搜索

[12009] 2017-11-15_从思科AMP看端点威胁检测与响应市场WitAwards2017“年度创新产品”参评巡礼

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2017-11-15_从思科AMP看端点威胁检测与响应市场WitAwards2017“年度创新产品”参评巡礼 从 思 科 A M P 看 端 点 威 胁 检 测 与 响 应 市 场   |   W i t A w a r d s   2 0 1 7 “ 年 度 创 新 产 品 ” 参 评 巡 礼 欧 阳 洋 葱   F r e e B u f   2 0 1 7 - 1 1 - 1 5 *   W i t A d w a r d s   2 0 1 7 互 联 网 安 全 年 度 评 选 「 大 众 投 票 」 已 于 互 联 网 安 全 年 度 评 选 「 大 众 投 票 」 已 于 1 1 月 月 1 日 正 式 开 启 ， 欢 迎 准 时 登 陆 官 网 投 票 ！ 日 正 式 开 启 ， 欢 迎 准 时 登 陆 官 网 投 票 ！ 我 们 去 年 分 析   C a r b o n   B l a c k   这 家 公 司 的 时 候 ， 基 本 上 已 经 把 “ 端 点 安 全 ” （ 或 称 终 端 安 全 ） 的 不 同 形 态 说 得 比 较 清 楚 了 。 就 现 在 看 来 ， 已 经 没 有 人 认 为 “ E P P （ 端 点 防 护 平 台 ） ” 只 是 “ A V （ 反 病 毒 ） ” 产 品 的 一 个 营 销 花 样 。 不 过 端 点 安 全 领 域 的 营 销 词 汇 依 然 有 不 少 ， 一 般 用 户 看 了 大 概 都 会 眼 花 缭 乱 ， 比 如 说   N G A V （ 新 一 代 反 病 毒 ） — — 不 同 厂 商 和 机 构 对   N G A V   的 定 义 都 存 在 差 别 。 但 绝 大 部 分 营 销 词 汇 我 们 是 可 以 忽 略 的 ， 但 有 两 个 词 不 行 ： 就 是   E P P   和   E D R 。 那 篇 文 章 中 ， 我 们 就 谈 到 了   E D R （ 端 点 威 胁 检 测 与 响 应 ） 的 概 念 ： C a r b o n   B l a c k   很 早 期 就 提 过 这 个 概 念 ， 并 且 还 得 到 了   G a r t n e r   的 认 可 ， 成 为 现 如 今 端 点 安 全 产 品 的 一 个 重 要 类 别 。 从 这 个 词 本 身 看 来 ， 其 特 征 在 于 对 端 点 安 全   D e t e c t i o n （ 检 测 ） 和   R e s p o n s e （ 响 应 ） 的 注 重 ， 而 不 再 只 是 传 统   E P P   时 代 的   P r e v e n t i o n （ 预 防 ） 。 本 届   W I T   评 选 中 的 一 个 大 热 门 ， 来 自 思 科 的   A M P （ A d v a n c e d   M a l w a r e   P r o t e c t i o n ， 高 级 恶 意 软 件 防 护 ） f o r   E n d p o i n t ， 按 照   G a r t n e r   的 分 类 主 要 从 属 于   E D R   类 别 。 不 过 思 科 将 其 称 作 “ 新 一 代 端 点 安 全 （ N e x t - g e n e r a t i o n   e n d p o i n t   s e c u r i t y ） ” 产 品 — — 从 我 们 的 理 解 来 看 ， 这 应 该 是 指 思 科   A M P   不 仅 包 含   E D R   的 主 要 特 性 。 但 G a r t n e r   在 今 年   6   月 撰 写 的 一 篇 《 T h e   E v o l v i n g   E f f e c t i v e n e s s   o f   E n d p o i n t   P r o t e c t i o n   S o l u t i o n s （ 端 点 防 护 解 决 方 案 的 有 效 性 进 化 ） 》 文 章 中 认 为 ， 厂 商 普 遍 喜 欢 用 “ 新 一 代 ” 这 个 词 汇 来 装 点 自 己 ， “ 不 要 用 ‘ 新 一 代 ’ 这 类 词 汇 ， 现 在 并 不 存 在 新 一 代 解 决 方 案 ， 也 没 有 新 一 代 攻 击 和 新 一 代 供 应 商 ” 。 [ 1 ] 不 过 这 篇   p a p e r   给 予 了 思 科   A M P   较 高 的 评 价 ， 并 且 细 数 这 一 领 域 的 供 应 商 ， 在 三 大 主 要 领 域 的 能 力 ： 减 少 攻 击 面 、 端 点 防 护 执 行 前 的 技 术 ， 执 行 后 的 技 术 。 对 于 想 要 在 端 点 安 全 解 决 方 案 方 面 有 所 投 入 的 企 业 组 织 而 言 是 有 价 值 的 。 我 们 这 次 期 望 借 由 这 篇 针 对 思 科 我 们 这 次 期 望 借 由 这 篇 针 对 思 科   A M P   f o r   E n d p o i n t   的 解 读 ， 来 谈 一 谈 的 解 读 ， 来 谈 一 谈   E D R   类 别 产 品 的 实 质 ， 以 及 当 代 端 点 安 类 别 产 品 的 实 质 ， 以 及 当 代 端 点 安 全 防 护 产 品 应 该 具 备 什 么 样 的 素 质 ： 恰 巧 全 防 护 产 品 应 该 具 备 什 么 样 的 素 质 ： 恰 巧   A M P   就 是 这 类 产 品 大 而 全 的 一 个 典 型 代 表 ， 更 何 况 是 在 思 科 这 种 有 就 是 这 类 产 品 大 而 全 的 一 个 典 型 代 表 ， 更 何 况 是 在 思 科 这 种 有
网 络 设 备 基 础 ， 以 及 企 业 安 全 防 护 全 面 部 署 的 厂 商 这 里 。 网 络 设 备 基 础 ， 以 及 企 业 安 全 防 护 全 面 部 署 的 厂 商 这 里 。 E P P   是 什 么 ？ 是 否 即 将 被 取 代 ？ 是 什 么 ？ 是 否 即 将 被 取 代 ？ 这 里 需 要 指 出 的 是 ， 思 科   A M P   并 非 仅 针 对 终 端 设 备 部 署 的 产 品 ， 我 们 在 早 前 分 析 思 科 新 一 代 防 火 墙 产 品 时 就 提 到 过 ， 思 科 现 如 今 的 防 火 墙 就 融 入 了   A M P   特 性 ； 与 此 同 时 ， A M P   也 面 向 思 科 的 网 络 （ I P S ） 、 w e b 、 邮 件 等 各 种 类 别 的 安 全 产 品 （ 思 科 的   A M P   E v e r y w h e r e ） 。 但   W I T   评 选 以 及 本 文 只 针 对   A M P   f o r   E n d p o i n t ， 也 就 是 部 署 在 端 点 之 上 的   A M P 。 首 先 我 们 有 必 要 理 一 理 究 竟 什 么 是   E D R ， 以 及 什 么 是   E P P — — E P P   是 当 前 有 着 广 泛 认 可 度 的 端 点 安 全 防 护 产 品 ， 但 由 于 当 前 攻 击 方 式 愈 加 复 杂 暴 露 了 更 多 传 统   E P P   解 决 方 案 的 局 限 性 ， E D R   才 开 始 出 现 。 理 解 这 两 者 的 概 念 ， 也 便 于 我 们 理 解   A M P   究 竟 在 端 点 安 全 防 护 中 处 在 何 种 位 置 。 思 科 更 倾 向 于 将   E P P   这 类 产 品 等 同 于   A V [ 2 ] ， 实 际 上 早 年 传 统 的   E P P   解 决 方 案 的 确 和   A V   存 在 诸 多 相 似 性 。 G a r t n e r   对 于   E P P   的 定 义 是 这 样 的 ： E P P （ 端 点 防 护 平 台 ） 是 个 将 端 点 设 备 安 全 功 能 汇 聚 到 一 台 设 备 的 解 决 方 案 ， 这 台 设 备 将 反 病 毒 、 反 间 谍 程 序 、 个 人 防 火 墙 、 应 用 控 制 和 其 他 类 型 主 机 入 侵 预 防 （ 如 行 为 阻 止 ） 能 力 融 合 为 单 一 、 结 合 的 解 决 方 案 。 更 多 高 级   E P P   解 决 方 案 开 始 融 入 漏 洞 、 补 丁 和 配 置 管 理 能 力 ， 提 供 更 为 主 动 的 防 护 。 除 了 针 对 恶 意 程 序 之 外 ， 当 代   E P P   产 品 还 包 含 数 据 保 护 特 性 ， 如 磁 盘 与 文 件 加 密 、 数 据 丢 失 防 护 （ D L P ） 和 设 备 控 制 。 E P P   市 场 大 部 分 专 注 于   P C   终 端 ， 但 越 来 越 多 的 解 决 方 案 开 始 瞄 准 其 他 移 动 设 备 ， 如 平 板 和 智 能 手 机 的 管 理 和 追 踪 。 [ 3 ] 思 科 将   E P P   和   A V ， 也 就 是 传 统 反 病 毒 解 决 方 案 放 在 一 起 不 是 没 缘 由 的 。 E P P   提 供 的 主 要 能 力 在 于   P r e v e n t i o n ， 是 个 预 防 工 具 ， 很 大 程 度 依 赖 基 于 签 名 的 检 测 方 案 ， 或 者 各 种 具 有 明 确 指 向 的   I o C 。 G a r t n e r   在 今 年   E P P   魔 力 象 限 报 告 中 提 到 过 ： 除 了   V i s i o n a r y   象 限 中 的 某 些 新 兴 供 应 商 ， 太 多   E P P   解 决 方 案 的 病 毒 检 测 技 术 仍 然 过 度 依 赖 于   I o C ， 如   I P   地 址 、 U R L 、 文 件 哈 希 、 注 册 表 键 值 等 。 这 种 静 态 指 标 对 于 攻 击 者 而 言 ， 要 变 更 是 很 容 易 的 事 情 。 [ 4 ] 这 种 比 较 传 统 的 预 防 方 案 ， 对 于 有 针 对 性 的 ， 以 及 高 级 复 杂 攻 击 而 言 是 收 效 甚 微 的 ， 而 且 当 前 的 一 类 攻 击 趋 势 是 无 文 件 攻 击 ， 利 用 基 于 脚 本 的 攻 击 ， 都 是 常 规 的   W i n d o w s   工 具 ， 如   P o w e r S h e l l ， 都 可 以 在 不 投 递 可 执 行 文 件 的 情 况 下 进 行 攻 击 ， 这 样 就 能 躲 避 传 统 的 恶 意 文 件 检 测 。 另 外 一 点 值 得 一 提 的 是 ， F r e e B u f   在 以 往 和 思 科 的 合 作 中 注 意 到 ， 思 科 的 安 全 理 念 的 一 大 基 点 在 于 ： 入 侵 和 安 全 事 件 总 会 发 生 ， 这 些 事 件 并 不 是 会 不 会 发 生 的 问 题 ， 而 是 何 时 会 发 生 的 问 题 。 这 个 理 念 事 实 上 带 来 了 思 科 安 全 产 品 覆 盖 这 个 理 念 事 实 上 带 来 了 思 科 安 全 产 品 覆 盖 攻 击 前 、 攻 击 中 和 攻 击 后 的 思 路 攻 击 前 、 攻 击 中 和 攻 击 后 的 思 路 ， 其 核 心 在 于 ， 安 全 产 品 只 做 预 防 是 没 用 的 ， 攻 击 进 入 到 企 业 内 并 不 稀 奇 ， 所 以 把 更 多 精 力 投 入 到 检 测 和 响 应 上 才 是 正 确 的 。 我 们 在 先 前 的 很 多 文 章 和 报 告 中 也 阐 明 过 这 个 理 念 ， 这 也 符 合   G a r t n e r   近
些 年 倡 导 在 检 测 和 响 应 上 投 入 更 多 精 力 的 思 路 — — 但 并 非 所 有 安 全 厂 商 都 认 同 这 一 理 念 。 所 以 在 思 科 针 对 端 点 设 备 的   A M P   之 上 ， 这 个 思 路 也 得 以 延 续 ， 即 对 “ 攻 击 中 ” 和 “ 攻 击 后 ” 时 期 有 了 更 多 的 关 注 ， 并 着 力 缩 短 检 测 和 响 应 之 间 的 时 间 窗 口 。 这 本 身 也 是   E D R   和 传 统   E P P   的 重 要 差 异 所 在 ， E D R   的   D   代 表 的 是 检 测 ， R   代 表 的 是 响 应 。 但 当 代   E P P   的 具 体 情 况 已 经 比 较 复 杂 。 一 方 面 ， 很 多 供 应 商 的   E P P   解 决 方 案 开 始 变 得 完 备 和 多 样 化 ， 比 如 比 较 领 先 的   E P P   解 决 方 案 现 如 今 还 增 加 了 漏 洞 修 复 程 序 和 应 用 控 制 ； 许 多 新 兴 的 供 应 商 已 经 开 始 给   E P P   加 入 非 基 于 签 名 的 防 护 方 案 （ 虽 然 在 标 准 测 试 中 似 乎 并 没 有 表 现 出 多 大 的 威 力 ） ； 另 一 方 面 ， 大 量   E P P   开 始 融 入   E D R   特 性 ， 比 如 说 专 注 于 内 存 利 用 防 护 、 脚 本 分 析 和 行 为   I o C ， 针 对 攻 击 者 的 行 为 方 式 指 标 进 行 检 测 ， 包 括 攻 击 者 的 工 具 、 策 略 和 技 术 。 所 以 我 们 不 能 说   E P P   是 过 时 的 方 案 ， 即 便 是 思 科   A M P   这 类 以   E D R   见 长 的 产 品 也 融 入 了 不 少   E P P   的 预 防 安 全 特 性 。 G a r t n e r   也 在 今 年 的   E P P   市 场 分 析 中 提 到 ， 某 些 企 业 组 织 开 始 考 虑 用 新 方 案 完 全 替 代 传 统   E P P   方 案 ， 这 种 做 法 过 于 激 进 ， 很 多 最 新 解 决 方 案 存 在 局 限 性 ， 部 分 新 兴 供 应 商 并 不 提 供   E P P   的 完 整 特 性 ， 比 如 个 人 防 火 墙 、 U S B   端 口 防 护 、 数 据 保 护 、 应 用 控 制 、 漏 洞 检 测 或 者 企 业 移 动 管 理 方 案 ； 且 基 于 签 名 的 防 护 方 案 仍 然 是 有 效 和 必 要 的 。 所 以 许 多 企 业 组 织 倾 向 于 将 新 方 案 比 如   E D R   作 为 传 统   E P P   的 补 充 存 在 。 就 这 一 点 值 得 一 提 的 是 ， 思 科   A M P   在 传 统   E P P   特 性 方 面 包 含 反 恶 意 程 序 漏 洞 评 估 、 应 用 控 制 与 应 用 沙 盒 、 应 用 代 码 行 为 监 控 、 端 点 检 测 与 修 复 技 术 ； 但 也 存 在   E P P   特 性 缺 失 ， 如 个 人 防 火 墙 、 端 口 与 设 备 控 制 、 企 业 移 动 管 理 （ E M M ） 、 内 存 保 护 、 全 盘 与 文 件 加 密 （ 和 移 动 数 据 保 护 ） 、 D L P 。 [ 2 ] 这 一 点 其 实 并 不 让 人 感 觉 意 外 ， 毕 竟 思 科 是 做 网 络 设 备 出 身 的 厂 商 ， 而 且   A M P   在 网 络 、 防 火 墙 、 w e b 、 邮 件 等 中 间 设 备 之 上 也 具 有 普 适 性 ， 它 并 不 完 全 针 对 端 点 设 备 。 思 科 更 期 望 用 户 能 够 在 企 业 内 部 完 整 部 署 思 科 的 全 套 安 全 解 决 方 案 ， 这 可 以 一 定 程 度 弥 补   E P P   方 案 的 缺 失 。 E D R   是 什 么 ？ 这 仍 是 个 新 兴 解 决 方 案 是 什 么 ？ 这 仍 是 个 新 兴 解 决 方 案 当 然 了 思 科   A M P   也 提 供   E P P   应 有 的 常 见 预 防 特 性 ， 比 如 基 于 签 名 的 检 测 、 首 次 检 测 的 文 件 处 置 ， 以 及 实 时 的 恶 意 程 序 阻 止 特 性 。 但 这 些 其 实 不 是 思 科   A M P   的 主 要 价 值 所 在 。 思 科   A M P   的 着 力 点 在 于 提 供 端 点 之 上 文 件 行 为 的 可 视 性 、 检 测 恶 意 行 为 ， 并 能 够 对 其 进 行 控 制 并 阻 止 — — 这 就 不 是 传 统   E P P   可 以 做 到 的 事 情 了 。 这 其 中 体 现 思 科 理 念 的 点 就 在 于 ， 即 便 某 个 文 件 已 经 通 过 了 初 次 恶 意 程 序 检 测 ， 但   A M P   依 然 对 此 进 行 全 程 追 踪 。 思 科 安 全 业 务 团 队   A M P
产 品 营 销 经 理   J o h n   D o m i n g u e z   在 讲 解 视 频 中 说 ： “ 我 们 知 道 ， 我 们 无 法 阻 挡   1 0 0 %   的 攻 击 ， 高 级 恶 意 程 序 总 能 进 入 内 部 。 所 以   A M P   持 续 记 录 和 分 析 所 有 文 件 在 端 点 之 上 的 行 为 、 进 程 和 通 讯 ， 来 快 速 检 测 入 侵 。 这 种 持 续 性 记 录 和 分 析 ， 为 安 全 团 队 提 供 所 有 端 点 产 品 ， 包 括   P C 、 M a c 、 L i n u x   和 移 动 设 备 之 上 ， 所 有 活 动 的 历 史 视 图 。 ” [ 5 ] 这 话 谈 的 其 实 是 一 般   E D R   类 别 产 品 的 “ 检 测 ” 属 性 。 有 关 思 科   A M P   在 这 部 分 的 差 异 化 ， 我 们 后 面 还 会 仔 细 谈 到 。 不 过 从 这 番 话 已 经 不 难 发 现 ， E D R   建 立 于 这 样 一 个 事 实 ： 阻 挡 攻 击 无 法 做 到   1 0 0 % ， 所 以 传 统   E P P   和 反 病 毒 解 决 方 案 那 一 套 是 无 法 抵 御 高 级 恶 意 程 序 的 。 这 里 我 们 就 可 以 引 出   E D R   的 概 念 了 。 E D R   是 这 样 一 种 解 决 方 案 ： 记 录 端 点 系 统 级 别 的 行 为 和 事 件 （ 如 用 户 、 文 件 、 进 程 、 注 册 表 、 内 存 和 网 络 事 件 ） ， 并 将 这 些 信 息 存 储 于 终 端 或 中 央 数 据 库 。 将 已 知 的   I o C   数 据 库 ， 与 行 为 分 析 技 术 用 于 持 续 查 询 数 据 ， 识 别 入 侵 前 期 征 兆 （ 包 括 内 部 威 胁 ） ， 并 对 这 些 攻 击 进 行 快 速 响 应 。 这 些 工 具 也 能 帮 助 快 速 调 查 攻 击 范 围 ， 并 提 供 响 应 能 力 。 [ 6 ] 它 主 要 包 含 的 是 上 图 的 下 半 部 分 。 G a r t n e r   认 为 ， E D R   解 决 方 案 需 要 具 备 下 面 四 个 主 要 能 力 ： 1 . 检 测 安 全 事 件 。 一 般 通 过 端 点 和 应 用 行 为 违 规 ， 或 者 通 过 确 认 内 部 或 外 部 发 现 的   I o C   来 自 我 检 测 。 理 想 情 况 下 ， 这 种 解 决 方 案 会 基 于 机 密 性 、 严 重 性 和 风 险 ， 为 安 全 分 析 人 员 ， 对 检 测 到 的 事 件 进 行 优 先 级 排 序 ， 以 便 安 排 响 应 行 为 ； 2 . 在 端 点 上 对 事 件 进 行 控 制 。 这 一 点 确 保 了 网 络 流 量 或 者 进 程 执 行 可 被 远 程 控 制 ， 并 将 系 统 与 企 业 网 络 其 余 部 分 进 行 隔 离 ； 3 . 调 查 安 全 事 件 。 这 里 的 调 查 功 能 ， 必 须 包 含 覆 盖 所 有 监 控 端 点 主 要 端 点 事 件 的 历 史 时 间 线 ， 这 样 才 能 确 定 技 术 层 面 发 生 的 变 化 （ 如 文 件 、 注 册 表 、 网 络 、 驱 动 和 执 行 活 动 ） ， 以 及 对 业 务 的 影 响 （ 如 客 户 数 据 损 失 、 交 易 欺 诈 ） 。 4 . 让 端 点 恢 复 到 感 染 之 前 的 状 态 。 理 想 情 况 下 ， 解 决 方 案 需 要 移 除 恶 意 文 件 、 回 滚 及 修 复 其 他 变 化 。 至 少 ， 这 类 解 决 方 案 必 须 为 团 队 建 立 修 复 知 道 方 案 ， 用 其 工 具 集 施 行 这 样 的 方 案 。 某 些 情 况 下 ， 我 们 可 以 认 为   E D R   是   E P P   能 力 的 一 次 扩 张 ， 或 者 说 这 两 者 本 身 就 在 发 生 结 合 。 而   E D R   在 端 点 安 全 领 域 还 是 个 新 兴 方 案 。 G a r t n e r   在 调 查 中 提 到 ， 截 至   2 0 1 6   年 年 末 ， 3 0   家   E D R   供 应 商 授 权 的   E D R   产 品 数 量 大 约 是   4 0 0 0 万 — — 而 同 期   E P P   端 点 防 护 产 品 授 权 数 量 为   4   亿 。 所 以   E D R   对   E P P   的 市 场 渗 透 大 约 仅 有   1 0 % 。 预 计   2 0 1 6   年 末 这 一 市 场 规 模 大 约 为   4 . 9 8   亿 美 元 。 调 查 中 有   1 0   个 供 应 商 占 到 市 场 份 额 的   7 5 % ， 即 便 这 些 供 应 商 在 这 一 市 场 的 年 增 长 近 2   倍 ， 但   E D R   到 目 前 为 止 也 并 非 主 流 市 场 产 品 ， 这 与   E D R   产 品 对 安 全 人 员 的 技 能 要 求 较 高 有 关 。 所 以   G a r t n e r   认 为
专 门 的   E D R   市 场 增 速 可 能 到   2 0 1 9   年 仍 然 会 比 较 缓 慢 。 但 当 前 企 业 组 织 数 据 泄 露 事 件 时 有 发 生 ， 企 业 高 管 对 此 担 忧 也 在 增 加 。 一 些 高 级 和 有 针 对 性 的 攻 击 能 够 绕 过 传 统 的 预 防 控 制 ， 并 且 在 企 业 内 部 长 期 驻 留 不 被 发 觉 ， 这 是   E D R   解 决 方 案 增 长 的 契 机 。 另 外 ， 如 前 文 所 述 ， E P P   供 应 商 还 会 持 续 进 入 这 一 市 场 ， 但 与 很 多 新 兴 的 、 专 门 打 造   E D R   方 案 的 供 应 商 相 比 ， 在 这 一 项 的 能 力 上 仍 然 有 所 不 及 。 比 如 思 科 就 更 偏 向 于 专 门 打 造   E D R   的 供 应 商 。 所 以   G a r t n e r   总 体 上 认 为 ， E D R   市 场 就 目 前 来 看 仍 然 是 不 成 熟 的 。 不 管 是 供 应 商 本 身 在 达 到 上 述 四 个 能 力 方 面 仍 存 在 上 升 空 间 ， 且 企 业 组 织 的   S o C   也 没 有 相 应 技 能 的 安 全 分 析 人 员 能 够 对   E D R   产 生 的 事 件 做 处 理 — — 未 来 的   E D R   产 品 也 会 因 此 发 生 一 些 变 化 ， 比 如 检 测 能 力 持 续 强 化 、 并 且 更 高 的 自 动 化 程 度 帮 助 事 件 响 应 人 员 减 负 、 高 可 信 度 事 件 基 于 风 险 进 行 优 先 级 排 序 等 。 E D R   市 场 的 主 要 供 应 商 包 括 有 思 科 、 C a r b o n   B l a c k 、 C h e c k   P o i n t 、 C r o w d S t r i k e 、 F i r e E y e 、 C y b e r e a s o n 、 赛 门 铁 克 、 趋 势 科 技 等 。 这 部 分 最 后 值 得 一 提 的 是 ， 如   C a r b o n   B l a c k   的 前 身   B i t 9   火 起 来 的 原 因 是 ， 这 家 公 司 在 端 点 安 全 方 面 专 注 于 白 名 单 方 案 ， 而 且 维 护 当 时 据 说 是 全 球 最 为 大 型 的 软 件 哈 希 数 据 库 ； 像   F i r e E y e   这 类 企 业 ， 其 知 名 度 和 客 户 积 累 依 靠 的 是 沙 盒 技 术 ； 还 有 近 些 年 很 火 的 安 全 初 创 公 司 ， 靠 机 器 学 习 、 行 为 分 析 之 类 的 技 术 成 为 香 饽 饽 。 但 我 们 无 一 例 外 地 会 发 现 ， 这 些 企 业 都 在 转 型 ， 至 少 绝 对 不 再 固 步 自 封 于 当 年 发 家 致 富 的 独 门 绝 技 。 思 科   A M P   解 决 方 案 本 身 就 结 合 了 沙 盒 分 析 、 机 器 学 习 、 威 胁 情 报 、 持 续 分 析 、 无 文 件 检 测 等 各 类 技 术 。 实 际 上 ， 各 类 安 全 产 品 的 玩 法 早 也 已 经 不 是 多 年 前 ， 凭 借 单 项 技 术 的 领 先 就 可 以 成 为 热 门 的 。 思 科 终 端 安 全 产 品 市 场 经 理   J o e M a l e n f a n t   特 别 强 调 ， 像 机 器 学 习 这 样 的 技 术 ， 虽 然 是 这 些 年 的 热 门 ， 但 绝 非 “ 银 弹 ” — — 思 科 就 一 直 在 用 机 器 学 习 ， 包 括   A M P   f o r   E n d p o i n t   产 品 中 ， 用 于 分 析   w e b   流 量 、 识 别 网 络 中 运 行 的 恶 意 程 序 ， 但 单 一 的 技 术 无 法 解 决 所 有 问 题 。 [ 7 ] 不 光 是 机 器 学 习 ， 当 前 应 对 复 杂 网 络 攻 击 的 任 意 某 一 种 技 术 都 是 无 法 解 决 所 有 问 题 的 ， 这 本 身 也 是   E D R   这 类 产 品 出 现 的 原 因 之 一 。 思 科 思 科   A M P   的 持 续 可 视 性 的 持 续 可 视 性 从 产 品 所 能 解 决 的 问 题 和 大 趋 势 来 看 ， E D R   未 来 必 然 会 成 为   E P P   解 决 方 案 的 一 大 特 性 。 如 果 只 用 一 句 话 来 说   E D R 究 竟 要 解 决 什 么 问 题 ， 那 就 是 提 升 终 端 的 安 全 事 件 可 视 性 和 对 安 全 事 件 的 响 应 能 力 。 这 些 就 目 前 看 来 对 于 企 业 安 全 团 队 的 技 术 要 求 是 比 较 高 的 。 这 种 提 升 是 怎 么 做 到 的 呢 ？ 实 际 上 ， I o C   检 测 的 自 动 化 已 经 比 较 普 遍 了 ， 传 统   E P P   都 能 这 么 干 。 但 如 前 文 所 述 ， 攻 击 者 可 以 很 快 就 修 改 文 件 哈 希 、 I P   域 、 注 册 表 键 和 其 他 各 种   I o C 。 但 是 攻 击 者 的 行 为 方 式 ， 或 者 叫   t r a d e c r a f t   是 比 较 稳 定 的 ， 执 行 的 一 些 操 作 典 型 如 文 件 加 密 、 数 据 获 取 和 转 移 、 入 侵 管 理 员 账 号 等 。 这 些 行 为 本 身 很 难 变 化 ， 这 就 是 恶 意 行 为 的 指 标 。
对 安 全 团 队 的 技 术 要 求 高 ， 是 因 为 检 测 “ 行 为 ” 这 件 事 本 身 就 比 较 复 杂 ， 而 且 准 确 度 不 高 ， 这 方 面 的 人 才 要 求 就 会 比 较 高 。 大 部 分 企 业 组 织 应 该 也 不 会 花 大 量 精 力 去 招 揽 或 培 训 具 备 这 种 能 力 的 人 才 。 所 以   S o C   外 包 服 务 需 求 伴 随 增 长 ， 所 以   E D R   市 场 的 一 大 趋 势 还 在 于 ， 大 部 分   E D R   供 应 商 还 会 和   M S S P   供 应 商 合 作 （ 安 全 托 管 服 务 提 供 商 ） ， 某 些 E D R   供 应 商 还 会 提 供 自 家 的 增 值 服 务 ， 比 如   F i r e E y e   a s   a   S e r v i c e 。 说 了 这 么 多 ， 接 下 来 就 该 正 式 聊 一 聊 思 科   A M P   f o r   E n d p o i n t   在 这 类 产 品 实 现 上 的 实 施 措 施 了 。 思 科   A M P   本 身 脱 胎 自 思 科   2 0 1 3   年 收 购 的   S o u r c e f i r e 。 思 科 保 留 了   S o u r c e f i r e   当 年 收 购 的 技 术 领 导 和 工 程 团 队 。 我 们 认 为 ， A M P   在 满 足 G a r t n e r   提 到 的 这 些 针 对   E D R   类 别 产 品 的 要 求 方 面 ， 思 科 是 在 所 有   E D R   供 应 商 中 为 数 不 多 能 够 达 到 要 求 ， 而 且 在 实 现 方 式 上 比 较 丰 富 、 全 方 位 的 厂 商 。 首 先 还 是 来 看 一 看 思 科   A M P   f o r   E n d p o i n t   的 主 体 构 成 ， 针 对 预 防 、 检 测 和 响 应 三 部 分 ， 其 布 局 是 这 样 的 ： 预 防 （ 预 防 （ P r e v e n t ） ， 也 就 是 阻 挡 恶 意 程 序 。 ） ， 也 就 是 阻 挡 恶 意 程 序 。 这 部 分 原 本 主 要 隶 属 于   E P P ， 虽 然 并 非   A M P   的 重 头 戏 ， 不 过 思 科   A M P   在 这 部 分 也 有 几 个 看 点 ： 其 一 是 全 球 威 胁 情 报 ， 威 胁 情 报 由 思 科 研 究 团 队 持 续 提 供 ； 其 二 是 文 件 沙 盒 ， 借 由 超 过   7 0 0   种 行 为 指 标 在 沙 盒 中 分 析 未 知 文 件 ， 检 测 、 自 动 阻 止 隔 离 恶 意 文 件 ； 在 主 动 防 御 部 分 ， A M P   会 展 示 终 端 所 有 软 件 可 被 利 用 的 安 全 问 题 ， 通 过 应 用 控 制 来 实 现 加 固 。 另 外 在 恶 意 程 序 阻 止 方 面 ， A M P   f o r   E n d p o i n t   就 是 采 用 传 统 的 签 名 、 f u z z y   f i n g e r p r i n t i n g 、 机 器 学 习 ， 还 有 反 病 毒 检 测 引 擎 。 检 测 （ 检 测 （ D e t e c t ） ， 这 部 分 可 算 是 ） ， 这 部 分 可 算 是   A M P   的 精 华 所 在 了 ， 也 是 的 精 华 所 在 了 ， 也 是   E D R   类 产 品 的 精 华 。 类 产 品 的 精 华 。 持 续 监 控 与 分 析 ： 持 续 监 控 与 分 析 ： 当 某 个 文 件 抵 达 终 端 后 ， A M P   会 持 续 观 察 、 分 析 、 记 录 所 有 文 件 行 为 ， 不 管 该 文 件 在 刚 进 入 时 的 检 测 结 果 如 何 。 如 果 在 观 察 过 程 中 检 测 到 恶 意 行 为 ， A M P   能 够 自 动 在 所 有 端 点 之 上 阻 止 该 文 件 ， 并 给 安 全 团 队 呈 现 完 整 的 恶 意 程 序 行 为 记 录 。 在 记 录 中 ， 可 以 看 到 该 文 件 来 自 哪 里 ， 现 在 在 哪 里 ， 在 所 有 端 点 设 备 上 都 做 过 什 么 （ 包 括   P C 、 M a c 、 L i n u x 、 移 动 设 备 ） ， 让 安 全 团 队 充 分 理 解 其 影 响 范 围 ， 并 快 速 响 应 。 这 部 分 由 于 是   A M P   产 品 的 着 力 点 所 在 ， 所 以 后 面 还 会 提 到 。 无 代 理 检 测 （ 无 代 理 检 测 （ A g e n t l e s s   D e t e c t i o n ） ： ） ： A M P   f o r   E n d p o i n t   提 供 无 代 理 检 测 ， 这 是 一 种 在 客 户 环 境 中 检 测 危 害 的 一 种 能 力 ， 即 便 一 台 端 点 设 备 没 有 安 装 代 理 。 采 用 思 科 的   C T A   技 术 ， A M P   会 检 查   w e b   代 理 日 志 ， 来 发 现 如 内 存 恶 意 程 序 、 仅 在   w e b   浏 览 器 中 活 跃 的 感 染 情 况 。 无 文 件 检 测 ： 无 文 件 检 测 ： 恶 意 利 用 包 括   W i n d o w s   工 具 等 在 内 的 合 法 应 用 来 启 动 可 执 行 程 序 ， 比 如 说 用   v s s a d m i n   来 删 除 影 子 副 本
（ s h a d o w   c o p i e s ） 或 者 禁 用 安 全 启 动 、 还 有 基 于   P o w e r s h e l l   的   e x p l o i t   等 。 这 一 项 本 身 也 是   G a r t n e r   特 别 提 到   E D R 类 别 产 品 应 该 拥 有 的 能 力 。 响 应 （ 响 应 （ R e s p o n d ） ） 威 胁 捕 获 更 容 易 ： 威 胁 捕 获 更 容 易 ： A M P   基 于 云 的   U I   之 上 可 以 跨 域 所 有 端 点 进 行 威 胁 搜 索 ， 这 对 于 排 查 、 减 少 管 理 复 杂 性 都 是 有 帮 助 的 ； 跨 越 端 点 和 云 来 查 找 文 件 、 I o C 、 威 胁 情 报 数 据 ， 发 现 恶 意 程 序 生 态 系 统 中 的 痕 迹 ， 理 解 攻 击 范 围 和 上 下 文 ； 自 动 化 修 复 ： 自 动 化 修 复 ： A M P   发 现 某 个 威 胁 后 ， 可 跨 所 有 端 点 设 备 进 行 控 制 和 修 复 。 进 行 一 些 简 单 的 点 击 操 作 ， 就 能 在 选 定 的 系 统 或 者 整 个 范 围 内 禁 止 某 个 文 件 ， 禁 止 恶 意 程 序 家 族 ， 控 制 作 为 恶 意 程 序 入 口 的 应 用 （ 已 被 入 侵 的 应 用 ） ， 阻 止 再 度 感 染 ， 阻 止 恶 意 程 序 进 行 远 程 通 讯 — — 对 公 司 网 络 外 部 的 远 程 终 端 也 能 发 挥 作 用 。 针 对 以 上 三 个 环 节 ， 我 们 选 一 些 尤 为 值 得 一 提 的 谈 一 谈 。 主 要 是 其 中 的 持 续 可 视 性 （ C o n t i n o u s   V i s i b i l i t y ） 。 思 科 将 这 种 持 续 可 视 性 和 “ 时 间 点 （ p o i n t - i n - t i m e ） ” 的 预 防 技 术 做 对 比 ， 这 里 所 谓 的 时 间 点 ， 就 是 某 个 反 病 毒 产 品 只 在 文 件 进 入 端 点 （ 或 网 络 入 点 ） 时 对 文 件 进 行 检 测 ， 即 便 采 用 沙 盒 检 测 之 类 的 技 术 ， 鉴 于 目 前 比 较 复 杂 的 恶 意 程 序 具 备 检 测 自 身 是 否 处 在 沙 盒 环 境 ， 且 不 在 沙 盒 环 境 下 触 发 恶 意 行 为 ； 至 于 签 名 、 更 多 文 件 特 征 之 类 的 匹 配 方 案 ， 对 于 复 杂 多 变 的 恶 意 程 序 更 加 无 效 。 这 样 的 文 件 在 进 入 到 端 点 内 部 后 ， 对 传 统 “ 时 间 点 ” 的 安 全 方 案 来 说 ， 就 不 再 对 其 进 行 检 测 了 。 而 所 谓 的 持 续 可 视 性 ， 即 如 前 文 所 述 ， 是 全 程 监 视 文 件 行 为 的 — — 即 便 已 经 通 过 了 第 一 步 的 检 查 也 依 旧 如 此 。 这 一 点 实 际 上 也 是   E D R   类 产 品 的 某 个 共 同 属 性 ， 在 我 们 针 对   C a r b o n   B l a c k   的 分 析 文 章 中 就 提 到 过 ， C a r b o n   B l a c k   采 用 一 种 轻 量 级 的 “ 端 点 传 感 器 ” 来 持 续 、 实 时 记 录 端 点 每 时 每 刻 的 变 化 。 这 么 做 的 好 处 是 ， 可 以 对 事 件 进 行 “ 倒 带 ” ， 在 检 测 到 威 胁 或 可 以 行 为 时 ， 可 以 去 追 溯 攻 击 发 生 的 整 个 过 程 ， 对 风 险 有 全 方 位 的 分 析 和 理 解 。 思 科   A M P   这 方 面 的 持 续 可 视 性 ， 包 括 以 下 几 个 重 点 [ 8 ] ： 回 顾 （ R e t r o s p e c t i o n ） ： 在 初 始 时 间 点 ， 以 及 随 后 全 程 进 行 分 析 ， 且 不 仅 限 于 文 件 ， 还 包 括 对 进 程 、 通 讯 和 其 他 数 据 的 分 析 — — 这 一 点 主 要 就 是 和 “ 时 间 点 ” 模 型 相 对 的 ； 攻 击 链 组 合 ： 将 文 件 、 进 程 和 通 讯 流 进 行 结 合 ， 随 时 间 推 移 来 捕 捉 其 中 的 关 系 。 其 中 的 行 为 模 式   I o C ， 不 是 静 态 特 征 ， 而 是 实 时 捕 捉 到 的 攻 击 链 组 合 复 杂 行 为 ； 行 为   I o C   在 这 些 行 为 发 生 时 实 时 进 行 检 测 ； 轨 迹 （ T r a j e c t o r y ） ： 追 踪 、 枚 举 时 间 点 事 件 列 表 ， 展 示 事 件 发 生 的 位 置 。 轨 迹 所 描 述 的 是 恶 意 程 序 的 连 续 路 径 ， 这 对 于 展 示 恶 意 程 序 波 及 的 范 围 ， 及 关 系 ， 包 括 在 哪 里 、 做 了 些 什 么 会 比 较 有 效 。 上 面 这 张 图 所 展 示 的 ， 就 是 这 样 的 轨 迹 ， 相 关 于 恶 意 程 序 切 入 点 、 恶 意 行 为 、 影 响 特 定 终 端 的 二 进 制 和 可 执 行 程 序 。 这 则 信 息
会 进 行 关 联 ， 并 与 整 个 网 络 进 行 共 享 。 这 本 质 上 就 是 一 种 倒 带 能 力 ， 如 下 图 ， 这 样 就 能 够 展 示 恶 意 程 序 的 扩 散 情 况 。 这 些 信 息 对 于 探 明 感 染 规 模 和 根 本 原 因 都 有 价 值 。 在 这 种 持 续 性 可 视 性 的 基 础 上 ， 很 多 后 续 的 分 析 和 控 制 就 变 得 比 较 便 利 了 。 比 如 思 科   A M P   的 自 动 化 高 级 分 析 ， 对 恶 意 行 为 模 式 和   I o C   进 行 识 别 ， 结 合   T h r e a t   G r i d   沙 盒 技 术 进 行 （ 思 科 宣 传 中 提 到 超 过   7 0 0   种 行 为 指 标 用 于 屏 幕 文 件 行 为 ， 不 仅 是 其 结 构 ， 还 包 括 未 知 恶 意 程 序 相 关 的   H T T P   和   D N S   流 量 、 T C P / I P   流 、 影 响 的 进 程 、 注 册 表 活 动 ） ， 可 确 定 风 险 处 理 优 先 顺 序 。 这 张 图 展 示 了 内 置 沙 盒 文 件 分 析 的 细 节 信 息 ， 有 关 文 件 行 为 ， 包 括 行 为 严 重 性 、 原 始 文 件 名 、 恶 意 程 序 执 行 截 屏 、 样 本 包 获 取 ； 有 了 这 些 信 息 ， 对 于 控 制 恶 意 程 序 蔓 延 、 进 一 步 阻 止 攻 击 ， 会 产 生 更 好 的 理 解
这 张 图 展 示 可 操 作 控 制 面 板 ， 从 风 险 角 度 描 述 影 响 ， 以 及 与 业 务 的 关 联 性 ； 在 此 视 图 下 ， 可 以 看 到   I o C   优 先 级 、 主 机 检 测 恶 意 程 序 和 网 络 威 胁 等 再 比 如 对 恶 意 程 序 的 感 染 控 制 （ 所 谓 的   O u t b r e a k   C o n t r o l ） ， 有 了 持 续 可 视 性 ， 锁 定 源 头 ， 要 阻 止 恶 意 程 序 蔓 延 就 会 更 容 易 ， 一 路 针 对 攻 击 路 径 进 行 控 制 ， 关 闭 感 染 入 口 （ 可 能 是 某 个 被 入 侵 的 应 用 ） — — 在 这 个 过 程 中 ， 应 用 阻 止 列 表 就 能 执 行 应 用 策 略 （ 比 如 在 某 个 端 点 发 现 恶 意 程 序 ， 想 要 阻 止 整 个 网 络 上 该 恶 意 程 序 在 所 有 端 点 上 的 执 行 ， 那 么 只 需 要 将 其 加 入 阻 止 列 表 ， 所 有 端 点 之 上 都 会 被 隔 离 ） ； 后 续 响 应 操 作 还 包 括 可 以 利 用 定 制 签 名 来 阻 止 恶 意 程 序 家 族 ， 阻 止 恶 意 程 序 进 行 通 讯 — — 尤 其 针 对 企 业 网 络 外 部 的 远 程 端 点 。 最 后 ， 这 款 端 点 安 全 产 品 也 包 含   A P I ， 可 将 其 与 其 他 安 全 工 具 或   S I E M   进 行 同 步 。 而 且 因 为   A M P   是 思 科 所 有 安 全 产 品 部 署 中 的 一 部 分 ， 也 就 可 以 与 思 科 的   I P S 、 防 火 墙 、 w e b   或 邮 件 网 关 等 进 行 信 息 关 联 和 共 享 了 。 这 其 实 是 思 科 在 安 全 领 域 构 建 以 来 就 有 的 优 势 。 如 何 评 价 思 科 如 何 评 价 思 科   A M P   f o r   E n d p o i n t ？ ？ 如 前 文 所 述 ， 这 种 持 续 性 分 析 能 力 并 非 思 科 独 有 ， E D R   同 类 产 品 都 有 — — 这 里 进 行 列 举 是 为 了 更 好 地 阐 明   E D R   这 个 类 别 的 产 品 特 性 ， 不 过 各 厂 商 在 这 方 面 的 实 现 也 不 尽 相 同 。 我 们 之 所 以 说 思 科   A M P   在 产 品 功 能 构 成 上 更 为 全 面 ， 源 于   A M P   不 仅 融 入 了 部 分   E P P   的 特 性 ， 在 与 同 类   E D R   对 比 中 ， 从 检 测 、 预 防 、 响 应 、 威 胁 情 报 、 集 成 性 几 个 方 面 都 优 于 目 前 的 主 要 竞 争 对 手 。 比 如 在 “ 轨 迹 ” 这 一 点 上 ， 某 些 竞 品 的 表 现 方 式 就 相 对 受 限 ， 或 者 功 能 并 没 有 这 么 全 面 ； 另 外 思 科 由 于 资 金 方 面 的 优 势 ， 在 某 些 单 项 技 术 上 有 自 家 产 品 ， 如   T h r e a t   G r i d   沙 盒 ， 而 很 多   E D R   产 品 供 应 商 在 动 态 文 件 分 析 方 面 需 要 依 赖 合 作 伙 伴 ， 或 根 本 没 有 这 些 项 目 。 这 一 点 也 可 能 是 思 科 将   A M P   f o r   E n d p o i n t   称 作 “ 新 一 代 端 点 安 全 ” 产 品 的 原 因 ， 毕 竟 其 形 态 相 对 一 般   E D R   更 为 完 整 。
当 前   G a r t n e r   还 没 有 专 门 针 对   E D R   类 别 产 品 的 魔 力 象 限 ， 不 过 好 在   I D C   今 年 对 “ 端 点 专 门 威 胁 分 析 和 防 护 ” 供 应 商 进 行 过 一 次 评 估 [ 9 ] 。 这 份 评 估 报 告 ， 主 要 针 对 的 就 是 非 签 名 （ s i g n a t u r e - l e s s ） 端 点 威 胁 检 测 、 预 防 、 响 应 和 补 救 能 力 。 I D C   给 出 了 包 括 下 面 这 些 评 价 ： “ 采 用 思 科   A M P   f o r   E n d p o i n t   的 客 户 数 量   2 0 1 6   年 大 量 增 加 … 客 户 对 于 其 部 署 的 便 利 性 ， 以 及 和 思 科 网 络 安 全 设 备 的 关 联 性 比 较 满 意 … 思 科 已 经 证 明 其 邮 件 、 w e b   网 关 或 者 网 络 方 面 检 测 和 预 防 的 价 值 ， 所 以 一 家 企 业 组 织 在 这 些 攻 击 向 量 之 上 如 果 对 思 科   A M P   部 署 比 较 熟 悉 ， 内 部 团 队 时 间 响 应 和 补 救 工 作 流 有 所 提 升 ， 他 们 就 会 采 用   A M P   f o r E n d p o i n t … 其 优 势 主 要 在 于 ： “ -   … 产 品 为 安 全 事 件 分 析 人 员 ， 提 供 了 翔 实 的 背 景 信 息 ， 以 及 执 行 “ 追 溯 ” 的 能 力 — — 通 过 历 史 数 据 进 行 搜 索 ， 将 先 前 的 活 动 与 最 新 检 测 到 的 威 胁 进 行 关 联 … 在 端 点 、 w e b 、 通 讯 、 网 络 级 攻 击 方 面 ， 思 科 提 供 能 够 识 别 和 阻 止 攻 击 者 行 为 和 高 级 恶 意 软 件 的 产 品 组 合 ， 是 当 前 最 具 综 合 能 力 的 产 品 之 一 ； 思 科 在 安 全 行 业 ， 其 销 售 渠 道 合 作 伙 伴 是 最 为 庞 大 ， 最 具 技 术 实 力 的 之 一 。 思 科 在 渠 道 方 面 砸 重 金 ， 针 对 产 品 技 术 提 供 培 训 。 许 多 合 作 伙 伴 提 供 托 管 和 专 业 服 务 ， 可 协 助 客 户 部 署 和 配 置   A M P   f o r E n d p o i n t 。 “ 而 面 临 的 主 要 挑 战 则 在 于 ： “ -   思 科 着 力 为 诸 多 大 型 企 业 组 织 客 户 提 供 综 合 性 端 点 安 全 产 品 。 要 获 得 思 科   A M P   f o r   E n d p o i n t   的 真 正 价 值 ， 企 业 组 织 需 要 采 用 全 套   A M P   组 合 方 案 。 这 套 解 决 方 案 显 然 不 是 以 那 些 没 有   I T   安 全 团 队 的 中 型 规 模 组 织 和 企 业 为 目 标 的 ， 唯 有   I T   安 全 团 队 才 能 受 用 思 科   A M P   提 供 的 丰 富 数 据 信 息 。 这 些 企 业 组 织 如 果 采 用 思 科   A M P   f o r   E n d p o i n t   就 需 要 再 行 选 择   M M S P （ 安 全 托 管 服 务 供 应 商 ） ； I D C   客 户 表 示 ， 思 科   A M P   f o r   E n d p o i n t   在 减 少 误 报 方 面 需 要 投 入 较 多 的 调 整 工 作 。 在 多 个 位 置 更 大 规 模 的 部 署 可 能 需 要 专 业 服 务 。 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理