 使 用 域 或 本 地 管 理 员 权 限 的 用 户 数 量 ) 在 本 系 列 文 章 的 开 始 ， 我 们 探 讨 了 有 针 对 性 攻 击 和 被 动 攻 击 的 目 的 的 区 别 ， 以 及 这 些 攻 击 者 的 总 体 目 标 。 工 具 、 战 略 和 程 序 并 不 重 要 。 你 的 企 业 更 有 可 能 成 为 机 会 攻 击 的 受 害 者 ， 而 不 是 受 民 族 国 际 资 助 的 有 针 对 性 攻 击 的 受 害 者 。 应 对 这 两 种 攻 击 的 最 好 办 法 就 是 分 层 防 御 。 感 知 和 可 视 性 是 快 速 反 应 以 及 减 少 损 失 的 关 键 。 虽 然 持 续 性 攻 击 活 动 最 终 会 成 功 ， 但 我 们 可 以 提 高 攻 击 者 的 难 度 ， 以 及 减 少 损 失 。 关 键 是 要 权 衡 风 险 ， 制 定 符 合 企 业 需 求 的 安 全 计 划 ， 不 要 恐 惧 A P T 。 转 载 自 ： h t t p : / / n e t s e c u r i t y . 5 1 c t o . c o m / a r t / 2 0 1 4 0 2 / 4 3 0 6 0 4 . h t m   遭 受 A P T s 攻 击 的 五 个 信 号 与 传 统 网 络 攻 击 相 比 ， 黑 客 所 发 动 的 A P T s （ 高 级 持 续 性 威 胁 ） 是 一 个 新 兴 的 攻 击 类 型 。 A P T s 会 给 企 业 和 网 络 带 来 持 续 不 断 的 威 胁 ， 能 够 发 动 A P T s 攻 击 的 黑 客 ， 往 往 是 一 个 有 着 良 好 纪 律 性 的 组 织 ， 作 为 一 个 专 业 团 队 集 中 进 行 网 络 活 动 。 通 常 情 况 下 ， 他 们 将 宝 贵 的 知 识 产 权 、 机 密 的 项 目 说 明 、 合 同 与 专 利 信 息 作 为 窃 取 目 标 。 发 动 A P T 的 黑 客 在 一 般 情 况 下 所 使 用 的 方 法 便 是 用 网 络 钓 鱼 邮 件 或 其 他 的 技 巧 来 欺 骗 用 户 下 载 恶 意 软 件 。 但 其 最 终 目 的 往 往 是 极 其 核 心 的 信 息 。 因 为 A P T 黑 客 与 普 通 黑 客 所 用 的 技 术 不 同 ， 所 以 他 们 会 留 下 不 同 的 痕 迹 。 在 过 去 的 十 年 里 ， 我 发 现 了 若 是 出 现 下 列 5 种 信 号 的 话 ， 你 的 企 业 很 有 可 能 已 经 遭 到 了 A P T s 攻 击 。 在 一 个 企 业 中 ， 每 个 业 务 都 有 一 个 固 定 的 、 合 法 的 活 动 频 率 ， 若 其 活 动 频 率 突 然 发 生 异 变 ， 说 不 定 这 部 分 业 务 正 在 被 A P T 所 利 用 。 A P T 信 号   N O . 1 ： 在 晚 上 ， 日 志 登 录 信 息 的 暴 增 A P T s 首 先 会 攻 陷 一 台 电 脑 ， 然 后 会 迅 速 接 管 整 个 网 络 大 环 境 。 通 过 读 取 数 据 库 的 身 份 认 证 ， 窃 取 证 书 并 反 复 利 用 这 些 权 限 ， 从 而 达 到 接 管 整 个 网 络 的 目 的 。 他 们 了 解 哪 些 用 户 （ 或 者 服 务 ） 账 户 拥 有 更 高 的 权 限 ， 有 了 这 些 特 权 ， 他 们 就 可 以 游 走 于 网 络 各 方 ， 危 及 企 业 的 资 产 。 因 为 攻 击 者 的 生 活 时 差 与 我 们 相 反 ， 所 以 通 常 情 况 下 ， 日 志 中 大 量 的 登 录 与 注 销 记 录 的 爆 发 都 会 发 生 在 夜 里 。 如 果 你 突 然 发 现 日 志 的 登 录 注 销 记 录 突 然 大 量 出 现 ， 而 该 时 间 段 里 ， 这 些 员 工 应 该 是 在 家 休 息 的 ， 那 么 你 就 需 要 警 惕 了 ！ A P T 信 号   N O . 2 ： 广 泛 的 后 门 木 马 A P T 黑 客 经 常 在 开 发 环 境 中 在 被 感 染 的 电 脑 里 面 装 上 后 门 木 马 。 他 们 这 样 做 是 为 了 能 够 确 保 随 时 可 以 回 来 ， 即 便 是 捕 获 的 日 志 认 证 发 生 了 改 变 ， 他 们 也 能 够 通 过 此 后 门 得 到 线 索 与 信 息 。 另 一 个 相 关 的 特 征 ： 一 旦 行 踪 暴 露 ， A P T 黑 客 不 会 像 普 通 攻 击 者 那 样 马 上 逃 走 擦 净 痕 迹 ， 为 什 么 会 如 此 呢 ？ 他 们 在 企 业 中 操 控 了 计 算 机 等 相 关 设 备 ， 而 且 只 要 他 们 本 人 不 坦 白 ， 即 使 是 走 了 法 律 流 程 ， 这 些 潜 在 的 威 胁 也 很 难 被 发 现 。 这 段 时 间 以 来 ， 大 多 数 被 部 署 了 木 马 的 企 业 ， 均 是 被 社 会 工 程 学 的 攻 击 手 段 钻 了 空 子 。 这 种 攻 击 手 段 相 当 普 遍 ， 它 们 使 A P T 攻 击 的 成 功 率 提 高 了 不 少 。 A P T 信 号   N O . 3 ： 意 想 不 到 的 信 息 流 动 我 能 想 到 的 ， 检 测 A P T 活 动 的 最 好 方 法 是 ： 看 到 大 量 意 想 不 到 的 数 据 流 从 内 部 计 算 机 向 外 部 流 动 。 有 可 能 是 从 服 务 器 流 向 服 务 器 ， 也 有 可 能 是 从 服 务 器 流 向 客 户 端 或 是 从 网 络 移 动 到 网 络 。 这 些 数 据 流 可 能 是 有 限 的 ， 但 是 却 具 备 非 常 强 的 针 对 性 。 比 如 会 有 些 人 专 门 收 取 一 些 国 外 发 来 的 邮 件 。 我 希 望 每 个 邮 件 客 户 端 都 能 够 显 示 最 新 的 用 户 登 录 地 点 以 及 最 后 访 问 的 登 录 地 点 。 G m a i l 和 其 他 一 些 云 电 子 邮 件 系 统 已 经 能 够 实 现 这 一 点 。 当 然 ， 为 了 更 准 确 地 判 断 A P T 攻 击 ， 你 必 须 能 够 从 数 据 流 中 判 断 是 否 存 有 异 常 ， 那 么 现 在 就 开 始 了 解 你 的 数 据 流 基 准 信 息 吧 。 A P T 信 号   N O . 4 ： 发 现 意 外 的 大 数 据 包 A P T s 攻 击 通 常 将 窃 取 的 信 息 在 内 部 进 行 整 合 ， 然 后 再 传 输 到 外 部 。 如 果 发 现 大 块 数 据 （ 这 里 指 的 是 千 兆 字 节 的 数 据 ） 出 现 在 不 该 出 现 的 地 方 ， 特 别 是 那 种 在 企 业 内 部 不 常 出 现 的 压 缩 格 式 ， 或 是 不 需 要 压 缩 的 文 件 。 发 现 这 些 数 据 后 ， 你 千 万 需 要 小 心 了 。 A P T 信 号   N O . 5 ： 检 测 哈 希 传 递 （ p a s s - t h e - h a s h ） 黑 客 工 具 虽 然 A P T s 攻 击 中 不 是 总 是 使 用 哈 希 值 传 递 工 具 ， 这 个 工 具 却 会 经 常 弹 出 。 奇 怪 的 是 ， 黑 客 使 用 这 个 工 具 后 ， 往 往 会 忘 记 将 其 删 除 。 如 果 你 发 现 了 一 个 孤 零 零 的 哈 希 工 具 挂 在 那 里 ， 那 他 们 肯 定 是 有 一 点 慌 张 了 ， 或 许 至 少 可 以 证 明 他 们 确 实 是 有 所 动 作 ， 你 应 该 进 一 步 深 入 调 查 。 如 果 非 要 让 我 总 结 出 A P T 攻 击 的 第 6 个 信 号 的 话 ， 那 么 我 将 会 强 烈 反 对 企 业 使 用 变 态 的 A d o b e   A c r o b a t   P D F 文 件 ， 因 为 它 是 引 起 鱼 叉 式 网 络 钓 鱼 活 动 的 重 点 。 它 是 诱 发 A P T 攻 击 的 根 源 ， 我 并 没 有 将 其 写 进 上 面 5 个 信 号 中 ， 因 为 A d o b e   A c r o b a t 在 任 何 地 方 都 会 被 利 用 上 。 但 是 ， 如 果 你 发 现 了 一 个 鱼 叉 式 网 络 钓 鱼 攻 击 ， 尤 其 是 在 一 些 高 管 不 慎 点 击 了 附 加 P D F 文 件 后 ， 你 一 定 要 开 始 着 手 寻 找 其 他 的 攻 击 特 征 。 这 很 可 能 是 A P T 攻 击 的 前 奏 。 话 虽 如 此 ， 但 我 希 望 你 永 远 不 需 要 面 对 A P T 攻 击 ， 它 是 你 和 你 的 企 业 最 难 以 做 到 的 事 情 之 一 。 预 防 和 早 期 检 测 将 会 减 轻 你 的 痛 苦 与 压 力 。 转 载 自 ： h t t p : / / n e t s e c u r i t y . 5 1 c t o . c o m / a r t / 2 0 1 2 1 1 / 3 6 3 0 4 0 . h t m 那 些 应 对 A P T 攻 击 的 最 新 技 术 网 络 安 全 ， 尤 其 是 I n t e r n e t 互 联 网 安 全 正 在 面 临 前 所 未 有 的 挑 战 ， 这 主 要 就 是 来 自 于 有 组 织 、 有 特 定 目 标 、 持 续 时 间 极 长 的 新 型 攻 击 和 威 胁 ， 国 际 上 有 的 称 之 为 A P T ( A d v a n c e d   P e r s i s t e n t   T h r e a t ， 高 级 持 续 性 威 胁 ) 攻 击 ， 或 者 称 之 为 “ 针 对 特 定 目 标 的 攻 击 ” 。 这 些 攻 击 统 称 为 新 型 威 胁 。 新 型 威 胁 的 综 合 分 析 新 型 威 胁 的 综 合 分 析 A P T 攻 击 主 要 呈 现 以 下 技 术 特 点 ： 1 、   攻 击 者 的 诱 骗 手 段 往 往 采 用 恶 意 网 站 ， 用 钓 鱼 的 方 式 诱 使 目 标 上 钩 。 而 企 业 和 组 织 目 前 的 安 全 防 御 体 系 中 对 于 恶 意 网 站 的 识 别 能 力 还 不 够 ， 缺 乏 权 威 、 全 面 的 恶 意 网 址 库 ， 对 于 内 部 员 工 访 问 恶 意 网 站 的 行 为 无 法 及 时 发 现 ; 2 、   攻 击 者 也 经 常 采 用 恶 意 邮 件 的 方 式 攻 击 受 害 者 ， 并 且 这 些 邮 件 都 被 包 装 成 合 法 的 发 件 人 。 而 企 业 和 组 织 现 有 的 邮 件 过 滤 系 统 大 部 分 就 是 基 于 垃 圾 邮 件 地 址 库 的 ， 显 然 ， 这 些 合 法 邮 件 不 在 其 列 。 再 者 ， 邮 件 附 件 中 隐 含 的 恶 意 代 码 往 往 都 是 0 d a y 漏 洞 ， 传 统 的 邮 件 内 容 分 析 也 难 以 奏 效 ; 3 、   还 有 一 些 攻 击 是 直 接 通 过 对 目 标 公 网 网 站 的 S Q L 注 入 方 式 实 现 的 。 很 多 企 业 和 组 织 的 网 站 在 防 范 S Q L 注 入 攻 击 方 面 缺 乏 防 范 ; 4 、   初 始 的 网 络 渗 透 往 往 使 用 利 用 0 d a y 漏 洞 的 恶 意 代 码 ， 而 企 业 和 组 织 目 前 的 安 全 防 御 / 检 测 设 备 无 法 识 别 这 些 0 d a y 漏 洞 攻 击 ; 5 、   在 攻 击 者 控 制 受 害 机 器 的 过 程 中 ， 往 往 使 用 S S L 连 接 ， 导 致 现 有 的 大 部 分 内 容 检 测 系 统 无 法 分 析 传 输 的 内 容 ， 同 时 也 缺 乏 对 于 可 疑 连 接 的 分 析 能 力 ; 6 、   攻 击 者 在 持 续 不 断 获 取 受 害 企 业 和 组 织 网 络 中 的 重 要 数 据 的 时 候 ， 一 定 会 向 外 部 传 输 数 据 ， 这 些 数 据 往 往 都 是 压 缩 、 加 密 的 ， 没 有 明 显 的 指 纹 特 征 ， 这 导 致 现 有 绝 大 部 分 基 于 特 征 库 匹 配 的 检 测 系 统 都 失 效 了 ; 7 、   还 有 的 企 业 部 署 了 内 网 审 计 系 统 、 日 志 分 析 系 统 ， 甚 至 是 安 管 平 台 ， 但 是 这 些 更 高 级 的 系 统 主 要 是 从 内 控 与 合 规 的 角 度 来 分 析 事 件 ， 而 没 有 真 正 形 成 对 外 部 入 侵 的 综 合 分 析 。 由 于 知 识 库 的 缺 乏 ， 客 户 无 法 从 多 个 角 度 综 合 分 析 安 全 事 件 ， 无 法 从 攻 击 行 为 的 角 度 进 行 整 合 ， 发 现 攻 击 路 径 。 因 此 ， 在 A P T 这 样 的 新 型 威 胁 面 前 ， 大 部 分 企 业 和 组 织 的 安 全 防 御 体 系 都 失 灵 了 。 保 障 网 络 安 全 亟 需 全 新 的 思 路 和 技 术 。 新 型 威 胁 的 最 新 技 术 发 展 动 向 新 型 威 胁 自 身 也 在 不 断 发 展 进 化 ， 以 适 应 新 的 安 全 监 测 、 检 测 与 防 御 技 术 带 来 的 挑 战 。 以 下 简 要 分 析 新 型 威 胁 采 取 的 一 些 新 技 术 。
精 准 钓 鱼 。 精 准 钓 鱼 是 一 种 精 确 制 导 的 钓 鱼 式 攻 击 ， 比 普 通 的 定 向 钓 鱼 ( s p e a r p h i s h i n g ) 更 聚 焦 ， 只 有 在 被 攻 击 者 名 单 中 的 人 才 会 看 到 这 个 钓 鱼 网 页 ， 其 他 人 看 到 的 则 是 4 0 4   e r r o r 。 也 就 是 说 ， 如 果 你 不 在 名 单 之 列 ， 看 不 到 钓 鱼 网 页 。 如 此 一 来 ， 一 方 面 攻 击 的 精 准 度 更 高 ， 另 一 方 面 也 更 加 保 密 ， 安 全 专 家 更 难 进 行 追 踪 。 高 级 隐 遁 技 术 。 高 级 隐 遁 技 术 是 一 种 通 过 伪 装 和 / 或 修 饰 网 络 攻 击 以 躲 避 信 息 安 全 系 统 的 检 测 和 阻 止 的 手 段 。 高 级 隐 遁 技 术 是 一 系 列 规 避 安 全 检 测 的 技 术 的 统 称 ， 可 以 分 为 网 络 隐 遁 和 主 机 隐 遁 ， 而 网 络 隐 遁 又 包 括 协 议 组 合 、 字 符 变 换 、 通 讯 加 密 、 0 d a y 漏 洞 利 用 等 技 术 。 沙 箱 逃 避 。 新 型 的 恶 意 代 码 设 计 越 来 越 精 巧 ， 想 方 设 法 逃 避 沙 箱 技 术 的 检 测 。 例 如 有 的 恶 意 代 码 只 有 在 用 户 鼠 标 移 动 的 时 候 才 会 被 执 行 ， 从 而 使 得 很 多 自 动 化 执 行 的 沙 箱 没 法 检 测 到 可 疑 行 为 。 有 的 恶 意 代 码 会 设 法 欺 骗 虚 拟 机 ， 以 逃 避 用 虚 拟 机 方 式 来 执 行 的 沙 箱 。 新 型 威 胁 的 应 对 之 策 一 、 总 体 思 路 2 0 1 2 年 8 月 ， R S A 发 布 了 著 名 的 报 告 — — 《 当 A P T 成 为 主 流 》 。 报 告 提 及 了 现 在 组 织 和 企 业 中 现 有 的 安 全 防 护 体 系 存 在 一 些 缺 陷 ， 导 致 很 难 识 别 A P T 攻 击 。 现 有 的 防 护 体 系 包 括 F W 、 A V 、 I D S / I P S 、 S I E M / S O C 、 C E R T 和 组 织 结 构 ， 以 及 工 作 流 程 等 等 都 存 在 不 足 。 报 告 指 出 ， 应 对 A P T 需 要 采 取 一 种 与 以 往 不 同 的 信 息 安 全 策 略 及 方 法 。 该 方 法 更 加 注 重 对 核 心 资 产 的 保 护 ， 以 数 据 为 中 心 ， 从 检 测 威 胁 的 角 度 去 分 析 日 志 ， 注 重 攻 击 模 式 的 发 现 和 描 述 ， 从 情 报 分 析 的 高 度 来 分 析 威 胁 。 报 告 提 出 了 7 条 建 议 ： 1 、   进 行 高 级 情 报 收 集 与 分 析 。 让 情 报 成 为 战 略 的 基 石 。 2 、   建 立 智 能 监 测 机 制 。 知 道 要 寻 找 什 么 ， 并 建 立 信 息 安 全 与 网 络 监 控 机 制 ， 以 寻 找 所 要 寻 找 之 物 。 3 、   重 新 分 配 访 问 控 制 权 。 控 制 特 权 用 户 的 访 问 。 4 、   认 真 开 展 有 实 效 的 用 户 培 训 。 培 训 用 户 以 识 别 社 会 工 程 攻 击 ， 并 迫 使 用 户 承 担 保 证 企 业 信 息 安 全 的 个 人 责 任 。 5 、   管 理 高 管 预 期 。 确 保 最 高 管 理 层 认 识 到 ， 抗 击 高 级 持 续 性 攻 击 的 本 质 是 与 数 字 军 备 竞 赛 战 斗 。 6 、   重 新 设 计 I T 架 构 。 从 扁 平 式 网 络 转 变 为 分 隔 式 网 络 ， 使 攻 击 者 难 以 在 网 络 中 四 处 游 荡 ， 从 而 难 以 发 现 最 宝 贵 的 信 息 。 7 、   参 与 情 报 交 换 。 分 享 信 息 安 全 威 胁 情 报 ， 利 用 其 他 企 业 积 累 的 知 识 。 V e r i z o n 发 布 的 《 2 0 1 3 年 数 据 破 坏 调 查 报 告 》 中 则 更 加 简 明 扼 要 的 概 括 了 应 对 A P T 的 最 高 原 则 — — 知 己 ， 更 要 知 彼 ， 强 调 真 正 的 主 动 安 全 是 料 敌 先 机 ， 核 心 就 是 对 安 全 威 胁 情 报 的 分 析 与 分 享 。 二 、 技 术 手 段 分 析 从 具 体 的 技 术 层 面 来 说 ， 为 了 应 对 A P T 攻 击 ， 新 的 技 术 也 是 层 出 不 穷 。 从 监 测 和 检 测 的 角 度 ， 为 了 识 别 A P T ， 可 以 从 A P T 攻 击 的 各 个 环 节 进 行 突 破 ， 任 一 环 节 能 够 识 别 即 可 断 开 整 个 链 条 。 根 据 A P T 攻 击 过 程 ， 我 们 可 以 从 防 范 钓 鱼 攻 击 、 识 别 邮 件 中 的 恶 意 代 码 、 识 别 主 机 上 的 恶 意 代 码 、 识 别 僵 尸 网 络 ( C & C ) 通 讯 、 监 测 网 络 数 据 渗 出 等 多 个 环 节 入 手 。 而 不 论 从 哪 个 环 节 入 手 ， 都 主 要 涉 及 以 下 几 类 新 型 技 术 手 段 ： 基 于 沙 箱 的 恶 意 代 码 检 测 技 术 。 要 检 测 恶 意 代 码 ， 最 具 挑 战 性 的 就 是 利 用 0 d a y 漏 洞 的 恶 意 代 码 。 因 为 是 0 d a y ， 就 意 味 着 没 有 特 征 ， 传 统 的 恶 意 代 码 检 测 技 术 就 此 失 效 。 沙 箱 技 术 通 俗 的 讲 就 是 构 造 一 个 模 拟 的 执 行 环 境 ， 让 可 疑 文 件 在 这 个 模 拟 环 境 中 运 行 起 来 ， 通 过 可 疑 文 件 触 发 的 外 在 行 为 来 判 定 是 否 是 恶 意 代 码 。 沙 箱 技 术 的 模 拟 环 境 可 以 是 真 实 的 模 拟 环 境 ， 也 可 以 是 一 个 虚 拟 的 模 拟 环 境 。 而 虚 拟 的 模 拟 环 境 可 以 通 过 虚 拟 机 技 术 来 构 建 ， 或 者 通 过 一 个 特 制 程 序 来 虚 拟 。 基 于 异 常 的 流 量 检 测 技 术 。 传 统 的 I D S 都 是 基 于 特 征 ( 签 名 ) 的 技 术 去 进 行 D P I 分 析 ， 有 的 也 用 到 了 一 些 简 单 D F I 分 析 技 术 。 面 对 新 型 威 胁 ， D F I 技 术 的 应 用 需 要 进 一 步 深 化 。 基 于 F l o w ， 出 现 了 一 种 基 于 异 常 的 流 量 检 测 技 术 ， 通 过 建 立 流 量 行 为 轮 廓 和 学 习 模 型 来 识 别 流 量 异 常 ， 进 而 识 别 0 d a y 攻 击 、 C & C 通 讯 ， 以 及 信 息 渗 出 。 本 质 上 ， 这 是 一 种 基 于 统 计 学 和 机 器 学 习 的 技 术 。 全 包 捕 获 与 分 析 技 术 。 应 对 A P T 攻 击 ， 需 要 做 好 最 坏 的 打 算 。 万 一 没 有 识 别 出 攻 击 并 遭 受 了 损 失 了 怎 么 办 ? 对 于 某 些 情 况 ， 我 们 需 要 全 包 捕 获 及 分 析 技 术 ( F P I ) 。 借 助 天 量 的 存 储 空 间 和 大 数 据 分 析 ( B D A ) 方 法 ， F P I 能 够 抓 取 网 络 中 的 特 定 场 合 下 的 全 量 数 据 报 文 并 存 储 起 来 ， 进 行 历 史 分 析 或 者 准 实 时 分 析 。 通 过 内 建 的 高 效 索 引 机 制 及 相 关 算 法 ， 协 助 分 析 师 剖 丝 抽 茧 ， 定 位 问 题 。 信 誉 技 术 。 信 誉 技 术 早 已 存 在 ， 在 面 对 新 型 威 胁 的 时 候 ， 它 可 以 助 其 他 检 测 技 术 一 臂 之 力 。 无 论 是 W E B   U R L 信 誉 库 、 文 件 M D 5 码 库 、 僵 尸 网 络 地 址 库 ， 还 是 威 胁 情 报 库 ， 都 是 检 测 新 型 威 胁 的 有 力 武 器 。 而 信 誉 技 术 的 关 键 在 于 信 誉 库 的 构 建 ， 这 需 要 一 个 强 有 力 的 技 术 团 队 来 维 护 。 综 合 分 析 技 术 。 所 谓 综 合 分 析 ， 就 是 在 前 述 所 有 技 术 之 上 的 ， 并 且 涵 盖 传 统 检 测 技 术 之 上 的 ， 一 个 横 向 贯 穿 的 分 析 。 我 们 已 经 知 道 A P T 攻 击 是 一 个 过 程 ， 是 一 个 组 合 ， 如 果 能 够 将 A P T 攻 击 最 多 环 节 的 信 息 综 合 到 一 起 ， 有 助 于 确 认 一 个 A P T 攻 击 行 为 。 综 合 分 析 技 术 要 能 够 从 零 散 的 攻 击 事 件 背 后 透 视 出 真 正 的 持 续 攻 击 行 为 ， 包 括 组 合 攻 击 检 测 技 术 、 大 时 间 跨 度 的 攻 击 行 为 分 析 技 术 、 态 势 分 析 技 术 、 情 境 分 析 技 术 ， 等 等 。 人 的 技 能 。 最 后 ， 要 实 现 对 新 型 攻 击 的 防 范 ， 除 了 上 述 新 的 监 测 / 检 测 技 术 之 外 ， 还 需 要 依 靠 强 有 力 的 专 业 分 析 服 务 做 支 撑 ， 通 过 专 家 团 队 和 他 们 的 最 佳 实 践 ， 不 断 充 实 安 全 知 识 库 ， 进 行 即 时 的 可 疑 代 码 分 析 、 渗 透 测 试 、 漏 洞 验 证 ， 等 等 。 安 全 专 家 的 技 能 永 远 是 任 何 技 术 都 无 法 完 全 替 代 的 。   a p t 检 测 和 防 御 方 案 分 类 检 测 和 防 御 方 案 分 类 纵 观 整 个 a p t 攻 击 过 程 发 现 ， 有 几 个 步 骤 是 a p t 攻 击 实 施 的 关 键 ， 包 括 攻 击 者 通 过 恶 意 代 码 对 员 工 个 人 电 脑 进 行 单 点 攻 击 突 破 、 攻 击 者 的 内 部 横 向 渗 透 、 通 过 构 建 的 控 制 通 道 获 取 攻 击 者 指 令 ， 以 及 最 后 的 敏 感 数 据 外 传 等 过 程 。 当 前 的 a p t 攻 击 检 测 和 防 御 方 案 其 实 都 是 围 绕 这 些 步 骤 展 开 。 我 们 把 本 届 r s a 大 会 上 收 集 到 的 a p t 检 测 和 防 御 方 案 进 行 了 整 理 ， 根 据 它 们 所 覆 盖 的 a p t 攻 击 阶 段 不 同 ， 将 它 们 分 为 以 下 四 类 ： 1 、 恶 意 代 码 检 测 类 方 案 ： 该 类 方 案 主 要 覆 盖 a p t 攻 击 过 程 中 的 单 点 攻 击 突 破 阶 段 ， 它 是 检 测 它 是 检 测 a p t 攻 击 过 程 中 的 恶 意 代 码 传 播 过 程 。 攻 击 过 程 中 的 恶 意 代 码 传 播 过 程 。 大 多 数 a p t 攻 击 都 是 通 过 恶 意 代 码 来 攻 击 员 工 个 人 电 脑 ， 从 而 来 突 破 目 标 网 络 和 系 统 防 御 措 施 的 ， 因 此 ， 恶 意 代 码 检 测 对 于 检 测 和 防 御 a p t 攻 击 至 关 重 要 。 2 、 主 机 应 用 保 护 类 方 案 ： 该 类 方 案 主 要 覆 盖 a p t 攻 击 过 程 中 的 单 点 攻 击 突 破 和 数 据 收 集 上 传 阶 段 单 点 攻 击 突 破 和 数 据 收 集 上 传 阶 段 。 不 管 攻 击 者 通 过 何 种 渠 道 向 员 工 个 人 电 脑 发 送 恶 意 代 码 ， 这 个 恶 意 代 码 必 须 在 员 这 个 恶 意 代 码 必 须 在 员 工 个 人 电 脑 上 执 行 才 能 控 制 整 个 电 脑 。 工 个 人 电 脑 上 执 行 才 能 控 制 整 个 电 脑 。 因 此 ， 如 果 能 够 加 强 系 统 内 各 主 机 节 点 的 安 全 措 施 ， 确 保 员 工 个 人 电 脑 以 及 服 务 器 的 安 全 ， 则 可 以 有 效 防 御 a p t 攻 击 。 3 、 网 络 入 侵 检 测 类 方 案 ： 该 类 方 案 主 要 覆 盖 a p t 攻 击 过 程 中 的 控 制 通 道 构 建 阶 段 ， 通 过 在 网 络 边 界 处 部 署 入 侵 检 测 系 统 来 检 测 通 过 在 网 络 边 界 处 部 署 入 侵 检 测 系 统 来 检 测 a p t 攻 击 的 命 令 和 控 制 通 道 攻 击 的 命 令 和 控 制 通 道 。 安 全 分 析 人 员 发 现 ， 虽 然 a p t 攻 击 所 使 用 的 恶 意 代 码 变 种 多 且 升 级 频 繁 ， 但 恶 意 代 码 所 构 建 的 命 令 控 制 通 道 通 信 模 式 并 不 经 常 变 化 ， 因 此 ， 可 以 采 用 传 统 入 侵 检 测 方 法 来 检 测 可 以 采 用 传 统 入 侵 检 测 方 法 来 检 测 a p t 的 命 令 控 的 命 令 控 制 通 道 。 制 通 道 。 该 类 方 案 成 功 的 关 键 是 如 何 及 时 获 取 到 各 a p t 攻 击 手 法 的 命 令 控 制 通 道 的 检 测 特 征 。 4 、 大 数 据 分 析 检 测 类 方 案 ： 该 类 方 案 并 不 重 点 检 测 a p t 攻 击 中 的 某 个 步 骤 ， 它 覆 盖 了 整 个 它 覆 盖 了 整 个 a p t 攻 击 过 程 攻 击 过 程 。 该 类 方 案 是 一 种 网 络 取 证 思 路 ， 它 全 面 采 集 各 网 络 设 备 的 原 始 流 量 以 及 各 终 端 它 全 面 采 集 各 网 络 设 备 的 原 始 流 量 以 及 各 终 端 和 服 务 器 上 的 日 志 ， 然 后 进 行 集 中 的 海 量 数 据 存 储 和 深 入 分 析 ， 它 可 在 发 现 和 服 务 器 上 的 日 志 ， 然 后 进 行 集 中 的 海 量 数 据 存 储 和 深 入 分 析 ， 它 可 在 发 现 a p t 攻 击 的 一 点 蛛 丝 马 迹 后 ， 通 过 全 面 分 析 这 些 海 量 数 据 来 还 原 整 个 攻 击 的 一 点 蛛 丝 马 迹 后 ， 通 过 全 面 分 析 这 些 海 量 数 据 来 还 原 整 个 a p t 攻 击 攻 击 场 景 场 景 。 大 数 据 分 析 检 测 方 案 因 为 涉 及 海 量 数 据 处 理 ， 因 此 需 要 构 建 大 数 据 存 储 和 分 析 平 台 ， 比 较 典 型 的 大 数 据 分 析 平 台 有 需 要 构 建 大 数 据 存 储 和 分 析 平 台 ， 比 较 典 型 的 大 数 据 分 析 平 台 有 h a d o o p         转 载 自 ： h t t p : / / w w w . y o u x i a . o r g / 2 0 1 3 / 1 1 / 9 9 4 6 . h t m l
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:22 , Processed in 0.303198 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表