搜索

[13998] 2019-04-17_云舒：欺骗防御未来已来

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-04-17_云舒：欺骗防御未来已来 云 舒 ： 欺 骗 防 御 未 来 已 来 云 舒   F r e e B u f   2 0 1 9 - 0 4 - 1 7 序 言 序 言 近 日 拜 读 了 了 思 睿 嘉 得 近 日 拜 读 了 了 思 睿 嘉 得 C E O   D J 的 《 真 真 假 假 的 创 新 的 《 真 真 假 假 的 创 新 — — R S A C 2 0 1 9 之 三 》 ， 写 得 非 常 好 ， 也 很 佩 服 。 我 自 从 之 三 》 ， 写 得 非 常 好 ， 也 很 佩 服 。 我 自 从 和 小 伙 伴 们 开 创 默 安 科 技 以 来 ， 和 业 界 的 交 流 就 少 了 很 多 ， 精 力 花 在 客 户 和 产 品 上 面 了 。 但 是 读 完 和 小 伙 伴 们 开 创 默 安 科 技 以 来 ， 和 业 界 的 交 流 就 少 了 很 多 ， 精 力 花 在 客 户 和 产 品 上 面 了 。 但 是 读 完 D J 的 文 章 之 的 文 章 之 后 ， 兴 起 了 写 点 文 字 的 想 法 。 后 ， 兴 起 了 写 点 文 字 的 想 法 。 D J 对 威 胁 情 报 和 欺 骗 防 御 两 个 方 向 提 出 了 自 己 的 观 点 ： 威 胁 情 报 厂 商 无 法 独 立 存 在 达 到 规 模 盈 利 。 未 来 发 展 有 两 条 路 可 以 走 ： 一 是 全 力 投 入 做 重 产 品 ， 例 如 x D R ； 另 一 条 是 迈 半 步 快 速 横 移 至 其 它 领 域 ， 例 如 S I E M 。 这 一 点 我 深 表 赞 同 。 我 认 为 当 前 威 胁 情 报 的 使 用 者 不 应 该 是 企 业 或 者 单 位 ， 而 应 该 是 安 全 公 司 。 威 胁 情 报 需 要 借 助 安 全 公 司 的 各 种 产 品 落 地 、 海 量 查 询 次 数 ， 情 报 本 身 作 为 各 种 A I 引 擎 后 的 补 充 说 明 。 后 续 ， 可 以 做 出 更 具 业 务 属 性 和 上 层 属 性 的 威 胁 情 报 ， 一 年 查 询 1 - 2 次 ， 变 成 了 类 似 安 服 的 高 级 情 报 服 务 。 总 的 来 说 ， 威 胁 情 报 要 么 卖 得 很 便 宜 ， 可 以 海 量 查 询 ； 要 么 卖 得 超 贵 ， 二 三 十 万 查 询 一 次 。 除 此 之 外 ， 只 怕 没 有 更 好 的 选 择 。 关 于 欺 骗 防 御 ， 他 认 为 “ 有 些 风 头 一 时 无 两 ， 还 没 经 过 什 么 雨 打 风 吹 ， 过 两 年 自 己 就 不 见 了 ； 有 些 默 默 无 闻 少 人 关 注 ， 待 到 惊 蛰 一 声 ， 已 然 悄 悄 改 变 了 整 个 行 业 格 局 。 读 者 不 妨 想 想 ， 分 析 师 前 两 年 热 炒 的 创 新 欺 骗 D e c e p t i o n 产 品 ， 卖 货 可 以 ， 对 安 全 行 业 的 影 响 是 不 是 可 以 忽 略 不 计 ” ， 对 于 这 句 话 ， 我 只 同 意 一 半 。 目 前 欺 骗 防 御 的 影 响 力 确 实 不 大 ， 但 是 未 来 两 年 内 一 定 会 大 起 来 。 为 什 么 需 要 欺 骗 防 御 为 什 么 需 要 欺 骗 防 御 我 们 先 看 一 个 故 事 ： 2 0 1 7 年 安 全 咨 询 服 务 世 界 第 一 的 德 勤 被 黑 客 入 侵 ， 大 量 机 密 数 据 被 偷 。 随 后 ， 安 全 研 究 人 员 发 现 德 勤 大 量 的 代 理 服 务 器 密 码 、 V P N 密 码 以 及 其 它 相 关 安 全 数 据 泄 露 到 G i t H u b 、 G o o g l e + 等 S a a S 服 务 平 台 。 攻 击 者 可 能 利 用 了 这 些 数 据 ， 侵 入 德 勤 网 络 内 部 。 在 这 次 事 故 中 ， 攻 击 者 直 接 使 用 员 工 的 V P N 密 码 远 程 接 入 网 络 ， 然 后 在 这 个 加 密 隧 道 下 进 行 缓 慢 横 向 渗 透 ， 传 统 的 A P T 检 测 防 御 设 备 有 发 现 攻 击 的 可 能 么 ？ 基 本 不 可 能 。 传 统 的 A P T 检 测 防 御 ， 我 把 它 抽 象 成 三 个 关 键 词 ： 边 界 边 界 、 点 状 点 状 、 技 术 对 抗 技 术 对 抗 。 传 统 的 A P T 检 测 产 品 ， 更 多 的 是 依 托 于 边 界 检 测 、 边 界 防 御 ， 对 进 出 的 数 据 、 文 件 进 行 还 原 ， 希 望 御 敌 于 国 门 之 外 。
但 是 在 云 计 算 时 代 ， 资 产 已 经 不 仅 仅 是 在 物 理 范 围 之 内 ， 社 交 网 络 中 员 工 暴 露 的 邮 件 地 址 、 S a a S 平 台 上 面 分 享 的 代 码 、 云 笔 记 里 面 记 录 的 密 码 ， 都 属 于 被 保 护 的 对 象 。 以 前 的 那 种 假 设 ， “ 内 部 是 安 全 的 ” ， 现 阶 段 下 是 行 不 通 的 。 1 0 万 P C ， 万 分 之 一 的 几 率 被 入 侵 ， 也 可 能 有 1 0 台 P C 已 经 被 黑 客 入 侵 了 。 组 织 内 部 还 可 能 存 在 商 业 间 谍 ， 或 者 里 应 外 合 的 攻 击 者 。 我 们 需 要 新 的 假 设 和 新 的 理 念 — — 假 设 内 部 已 经 被 入 侵 了 ， 有 潜 伏 者 ， 我 们 的 安 全 检 测 应 该 怎 么 做 ？ C a r b o n B l a c k 最 新 的 报 告 指 出 ： “ 不 只 是 入 侵 ， 攻 击 者 倾 向 于 更 长 久 地 潜 藏 在 网 络 中 ， 已 成 为 攻 击 者 大 政 方 针 的 一 部 分 。 ” 我 们 不 能 坚 持 “ 守 住 边 界 不 失 、 防 线 不 被 突 破 ” 这 种 旧 的 理 念 ， 而 欺 骗 防 御 一 开 始 就 是 建 立 在 内 部 有 潜 伏 者 的 理 念 上 并 以 此 为 基 础 而 设 计 的 。 点 状 ， 是 由 A P T 产 品 的 实 施 模 式 决 定 的 。 预 算 少 时 ， 部 署 一 套 在 边 界 上 ； 预 算 充 足 一 些 的 ， 其 它 重 要 网 段 再 分 别 部 署 一 套 。 但 是 不 管 如 何 部 署 ， 有 多 么 充 足 的 预 算 ， 永 远 只 是 几 个 独 立 的 “ 点 ” ， 对 于 内 部 的 行 为 就 很 难 掌 控 了 ， 除 非 有 谁 能 丧 心 病 狂 地 把 A P T 设 备 部 署 到 每 一 台 接 入 层 交 换 机 上 。 欺 骗 防 御 以 传 统 蜜 罐 为 原 材 料 ， 通 过 各 种 新 技 术 将 蜜 罐 业 务 映 射 到 每 一 个 业 务 网 络 ， 甚 至 每 一 台 主 机 上 ， 在 内 部 组 成 一 个 和 真 实 业 务 混 杂 在 一 起 不 分 彼 此 的 巨 大 侦 测 网 络 ， 可 以 低 成 本 地 覆 盖 到 每 一 个 角 落 。 技 术 对 抗 ， 这 是 大 多 数 技 术 人 喜 欢 的 点 ， 也 是 我 喜 欢 的 东 西 。 传 统 的 加 壳 脱 壳 对 抗 、 各 种 规 则 ， 发 展 到 现 在 基 于 深 度 机 器 学 习 和 A I 技 术 ， 也 发 生 了 巨 大 的 进 步 ， 做 出 了 非 常 好 的 东 西 。 但 是 我 们 是 不 是 可 以 试 一 试 另 外 的 思 路 ， 想 想 不 同 层 面 的 东 西 。 我 们 要 保 护 的 系 统 有 弱 点 ， 攻 击 者 也 是 人 ， 攻 击 是 不 是 也 有 弱 点 ？ 欺 骗 防 御 尝 试 把 关 注 点 从 攻 击 上 挪 开 ， 进 而 去 关 注 攻 击 者 本 身 。 攻 击 者 通 过 扫 描 、 通 过 G i t H u b 发 现 了 3 0 个 资 产 ， 并 且 其 中 有 5 个 脆 弱 点 ， 这 些 资 产 是 真 实 的 吗 ？ 这 些 脆 弱 点 是 真 实 的 吗 ？ 人 是 有 惰 性 的 ， 不 管 攻 击 者 通 过 什 么 逆 天 0 d a y 渗 透 进 内 网 ， 人 生 地 不 熟 ， 发 现 一 个 P C 上 记 录 着 某 个 运 维 监 控 系 统 要 不 要 去 看 看 ？ 发 现 P C 内 存 有 重 要 密 码 H A S H 要 不 要 拿 去 登 录 ？ 发 现 一 个 存 在 s q l 注 入 的 O A 系 统 要 不 要 去 看 看 ？ 发 现 j e n k i n s 的 R C E 漏 洞 打 不 打 ？ 有 容 易 入 侵 的 方 式 不 用 ， 专 门 拿 逆 天 0 d a y 去 打 一 切 系 统 ？ 欺 骗 防 御 避 开 了 技 术 对 抗 这 个 关 键 点 ， 回 到 人 的 角 度 看 攻 击 行 为 。 欺 骗 防 御 避 开 了 技 术 对 抗 这 个 关 键 点 ， 回 到 人 的 角 度 看 攻 击 行 为 。 欺 骗 防 御 的 市 场 定 位 与 趋 势 欺 骗 防 御 的 市 场 定 位 与 趋 势 从 上 文 的 描 述 其 实 可 以 看 出 来 ， 我 的 判 断 是 欺 骗 防 御 属 于 A P T 检 测 、 红 蓝 对 抗 的 一 部 分 。 凡 是 部 署 A P T 检 测 产 品 的 地 方 ， 就 需 要 部 署 欺 骗 防 御 系 统 。 需 要 做 红 蓝 对 抗 演 练 的 地 方 ， 就 需 要 部 署 欺 骗 防 御 系 统 。 这 里 面 也 暗 含 了 我 的 另 外 一 个 想 法 — — 欺 骗 防 御 不 取 代 传 统 的 A P T 检 测 产 品 ， 也 不 可 能 取 代 。 理 想 情 况 下 ， 应 该 是 边 界 上 部 署 基 于 A I 的 A P T 检 测 设 备 ， 作 为 堂 堂 正 正 的 御 敌 之 师 ； 业 务 内 部 ， 部 署 欺 骗 防 御 系 统 ， 作 为 合 纵 连 横 的 腹 黑 心 机 。 过 去 存 在 的 A P T 市 场 有 多 大 ， 欺 骗 防 御 存 量 市 场 就 有 多 大 。 未 来 ， 还 没 有 部 署 A P T 检 测 产 品 的 地 方 ， 将 会 同 时 部 署 A P T 产 品 和 欺 骗 防 御 产 品 ， 这 是 欺 骗 防 御 即 将 产 生 的 新 市 场 。 除 了 企 业 内 部 传 统 的 I T 架 构 、 云 、 I O T 网 络 、 工 控 网 络 ， 欺 骗 防 御 产 品 都 将 发 挥 巨 大 的 作 用 。 我 们 2 0 1 6 年 4 月 成 立 之 后 ， 同 年 9 月 发 布 了 国 内 第 一 款 欺 骗 防 御 产 品 。 这 几 年 我 和 不 同 的 客 户 沟 通 后 ， 已 经 感 觉 到 了 市 场 的 趋 势 即 将 到 来 。 所 以 ， 我 敢 断 言 ， 2 0 2 2 年 之 前 ， 欺 骗 防 御 市 场 会 极 其 兴 旺 。 至 于 具 体 多 大 ， 需 要 专 门 的 研 究 机 构 去 研 究 ， 这 不 是 我 的 专 长 。 我 通 过 多 年 的 行 业 浸 润 ， 以 自 己 的 第 六 感 敏 锐 地 感 觉 到 就 已 经 够 了 。 欺 骗 防 御 产 品 的 实 施 欺 骗 防 御 产 品 的 实 施 欺 骗 防 御 产 品 ， 应 该 有 四 个 关 键 点 ： 诱 饵 诱 饵 、 融 合 融 合 、 分 析 分 析 、 溯 源 溯 源 。 诱 饵 是 攻 击 者 在 采 集 信 息 收 集 目 标 情 报 时 发 生 作 用 ， 对 攻 击 者 进 行 欺 骗 。 这 里 的 信 息 采 集 可 能 发 生 在 侵 入 之 前 ， 攻 击 者 在 G i t H u b 、 P a s t e b i n 等 S a a S 业 务 上 收 集 的 数 据 ， 也 可 能 发 生 在 攻 击 者 已 经 在 某 些 P C 上 植 入 远 控 ， 收 集 P C 上 面 的 各 种 浏 览 器 记 录 、 T X T 文 档 、 E M L 文 件 、 R D P 记 录 等 等 ， 甚 至 包 括 内 存 里 面 的 密 码 h a s h 。 总 的 来 说 ， 诱 饵 是 用 来 让 潜 伏 在 内 部 的 黑 客 主 动 跳 出 来 进 行 攻 击 从 而 暴 露 自 己 ， 是 捕 鼠 器 旁 边 沿 路 放 置 的 小 甜 点 。 对 攻 击 渗 透 越 了 解 ， 对 人 性 越 了 解 ， 越 能 够 做 出 更 具 迷 惑 性 、 更 真 实 的 诱 饵 。 运 用 之 妙 ， 存 乎 一 心 。 融 合 是 欺 骗 防 御 和 传 统 蜜 罐 的 根 本 区 别 所 在 。 传 统 蜜 罐 是 上 古 时 代 就 出 现 的 安 全 技 术 ， 但 是 只 在 安 全 公 司 收 集 样 本 的
时 候 使 用 ， 基 本 上 与 安 全 防 御 无 缘 。 究 其 原 因 ， 是 因 为 蜜 罐 的 蠢 和 笨 。 三 两 个 木 头 人 ， 站 在 企 业 内 网 这 么 一 大 片 树 林 里 ， 想 故 意 去 碰 它 都 未 必 找 得 到 ， 何 况 是 想 等 人 无 意 中 踩 上 来 ？ 所 以 我 们 做 欺 骗 防 御 系 统 最 关 键 的 点 ， 就 是 要 让 蜜 罐 安 全 地 融 入 到 业 务 系 统 之 中 ， 不 仅 仅 是 四 层 端 口 的 融 合 ， 还 包 括 七 层 业 务 的 融 合 ， 甚 至 包 括 数 据 层 面 的 融 合 。 最 终 要 做 到 真 实 业 务 网 和 蜜 网 完 全 一 体 ， 你 中 有 我 我 中 有 你 ， 才 算 是 实 现 了 欺 骗 防 御 。 部 署 完 成 后 ， 原 本 1 个 资 产 有 3 个 服 务 ， 可 能 变 成 4 个 服 务 。 原 本 1 0 0 0 个 I P ， 可 能 变 成 1 2 0 0 个 I P 。 原 本 网 站 某 个 目 录 不 存 在 ， 现 在 可 能 能 够 访 问 还 返 回 一 些 错 误 信 息 。 融 合 更 多 的 是 一 种 理 念 ， 需 要 结 合 各 种 技 术 以 高 安 全 、 低 成 本 、 易 部 署 的 方 式 去 实 现 。 这 些 融 合 ， 甚 至 要 依 托 最 新 的 S D N 、 S D S e c 之 类 的 技 术 ， 这 里 也 是 对 传 统 A P T 检 测 产 品 那 种 点 状 模 式 的 突 破 ， 在 内 部 形 成 了 一 个 拥 有 无 数 触 角 的 大 网 。 对 渗 透 技 术 的 把 握 ， 会 反 应 在 融 合 的 思 路 上 。 兵 无 常 势 ， 水 无 常 形 。 第 三 个 是 分 析 。 属 于 常 规 操 作 ， 不 做 赘 述 。 值 得 一 提 的 是 ， 欺 骗 防 御 的 分 析 ， 更 多 的 是 分 析 入 侵 者 在 入 侵 后 的 一 些 行 为 ， 如 果 真 是 拿 逆 天 0 d a y 打 进 来 的 ， 这 个 0 d a y 是 抓 不 到 的 ， 也 不 太 可 能 分 析 出 是 怎 么 打 进 来 的 ， 除 非 运 气 好 0 d a y 直 接 打 在 一 个 蜜 罐 上 或 者 与 这 个 蜜 罐 融 合 的 那 个 影 子 上 。 第 四 个 ， 溯 源 。 溯 源 不 仅 仅 是 传 统 的 基 于 I P 地 址 、 物 理 位 置 的 溯 源 ， 那 种 枯 燥 的 东 西 毫 无 意 义 。 欺 骗 防 御 的 溯 源 ， 是 要 到 人 的 溯 源 。 区 分 自 动 化 的 机 器 程 序 和 人 的 行 为 ， 并 且 能 够 不 被 V P N 、 代 理 所 蒙 蔽 追 溯 到 真 实 的 信 息 ， 将 同 一 个 人 的 多 种 不 同 来 源 、 多 种 不 同 行 为 关 联 到 同 一 个 人 身 上 。 这 样 的 溯 源 才 是 有 价 值 的 ， 是 生 动 的 。 做 到 这 一 步 ， 其 实 有 点 回 到 了 我 序 言 所 说 的 那 种 很 贵 的 威 胁 情 报 。 总 结 总 结 一 句 话 ， 欺 骗 防 御 是 传 统 A P T 检 测 产 品 、 下 一 代 防 火 墙 产 品 的 盟 友 ， 三 者 将 会 一 起 壮 大 这 个 市 场 。 未 来 不 局 限 于 企 业 内 网 和 云 ， 更 会 扩 展 到 I o T 安 全 、 工 控 安 全 等 多 个 领 域 。 这 样 的 壮 大 ， 会 在 2 0 2 2 年 之 前 到 来 。 * 本 文 作 者 ： 本 文 作 者 ： 云 舒 （ 默 安 科 技 联 合 创 始 人 兼 云 舒 （ 默 安 科 技 联 合 创 始 人 兼 C T O ， 资 深 网 络 安 全 研 究 人 员 ） ， 转 载 请 注 明 来 自 ， 资 深 网 络 安 全 研 究 人 员 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理