搜索

[6653] 2020-04-19_案例分析：用UEBA解决Equifax的失陷凭证问题

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2020-04-19_案例分析：用UEBA解决Equifax的失陷凭证问题 案 例 分 析 ： 用 U E B A 解 决 E q u i f a x 的 失 陷 凭 证 问 题 安 恒 A i L P H A   E 安 全   2 0 2 0 - 0 4 - 1 9 概 述 概 述 近 日 万 豪 透 漏 再 次 遭 遇 大 规 模 数 据 泄 露 ， 可 能 涉 及 5 2 0 万 名 客 户 的 详 细 信 息 。 此 次 事 件 攻 击 者 使 用 万 豪 特 许 经 营 酒 店 两 名 员 工 的 登 录 凭 证 进 行 数 据 访 问 。 利 用 合 法 凭 证 访 问 企 业 资 源 已 成 为 攻 击 者 规 避 边 界 防 护 等 安 全 措 施 的 重 要 手 段 。 2 0 1 9 年 V e r i z o n 发 布 的 《 数 据 泄 露 调 查 报 告 》 对 各 行 业 数 据 泄 露 事 件 中 泄 露 数 据 类 型 进 行 统 计 ， 其 中 教 育 行 业 、 技 术 科 学 服 务 行 业 、 制 造 业 的 凭 证 泄 露 事 件 占 数 据 泄 露 事 件 比 例 最 高 ， 分 别 为 5 3 % 、 5 0 % 、 4 9 % 。 在 多 数 情 况 下 ， 攻 击 者 采 用 钓 鱼 邮 件 、 社 会 工 程 学 、 恶 意 软 件 等 手 段 窃 取 企 业 员 工 的 凭 证 。 一 旦 攻 击 者 获 得 了 这 些 凭 证 ， 就 可 以 冒 充 具 有 合 法 访 问 权 限 的 用 户 ， 进 行 内 部 侦 查 、 提 升 特 权 等 操 作 以 获 取 有 价 值 的 数 据 （ 例 如 电 子 邮 件 、 知 识 产 权 、 财 务 信 息 等 ） ， 并 在 很 长 一 段 时 间 内 潜 伏 在 网 络 中 。 实 际 上 ， 超 过 7 5 ％ 的 攻 击 需 要 几 周 甚 至 更 长 时 间 才 能 被 检 测 出 。 攻 击 链 映 射 攻 击 链 映 射 利 用 合 法 凭 证 的 攻 击 通 常 涉 及 多 个 步 骤 ， 在 攻 击 链 中 具 体 涉 及 到 的 活 动 如 图 所 示 。 监 测 攻 击 链 中 每 一 项 活 动 需 要 使 监 测 攻 击 链 中 每 一 项 活 动 需 要 使 用 不 同 的 安 全 技 术 和 不 同 的 条 件 集 ， 这 可 能 导 致 大 量 的 告 警 及 误 报 。 用 不 同 的 安 全 技 术 和 不 同 的 条 件 集 ， 这 可 能 导 致 大 量 的 告 警 及 误 报 。 而 且 通 常 企 业 存 在 I T 运 维 孤 岛 ， 一 些 由 员 工 自 己 上 报 的 可 能 是 攻 击 线 索 （ 例 如 ， 光 标 自 己 移 动 了 一 点 、 摄 像 头 自 发 开 启 并 关 闭 、 C P U 使 用 率 突 增 或 死 机 ） 的 信 息 被 搁 置 ， 导 致 威 胁 的 持 续 驻 留 。 攻 击 者 和 合 法 用 户 的 目 标 差 距 攻 击 者 和 合 法 用 户 的 目 标 差 距 攻 击 者 在 网 络 驻 留 的 目 标 和 员 工 的 工 作 目 标 差 距 甚 大 目 标 差 距 甚 大 ， 但 他 们 通 常 使 用 相 同 的 系 统 并 执 行 相 同 的 操 作 。 员 工 在 企 业 网 络 中 因 工 作 职 责 不 同 具 有 不 同 的 访 问 权 限 及 凭 证 ， 负 责 系 统 和 应 用 运 维 的 员 工 具 有 查 看 并 修 改 系 统 配 置 的 权 限 ， 负 责 研 发 的 员 工 具 有 查 看 及 修 改 源 码 的 权 限 ， 有 些 员 工 甚 至 拥 有 更 敏 感 数 据 的 访 问 权 限 能 够 查 看 客 户 信 息 、 商 业 数 据 、 健 康 信 息 等 。 而 为 了 方 便 企 业 办 公 ， 所 有 员 工 都 在 一 个 网 络 环 境 下 进 行 通 信 办 公 。
大 多 数 的 网 络 安 全 专 家 认 为 ， 员 工 是 企 业 网 络 安 全 系 统 中 最 薄 弱 的 一 环 。 网 络 安 全 公 司 C r o w d S t r i k e 的 D m i t r i   A l p e r o v i t c h 表 示 ， 研 究 表 明 有 5 % 到 1 0 % 的 员 工 会 点 击 几 乎 所 有 的 邮 件 。 而 钓 鱼 邮 件 一 经 点 击 ， 就 可 能 会 在 主 机 中 自 动 运 行 恶 意 程 序 ， 使 攻 击 者 能 够 控 制 员 工 主 机 ， 而 这 些 恶 意 程 序 往 往 不 会 使 系 统 产 生 明 显 的 变 化 。 攻 击 者 的 目 标 是 使 自 己 伪 装 成 合 法 员 工 并 长 期 驻 留 在 网 络 中 。 攻 击 者 尝 试 查 找 入 侵 用 户 的 访 问 权 限 及 其 和 其 他 员 工 攻 击 者 尝 试 查 找 入 侵 用 户 的 访 问 权 限 及 其 和 其 他 员 工 的 工 作 交 互 。 的 工 作 交 互 。 如 果 入 侵 用 户 访 问 的 系 统 和 应 用 恰 好 是 攻 击 者 的 目 标 ， 则 攻 击 者 会 窃 取 其 关 心 的 数 据 ， 如 电 子 邮 件 、 网 络 拓 扑 、 源 代 码 等 。 如 果 入 侵 用 户 的 访 问 不 能 满 足 攻 击 者 的 目 标 ， 则 攻 击 者 会 在 网 络 内 横 向 移 动 以 寻 找 其 真 正 的 猎 物 。 传 统 方 式 失 效 传 统 方 式 失 效 大 多 数 遭 遇 入 侵 的 企 业 或 政 府 组 织 采 用 的 传 统 防 护 手 段 具 有 如 下 弊 端 ： 采 用 传 统 的 统 计 技 术 ， 设 置 检 测 基 线 ， 一 旦 检 测 基 线 被 攻 击 者 猜 出 检 测 基 线 被 攻 击 者 猜 出 ， 就 会 导 致 方 法 失 效 。 此 外 ， 内 部 员 工 职 位 变 动 或 工 内 部 员 工 职 位 变 动 或 工 作 需 要 引 起 的 行 为 变 化 将 会 引 起 大 量 误 报 作 需 要 引 起 的 行 为 变 化 将 会 引 起 大 量 误 报 ， 加 剧 告 警 噪 音 ， 加 重 分 析 负 担 。 一 旦 以 合 法 凭 证 进 入 网 络 后 ， 攻 击 者 即 可 毫 无 忌 惮 的 扫 描 、 访 问 网 络 内 重 要 资 产 。 传 统 检 测 方 法 缺 乏 对 用 户 在 网 络 内 的 缺 乏 对 用 户 在 网 络 内 的 实 时 行 为 跟 踪 分 析 实 时 行 为 跟 踪 分 析 ， 无 法 及 时 发 现 攻 击 者 在 网 络 内 部 的 异 常 行 为 。 传 统 的 单 点 安 全 防 护 手 段 ， 以 单 一 维 度 进 行 威 胁 行 为 检 测 ， 存 在 管 控 孤 岛 ， 多 源 数 据 无 法 有 效 关 联 ， 缺 乏 整 体 视 角 的 安 缺 乏 整 体 视 角 的 安 全 风 险 监 控 全 风 险 监 控 ， 如 绕 过 防 火 墙 的 访 问 检 测 （ 后 文 有 详 细 介 绍 ） 等 。 选 择 正 确 的 数 据 选 择 正 确 的 数 据 当 前 许 多 企 业 采 用 大 数 据 解 决 方 案 ， 收 集 和 分 析 网 络 系 统 及 基 础 安 全 设 施 产 生 的 大 量 数 据 。 虽 然 采 集 并 分 析 数 据 十 分 重 要 ， 但 如 果 失 去 聚 焦 点 和 上 下 文 信 息 ， 就 会 演 变 为 安 全 噪 声 污 染 。 失 去 聚 焦 点 和 上 下 文 信 息 ， 就 会 演 变 为 安 全 噪 声 污 染 。 在 检 测 利 用 合 法 凭 证 进 入 网 络 环 境 的 攻 击 时 ， 很 多 采 集 数 据 是 无 帮 助 的 。 因 此 检 测 此 类 攻 击 时 ， 要 假 定 敌 已 在 内 ， 主 要 关 注 以 下 四 类 数 据 ：   普 通 用 户 认 证 活 动 数 据 或 行 为 数 据 行 为 数 据 。 包 括 V P N 、 域 控 制 器 日 志 、 轻 量 级 目 录 访 问 协 议 日 志 、 应 用 日 志 、 单 点 登 录 数 据 以 及 某 些 W i n d o w s （ K e r b e r o s ） 和 U n i x 日 志 。 了 解 用 户 的 正 常 行 为 能 够 帮 助 更 容 易 地 发 现 攻 击 者 行 为 。
业 务 数 据 业 务 数 据 能 够 为 用 户 行 为 提 供 上 下 文 信 息 ， 包 括 用 户 是 谁 、 在 和 谁 通 信 以 及 在 访 问 什 么 系 统 。 此 外 ， 活 动 目 录 中 的 相 关 业 务 联 系 信 息 能 够 有 效 帮 助 响 应 小 组 在 第 一 时 间 联 系 问 题 责 任 人 ， 以 对 异 常 活 动 进 行 快 速 响 应 。 来 自 上 网 行 为 管 理 、 网 络 操 作 监 控 等 产 品 提 供 的 实 时 网 络 层 用 户 行 为 信 息 实 时 网 络 层 用 户 行 为 信 息 。 威 胁 情 报 威 胁 情 报 能 够 将 发 现 的 恶 意 行 为 与 外 界 事 件 进 行 关 联 。 虽 然 其 他 数 据 也 很 重 要 ， 能 够 在 检 测 上 述 攻 击 链 涉 及 的 活 动 中 提 供 帮 助 ， 但 在 利 用 行 为 分 析 检 测 伪 装 合 法 用 户 的 攻 击 者 时 不 是 最 相 关 的 。 要 选 择 正 确 的 数 据 ， 避 免 数 据 噪 音 ， 实 现 高 效 的 分 析 。 聚 焦 用 户 及 攻 击 者 行 为 特 征 聚 焦 用 户 及 攻 击 者 行 为 特 征 在 企 业 中 ， 每 个 员 工 都 有 不 同 的 角 色 、 权 利 和 职 务 ， 但 存 在 以 下 共 同 点 ： 完 成 工 作 任 务 时 需 要 必 要 的 访 问 凭 证 。 移 动 办 公 时 进 行 的 远 程 访 问 ， 即 通 过 V P N 、 单 点 登 录 门 户 或 其 他 方 式 登 录 基 于 云 或 本 地 托 管 的 应 用 和 系 统 。 办 公 使 用 的 移 动 设 备 在 公 司 外 网 使 用 时 通 常 没 有 邮 件 转 发 或 代 理 服 务 器 的 保 护 。 这 使 得 他 们 更 容 易 成 为 网 络 钓 鱼 或 其 他 社 工 的 目 标 。 员 工 具 有 行 为 习 惯 ， 在 一 段 时 间 内 ， 用 户 的 访 问 特 征 （ 使 用 资 源 、 访 问 位 置 、 访 问 时 间 、 访 问 系 统 、 使 用 身 份 等 ） 会 趋 于 某 种 定 势 。 具 有 合 法 凭 证 的 攻 击 者 和 常 规 用 户 极 为 相 似 ， 唯 一 不 同 的 就 是 目 标 。 具 有 合 法 凭 证 的 攻 击 者 和 常 规 用 户 极 为 相 似 ， 唯 一 不 同 的 就 是 目 标 。 这 能 够 映 射 至 行 为 和 访 问 特 征 中 ， 合 法 员 工 根 据 工 作 需 要 进 行 必 要 的 资 源 访 问 及 相 关 操 作 ， 在 一 段 时 间 内 能 形 成 趋 于 一 致 的 行 为 基 线 ， 而 攻 击 者 则 会 为 了 寻 找 趋 于 一 致 的 行 为 基 线 ， 而 攻 击 者 则 会 为 了 寻 找 高 价 值 信 息 进 行 内 部 侦 查 、 横 向 移 动 、 数 据 渗 出 等 异 常 行 为 。 高 价 值 信 息 进 行 内 部 侦 查 、 横 向 移 动 、 数 据 渗 出 等 异 常 行 为 。 因 此 ， 通 过 对 特 征 及 异 常 行 为 进 行 检 测 ， 能 够 有 效 找 出 网 络 中 的 “ 潜 伏 者 ” 。 用 例 用 例 E q u i f a x 是 美 国 三 大 个 人 信 用 评 估 机 构 之 一 ， 由 于 遭 遇 黑 客 攻 击 ， 致 使 约 1 . 4 3 亿 用 户 的 个 人 重 要 信 息 泄 漏 ， 公 司 被 处 亿 用 户 的 个 人 重 要 信 息 泄 漏 ， 公 司 被 处 罚 罚 7 亿 美 元 。 亿 美 元 。 在 此 次 攻 击 中 ， 攻 击 者 首 先 利 用 漏 洞 打 入 内 网 并 投 递 恶 意 载 荷 以 建 立 根 据 地 。 然 后 利 用 自 定 义 工 具 查 询 并 分 析 公 司 中 数 十 个 数 据 库 ， 以 获 取 合 法 账 户 凭 证 。 在 拿 到 合 法 凭 证 后 ， 攻 击 者 利 用 凭 证 大 肆 在 网 络 内 横 行 ， 逐 个 分 析 和 破 解 公 司 的 数 据 库 及 存 储 系 统 ， 从 而 获 取 公 司 高 价 值 数 据 。 最 后 通 过 隐 蔽 信 道 以 加 密 流 量 的 形 式 将 数 据 传 出 。
E q u i f a x 针 对 此 次 事 件 的 检 测 整 整 耗 费 了 1 3 8 天 ， E q u i f a x 仅 使 用 了 传 统 的 防 护 手 段 ， 缺 乏 相 关 的 异 常 行 为 分 析 能 力 ， 且 仅 依 靠 人 工 手 段 进 行 研 判 ， 严 重 拖 缓 了 整 个 事 件 的 检 测 处 理 时 效 。 如 采 用 U E B A 可 极 大 提 高 检 测 分 析 效 率 ， 接 下 来 我 们 探 讨 如 何 使 用 U E B A 技 术 依 据 攻 击 链 分 析 解 决 E q u i f a x 遇 到 的 难 题 。 在 侦 查 阶 段 侦 查 阶 段 ， 通 过 数 据 库 审 计 日 志 、 系 统 日 志 、 内 部 流 量 数 据 能 够 提 取 用 户 数 据 访 问 、 内 部 端 口 扫 描 等 行 为 ， 基 于 特 征 行 为 统 计 ， 可 以 发 现 有 一 批 用 户 存 在 大 量 的 端 口 扫 描 、 账 户 扫 描 的 异 常 操 作 ； 在 横 向 扩 展 阶 段 横 向 扩 展 阶 段 ， 通 过 内 部 流 量 数 据 和 防 火 墙 日 志 提 取 通 信 I P 等 数 据 ， 基 于 关 联 分 析 ， 能 够 检 出 不 一 致 的 内 部 流 量 数 据 和 防 火 墙 流 量 数 据 ， 从 而 发 现 利 用 隐 蔽 隧 道 绕 过 防 火 墙 破 解 公 司 数 据 库 和 存 储 系 统 的 操 作 行 为 ； 在 数 据 渗 出 阶 段 数 据 渗 出 阶 段 ， 利 用 流 量 数 据 进 行 时 序 分 析 ， 统 计 一 段 时 间 内 的 通 信 流 量 及 特 征 ， 可 以 发 现 一 段 时 间 内 大 量 连 续 的 加 密 小 数 据 包 通 信 ， 从 而 发 现 存 在 利 用 隐 蔽 隧 道 传 输 数 据 的 行 为 。 U E B A 的 价 值 的 价 值 加 速 安 全 调 查 加 速 安 全 调 查 使 用 有 监 督 、 无 监 督 和 自 适 应 的 学 习 技 术 自 动 生 成 高 真 实 度 的 实 体 风 险 特 征 ， 根 据 用 户 会 话 钻 取 将 用 户 行 为 及 相 关 特 征 展 现 在 登 入 登 出 时 间 轴 上 ， 通 过 时 间 轴 能 够 看 到 风 险 数 值 缓 慢 变 化 还 是 突 然 增 长 ， 同 时 每 个 评 分 都 对 应 有 评 分 原 因 ， 使 安 全 团 队 能 够 快 速 进 行 安 全 调 查 。 满 足 合 规 性 要 求 满 足 合 规 性 要 求 权 限 管 控 、 安 全 审 计 等 概 念 已 被 写 入 网 络 安 全 等 级 保 护 基 本 要 求 ， U E B A 遵 循 的 合 规 性 条 例 （ 三 级 ） 包 括 ： 遵 循 的 合 规 性 条 例 （ 三 级 ） 包 括 ： - 安 全 管 理 人 员 细 分 项 人 员 离 岗 “ 应 及 时 终 止 离 岗 人 员 的 所 有 访 问 权 限 ， … … ” ； - 安 全 计 算 环 境 细 分 项 访 问 控 制 “ … 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， … ” ； - 安 全 区 域 边 界 细 分 项 安 全 审 计 “ 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ， … … ” ； 同 时 ， U E B A 也 能 满 足 全 球 公 认 的 S A N S 二 十 大 安 全 审 计 准 则 相 关 项 ， 具 体 为 ： - 控 制 1 2 - 管 理 特 权 的 受 控 使 用 ： C S C   1 2 - 1 - 控 制 1 4 - 持 续 监 控 和 分 析 审 计 日 志 ： C S C   1 4 - 5 ,   C S C   1 4 - 8 - 控 制 1 6 - 账 户 监 控 和 控 制 ： C S C   1 6 - 5 更 精 准 的 用 户 行 为 洞 见 更 精 准 的 用 户 行 为 洞 见 使 用 多 种 数 据 源 ， 如 流 量 、 日 志 、 第 三 方 告 警 等 ， 将 不 同 的 数 据 源 数 据 链 接 在 一 起 ， 通 过 关 联 分 析 发 现 更 多 异 常 行 为 ， 以 提 供 准 确 的 用 户 行 为 洞 见 并 呈 现 有 关 企 业 内 威 胁 活 动 和 风 险 行 为 的 更 完 整 视 图 。 尽 管 现 在 很 多 企 业 在 增 加 安 全 预 算 ， 并 招 聘 专 职 人 员 负 责 安 全 建 设 及 运 维 ， 但 大 规 模 的 数 据 泄 露 事 件 仍 在 持 续 发 生 。 企 业 努 力 培 训 员 工 时 刻 保 持 警 惕 对 抗 威 胁 ， 但 对 于 攻 击 者 来 说 ， 有 效 合 法 的 访 问 凭 证 依 旧 诱 人 ， 因 此 攻 击 者 会 想 尽 一 切 办 法 诱 使 企 业 员 工 犯 错 误 。 U E B A 能 够 有 效 帮 助 企 业 找 到 并 根 除 冒 充 员 工 的 攻 击 者 。 正 确 的 解 决 方 案 能 够 将 更 复 杂 的 任 务 交 给 更 初 级 的 安 全 找 到 并 根 除 冒 充 员 工 的 攻 击 者 。 正 确 的 解 决 方 案 能 够 将 更 复 杂 的 任 务 交 给 更 初 级 的 安 全 分 析 师 分 析 师 ， 释 放 安 全 分 析 负 担 的 同 时 加 快 数 据 分 析 过 程 ， 提 供 全 天 候 的 专 家 级 服 务 。
关 键 词 ： U E B A ； 行 为 分 析 ； E q u i f a x ； 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： G o o g l e 删 除 4 9 个 C h r o m e 扩 展 程 序     极 力 遏 制 东 欧 国 家 网 络 金 融 危 胁 E 周 热 点 ③ （ 2 0 2 0 0 4 1 0 - 0 4 1 7 ） |   遭 遇 网 络 攻 击   地 中 海 航 运 公 司 数 据 中 心 意 外 关 闭 C I S O 数 据 安 全 分 级 分 类 实 践 指 南 W i n d o w s 严 重 蠕 虫 漏 洞 将 破 坏 全 球 的 商 业 网 络 ！ 国 泰 航 空 被 处 以 I C O 5 0 万 英 镑 最 高 罚 款   因 数 据 泄 露 长 达 四 年 之 久 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理