搜索

[22032] 2021-06-01_网络安全攻防：APT防御手段

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-06-01_网络安全攻防：APT防御手段 网 络 安 全 攻 防 ： A P T 防 御 手 段 L e m o n S e c   2 0 2 1 - 0 6 - 0 1 0 1   A P T 防 御 的 难 点 分 析 防 御 的 难 点 分 析 A P T 攻 击 的 专 业 性 强 、 复 杂 度 高 ， 因 此 对 其 防 范 相 对 困 难 。 攻 击 者 在 暗 处 通 过 社 会 工 程 学 等 手 段 收 集 大 量 信 息 ， 而 被 攻 击 者 毫 不 知 情 ， 这 样 的 信 息 不 对 称 也 造 成 了 A P T 攻 击 的 防 御 难 点 。 A P T 攻 击 行 为 特 征 难 以 提 取 、 攻 击 渠 道 多 元 化 、 攻 击 空 间 不 确 定 等 特 点 恰 好 也 形 成 对 其 防 御 的 难 点 。 首 先 ， A P T 一 般 通 过 零 日 漏 洞 获 取 权 限 ， 但 通 过 获 取 和 分 析 相 应 攻 击 的 特 征 来 识 别 攻 击 行 为 通 常 具 有 滞 后 性 ， 这 将 导 致 实 时 监 测 A P T 攻 击 变 得 很 困 难 ， 更 何 况 A P T 注 重 动 态 行 为 和 静 态 文 件 的 隐 蔽 性 ， 如 构 建 隐 蔽 通 道 、 加 密 通 道 等 ； 其 次 ， A P T 攻 击 渠 道 的 多 元 化 导 致 很 难 使 用 单 一 的 技 术 手 段 建 立 通 用 的 防 御 机 制 ； 最 后 ， A P T 攻 击 空 间 的 不 确 定 性 ， 如 任 何 一 个 阶 段 、 任 何 一 个 网 络 、 任 何 边 缘 或 非 核 心 的 节 点 等 都 有 可 能 成 为 攻 击 目 标 ， 导 致 其 安 全 防 护 效 果 的 不 确 定 性 。 “ 持 续 性 ” 和 “ 社 会 工 程 学 ” 的 混 合 攻 击 方 式 是 防 御 A P T 的 另 一 难 点 。 A P T 的 持 续 时 间 长 久 ， 就 如 同 人 体 的 慢 性 疾 病 ， 潜 伏 一 段 时 间 后 可 能 随 时 爆 发 。 据 统 计 ， A P T 攻 击 从 产 生 到 被 发 现 的 平 均 耗 时 约 为 5 年 ， 是 否 能 够 保 证 在 5 年 的 时 间 内 一 直 关 注 某 些 数 据 ？ 这 在 物 理 世 界 都 很 难 坚 持 ， 更 何 况 在 数 据 无 所 不 在 的 网 络 空 间 。 大 数 据 的 特 点 就 是 数 据 规 模 大 、 分 布 无 所 不 在 ， 即 数 据 的 价 值 密 度 变 得 更 小 、 更 分 散 ， 从 而 导 致 更 难 聚 焦 于 高 价 值 的 数 据 ， 这 正 是 大 数 据 本 身 所 带 来 的 攻 击 检 测 难 点 。 然 而 ， 攻 击 者 则 恰 好 可 能 一 直 持 续 关 注 着 某 些 敏 感 数 据 ， 这 就 将 造 成 A P T 攻 击 防 不 胜 防 。 0 2   A P T 防 御 的 基 本 方 法 防 御 的 基 本 方 法 A P T 是 多 样 攻 击 方 式 的 组 合 ， 因 此 也 需 要 对 其 进 行 多 方 位 的 检 测 防 御 。 1 .   恶 意 代 码 检 测 恶 意 代 码 检 测 大 多 数 A P T 攻 击 都 是 通 过 恶 意 代 码 来 攻 击 员 工 个 人 电 脑 ， 从 而 突 破 目 标 网 络 和 系 统 防 御 措 施 。 因 此 ， 恶 意 代 码 检 测 对 于 检 测 和 防 御 A P T 攻 击 至 关 重 要 。 恶 意 代 码 的 检 测 主 要 分 为 两 种 ： 基 于 特 征 码 的 检 测 技 术 和 基 于 启 发 式 的 检 测 技 术 。 基 于 特 征 码 的 检 测 技 术 基 于 特 征 码 的 检 测 技 术 是 通 过 对 恶 意 代 码 的 静 态 分 析 ， 找 到 该 恶 意 代 码 中 具 有 代 表 性 的 特 征 信 息 （ 指 纹 ） ， 如 十 六 进 制 的 字 节 序 列 、 字 符 串 序 列 等 ， 然 后 再 利 用 该 特 征 进 行 快 速 匹 配 。 因 此 ， 基 于 特 征 码 检 测 过 程 一 般 分
3 个 步 骤 ： 第 一 步 是 特 征 分 析 ， 反 病 毒 专 家 通 过 对 搜 集 的 恶 意 样 本 进 行 分 析 ， 抽 取 特 征 码 ； 第 二 步 是 特 征 码 入 库 ， 即 将 特 征 码 加 入 特 征 数 据 库 ； 第 三 步 是 安 全 检 测 ， 即 对 可 疑 样 本 进 行 扫 描 ， 利 用 已 有 的 特 征 数 据 库 进 行 匹 配 ， 一 旦 匹 配 成 功 ， 则 认 定 为 恶 意 代 码 ， 并 输 出 该 恶 意 代 码 的 相 关 信 息 。 基 于 启 发 式 的 检 测 技 术 基 于 启 发 式 的 检 测 技 术 是 通 过 对 恶 意 代 码 的 分 析 获 得 恶 意 代 码 执 行 中 通 用 的 行 为 操 作 序 列 或 结 构 模 式 ， 这 些 行 为 序 列 和 模 式 一 般 在 正 常 文 件 中 很 少 出 现 ， 如 修 改 某 个 P E 文 件 的 结 构 、 删 除 某 个 系 统 关 键 文 件 、 格 式 化 磁 盘 等 ， 然 后 再 把 每 一 个 行 为 操 作 序 列 或 结 构 模 式 按 照 危 险 程 度 排 序 并 设 定 不 同 的 危 险 程 度 加 权 值 ， 在 实 施 检 测 时 ， 若 行 为 操 作 序 列 或 结 构 模 式 的 加 权 值 总 和 超 过 某 个 指 定 的 阈 值 ， 即 判 定 为 恶 意 代 码 。 启 发 式 检 测 技 术 进 行 检 测 时 阈 值 的 设 定 是 关 键 ， 若 阈 值 设 定 过 大 ， 则 可 能 忽 略 某 些 危 险 操 作 ， 容 易 造 成 漏 报 ， 但 若 设 定 过 小 ， 可 能 把 某 些 正 常 的 行 为 序 列 组 合 判 定 为 恶 意 操 作 ， 则 容 易 误 报 。 因 此 要 通 过 实 验 ， 调 整 参 数 以 达 到 最 佳 检 验 效 果 。 2 .   主 机 应 用 保 护 主 机 应 用 保 护 不 管 攻 击 者 通 过 何 种 渠 道 向 员 工 个 人 电 脑 发 送 恶 意 代 码 ， 该 恶 意 代 码 必 须 在 员 工 个 人 电 脑 上 执 行 才 能 控 制 整 个 电 脑 。 因 此 ， 若 能 加 强 系 统 内 各 主 机 节 点 的 安 全 措 施 ， 确 保 员 工 个 人 电 脑 以 及 服 务 器 的 安 全 ， 则 可 以 有 效 防 御 A P T 攻 击 。 3 .   网 络 入 侵 检 测 网 络 入 侵 检 测 安 全 分 析 人 员 发 现 ， 虽 然 A P T 攻 击 所 使 用 的 恶 意 代 码 变 种 多 且 升 级 频 繁 ， 但 恶 意 代 码 所 构 建 的 命 令 控 制 通 道 通 信 模 式 并 不 经 常 变 化 。 因 此 ， 可 采 用 传 统 入 侵 检 测 方 法 来 检 测 A P T 的 命 令 控 制 通 道 ， 关 键 是 如 何 及 时 获 取 A P T 攻 击 命 令 控 制 通 道 的 通 信 模 式 特 征 。 4 .   大 数 据 分 析 检 测 大 数 据 分 析 检 测 大 数 据 分 析 是 一 种 网 络 取 证 思 路 ， 它 全 面 采 集 网 络 设 备 的 原 始 流 量 及 终 端 和 服 务 器 日 志 ， 进 行 集 中 的 海 量 数 据 存 储 和 深 入 分 析 ， 可 以 在 发 现 A P T 攻 击 的 蛛 丝 马 迹 后 ， 通 过 全 面 分 析 海 量 日 志 数 据 来 还 原 A P T 攻 击 场 景 。 大 数 据 分 析 检 测 因 涉 及 海 量 数 据 处 理 ， 因 此 需 要 构 建 H a d o o p 、 S p a r k   等 大 数 据 存 储 和 分 析 平 台 ， 并 通 过 机 器 学 习 对 数 据 进 行 分 析 ， 从 而 检 测 出 是 否 受 到 攻 击 。 例 如 ， 利 用 k - m e a n s 聚 类 算 法 和 I D 3 决 策 树 学 习 算 法 进 行 网 络 异 常 流 量 检 测 ， 使 用 基 于 欧 氏 距 离 的 k - m e a n s 聚 类 算 法 对 正 常 流 量 行 为 和 异 常 流 量 行 为 进 行 训 练 ， 最 后 结 合 I D 3 决 策 树 判 断 是 否 发 生 流 量 异 常 。 0 3   A P T 防 御 的 产 品 路 线 防 御 的 产 品 路 线 随 着 A P T 攻 击 的 流 行 ， 不 少 安 全 厂 商 也 推 出 了 A P T 安 全 解 决 方 案 ， 下 面 介 绍 几 个 A P T 检 测 和 防 御 产 品 。
1 .   F i r e E y e F i r e E y e   的   A P T   解 决 方 案 包 括   M P S （ M a l w a r e   P r o t e c t i o n   S y s t e m ） 和 C M S （ C e n t r a l M a n a g e m e n t S y s t e m ） 两 大 组 件 。 其 中 ， M P S 是 恶 意 代 码 防 护 引 擎 ， 是 一 个 高 性 能 的 智 能 沙 箱 ， 可 直 接 采 集 流 量 、 抽 取 携 带 文 件 等 ， 然 后 放 到 沙 箱 中 进 行 安 全 检 测 。 F i r e E y e 的 M P S 引 擎 有 以 下 特 点 。 （ 1 ） 支 持 对 W e b 、 邮 件 和 文 件 共 享 3 种 来 源 的 恶 意 代 码 检 测 。 （ 2 ） 对 于 不 同 来 源 的 恶 意 代 码 ， 采 取 专 门   M P S   硬 件 进 行 专 门 处 理 ， 目 的 是 提 高 检 测 性 能 和 准 确 性 。 （ 3 ） M P S 支 持 除 可 执 行 文 件 之 外 的 多 达 2 0 种 文 件 类 型 的 恶 意 代 码 检 测 。 （ 4 ） M P S 可 支 持 旁 路 和 串 联 部 署 ， 以 实 现 恶 意 代 码 的 检 测 和 实 时 防 护 。 （ 5 ） M P S   可 实 时 学 习 恶 意 代 码 的 命 令 和 控 制 信 道 特 征 ， 在 串 联 部 署 模 式 可 以 实 时 阻 断 A P T 攻 击 的 命 令 控 制 通 道 。 C M S 是 集 中 管 理 系 统 模 块 ， 管 理 系 统 中 各 M P S 引 擎 ， 同 时 实 现 威 胁 情 报 的 收 集 和 及 时 分 发 分 享 。 C M S 除 了 对 系 统 中 多 个 M P S 引 擎 进 行 集 中 管 理 外 ， 还 可 连 接 到 云 中 的 全 球 威 胁 情 报 网 络 来 获 取 威 胁 情 报 ， 并 支 持 将 检 测 到 的 新 恶 意 代 码 情 报 上 传 到 云 平 台 ， 实 现 威 胁 情 报 的 同 步 共 享 。 此 外 ， F i r e E y e 还 可 与 其 他 日 志 分 析 产 品 融 合 ， 形 成 功 能 更 强 大 的 A P T 安 全 防 御 解 决 方 案 。 2 .   B i t 9 B i t 9 可 信 安 全 平 台 （ T r u s t - b a s e d   S e c u r i t y   P l a t f o r m ） 采 用 软 件 可 信 、 实 时 检 测 审 计 和 安 全 云 三 大 技 术 ， 提 供 网 络 可 视 、 实 时 检 测 、 安 全 保 护 和 事 后 取 证 等 四 大 企 业 级 安 全 功 能 ， 从 而 实 现 强 大 的 恶 意 代 码 检 测 和 各 类 高 级 威 胁 的 抵 御 能 力 。 B i t 9 解 决 方 案 核 心 是 一 个 基 于 策 略 的 可 信 引 擎 ， 管 理 员 可 以 通 过 安 全 策 略 来 定 义 可 信 软 件 。 B i t 9 可 信 安 全 平 台 默 认 所 有 软 件 都 是 可 疑 并 禁 止 加 载 执 行 ， 只 有 符 合 安 全 策 略 定 义 的 软 件 才 被 认 为 可 信 并 允 许 执 行 。 B i t 9 可 以 基 于 软 件 发 布 商 和 可 信 软 件 分 发 源 等 定 义 可 信 策 略 ， 同 时 还 可 使 用 安 全 云 提 供 的 软 件 信 誉 服 务 来 度 量 软 件 可 信 度 ， 从 而 允 许 用 户 下 载 和 安 装 可 信 度 高 的 自 由 软 件 。 基 于 安 全 策 略 的 可 信 软 件 定 义 方 案 事 实 上 采 用 了 软 件 白 名 单 机 制 ， 即 在 软 件 白 名 单 中 的 应 用 软 件 才 能 在 企 业 计 算 环 境 中 执 行 ， 其 他 都 被 禁 止 执 行 ， 以 此 保 护 企 业 的 计 算 环 境 安 全 。
B i t 9 解 决 方 案 中 安 装 在 每 个 终 端 和 服 务 器 上 的 轻 量 级 实 时 检 测 和 审 计 模 块 ， 是 实 现 实 时 检 测 、 安 全 防 护 和 事 后 取 证 的 关 键 部 件 。 实 时 检 测 模 块 可 以 实 现 对 整 个 网 络 和 计 算 环 境 的 全 面 可 视 ， 实 时 了 解 终 端 和 服 务 器 的 设 备 状 态 和 关 键 系 统 资 源 状 态 ， 包 括 终 端 上 的 文 件 操 作 和 软 件 加 载 执 行 情 况 ； 审 计 模 块 还 可 审 计 终 端 上 的 文 件 进 入 渠 道 、 文 件 执 行 、 内 存 攻 击 、 进 程 行 为 、 注 册 表 、 外 设 挂 载 情 况 等 。 B i t 9 解 决 方 案 还 提 供 一 个 基 于 云 的 软 件 信 誉 服 务 ， 即 通 过 主 动 抓 取 发 布 在 云 上 的 软 件 信 息 ， 包 括 软 件 发 布 时 间 、 流 行 程 度 、 软 件 发 布 商 、 软 件 来 源 、 A V   扫 描 结 果 等 来 计 算 软 件 信 誉 度 。 同 时 ， 还 支 持 从 第 三 方 恶 意 代 码 检 测 厂 商 （ 如   F i r e E y e   等 ） 获 取 文 件 散 列 列 表 ， 有 效 识 别 更 多 的 恶 意 代 码 和 可 疑 文 件 。 3 .   R S A   N e t W i t n e s s R S A   N e t W i t n e s s 是 一 款 革 命 性 的 网 络 安 全 监 控 平 台 ， 针 对 A P T 攻 击 的 检 测 和 防 御 主 要 由 S p e c t r u m 、 P a n o r a m a 和 L i v e 三 大 组 件 实 现 。 其 中 ， R S A   N e t W i t n e s s   S p e c t r u m 是 一 款 安 全 分 析 软 件 ， 专 门 用 来 识 别 和 分 析 基 于 恶 意 软 件 的 企 业 网 络 安 全 威 胁 ， 并 确 定 安 全 威 胁 的 优 先 级 ； R S A   N e t W i t n e s s   P a n o r a m a 通 过 融 合 成 百 上 千 种 日 志 源 与 外 部 安 全 威 胁 情 报 ， 从 而 实 现 创 新 性 信 息 安 全 分 析 ； R S A   N e t W i t n e s s   L i v e 是 一 种 高 级 威 胁 情 报 服 务 ， 通 过 利 用 来 自 全 球 信 息 安 全 界 的 集 体 智 慧 和 分 析 技 能 ， 及 时 获 得 各 种 A P T 攻 击 的 威 胁 情 报 信 息 ， 可 极 大 缩 短 针 对 潜 在 安 全 威 胁 的 响 应 时 间 。 总 体 而 言 ， R S A   N e t W i t n e s s 具 有 以 下 特 点 。 （ 1 ） 网 络 全 流 量 和 服 务 对 象 离 散 事 件 的 集 中 分 析 ， 实 现 网 络 的 全 面 可 视 性 ， 从 而 获 得 整 个 网 络 的 安 全 态 势 。 （ 2 ） 识 别 各 种 内 部 威 胁 、 检 测 零 日 漏 洞 攻 击 、 检 测 各 种 特 定 恶 意 代 码 和 A P T 攻 击 事 件 以 及 数 据 泄 密 事 件 等 。 （ 3 ） 网 络 日 志 数 据 的 实 时 上 下 文 智 能 分 析 ， 为 企 业 提 供 可 读 的 安 全 情 报 信 息 。 （ 4 ） 检 测 与 防 御 分 析 过 程 的 自 动 化 ， 最 小 化 安 全 事 件 响 应 时 间 。 0 4   A P T 防 御 的 发 展 趋 势 防 御 的 发 展 趋 势 当 前 主 流 厂 商 提 供 的 A P T 防 御 产 品 ， 主 要 存 在 如 下 问 题 。 （ 1 ） 不 能 很 好 实 现 A P T 攻 击 全 过 程 检 测 ， 容 易 导 致 攻 击 漏 报 。 （ 2 ） 不 能 全 面 提 供 A P T 攻 击 的 实 时 防 御 ， 难 以 实 现 主 动 防 御 。
（ 3 ） 不 能 精 准 执 行 A P T 攻 击 的 态 势 感 知 ， 缺 乏 安 全 预 警 机 制 。 从 功 能 上 看 ， 一 个 完 整 的 A P T 安 全 检 测 与 防 御 解 决 方 案 应 该 覆 盖 A P T 攻 击 的 所 有 阶 段 ， 即 应 该 解 决 事 前 智 能 检 测 、 事 中 应 急 响 应 和 事 后 分 析 防 御 等 3 个 层 面 。 从 技 术 上 看 ， A P T 安 全 解 决 方 案 应 该 配 置 主 机 应 用 控 制 、 实 时 恶 意 代 码 检 测 、 入 侵 防 御 等 关 键 技 术 ， 实 现 对 A P T 攻 击 的 实 时 检 测 和 防 御 。 同 时 ， 也 需 要 将 入 侵 检 测 防 御 和 大 数 据 分 析 技 术 相 结 合 ， 实 现 基 于 大 数 据 的 安 全 态 势 感 知 与 智 能 预 警 分 析 将 成 为 A P T 安 全 解 决 方 案 的 核 心 ， 实 现 对 A P T 攻 击 事 件 的 情 报 信 息 获 取 及 其 深 度 分 析 。 随 着 人 工 智 能 2 . 0 时 代 的 到 来 ， 基 于 深 度 学 习 的 A P T 主 动 防 御 服 务 平 台 也 成 为 一 种 技 术 发 展 趋 势 。 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理