搜索

[10525] 2016-09-21_【企业研究】FreeBufInsight网络安全创新企业Top10解读之Bit9（CarbonBlack）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-09-21_【企业研究】FreeBufInsight网络安全创新企业Top10解读之Bit9（CarbonBlack） 【 企 业 研 究 】 F r e e B u f   I n s i g h t   |   网 络 安 全 创 新 企 业 T o p   1 0 解 读 之 B i t 9 （ C a r b o n   B l a c k ） 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 9 - 2 1 *   F r e e B u f 官 方 出 品 ， 本 文 原 创 作 者 ： 欧 阳 洋 葱 ， 未 经 许 可 禁 止 转 载 2 0 1 2 年 名 噪 一 时 的 F l a m e 超 级 火 焰 病 毒 ， 卡 巴 斯 基 将 之 说 成 是 “ 有 史 以 来 发 现 的 最 复 杂 的 病 毒 攻 击 软 件 ” ， 其 复 杂 程 度 超 越 S t u x n e t 震 网 病 毒 （ 2 0 M B 尺 寸 是 S t u x n e t 的 4 0 倍 ） 。 F l a m e 当 时 是 特 别 针 对 中 东 国 家 发 起 的 ， 行 为 包 括 流 量 追 踪 、 录 音 窃 听 等 ， 属 于 典 型 的 A P T 攻 击 。 伊 朗 C E R T 团 队 当 时 发 布 了 一 份 报 告 ， 提 到 F l a m e 成 功 绕 过 4 3 款 不 同 的 反 病 毒 产 品 、 H I P S 和 检 测 / 防 御 解 决 方 案 ， 而 且 都 来 自 安 全 行 业 的 大 佬 。 不 过 有 一 家 公 司 在 2 0 1 2 年 6 月 不 紧 不 慢 地 发 布 了 一 份 炫 耀 声 明 ： “ 高 级 威 胁 防 护 的 全 球 领 导 者 高 级 威 胁 防 护 的 全 球 领 导 者 B i t 9 ， 成 功 为 一 名 客 户 抵 御 由 ， 成 功 为 一 名 客 户 抵 御 由 F l a m e 发 起 、 长 达 发 起 、 长 达 8 个 月 的 持 续 攻 击 个 月 的 持 续 攻 击 … F l a m e 恶 意 程 序 攻 击 了 B i t 9 的 一 名 中 东 客 户 … 在 这 8 个 月 的 时 间 里 ， 该 B i t 9 客 户 持 续 受 到 F l a m e 攻 击 ， 然 而 B i t 9 成 功 阻 止 了 F l a m e 的 运 行 ， 包 括 客 户 的 每 一 台 服 务 器 、 笔 记 本 或 P C 。 ” [ 1 ] 这 魄 力 ， 连 我 们 之 前 在 F r e e B u f   I n s i g h t 中 分 析 的 F i r e E y e 可 都 没 有 。 另 外 ， 前 年 3 6 0 公 司 在 接 受 媒 体 采 访 的 时 候 说 过 ， 要 “ 做 中 国 的 F i r e E y e 和 B i t 9 ” 。 既 然 能 被 提 到 这 等 高 度 ， 这 家 B i t 9 到 底 是 何 方 神 圣 ？
首 先 需 要 说 明 的 是 ， B i t 9 于 今 年 2 月 正 式 改 名 为 C a r b o n   B l a c k ， 这 也 将 成 为 本 文 要 论 述 的 重 点 。 不 过 C a r b o n   B l a c k 这 家 公 司 至 今 还 没 有 上 市 ， 所 以 公 开 的 资 料 也 十 分 有 限 。 本 期 本 期 F r e e B u f   I n s i g h t 安 全 创 新 企 业 安 全 创 新 企 业 T o p   1 0 系 列 解 读 将 尝 试 从 这 些 有 限 的 资 料 中 ， 大 致 勾 勒 出 系 列 解 读 将 尝 试 从 这 些 有 限 的 资 料 中 ， 大 致 勾 勒 出 C a r b o n   B l a c k 公 司 的 轮 廓 。 （ 下 公 司 的 轮 廓 。 （ 下 文 可 能 对 文 可 能 对 B i t 9 和 和 C a r b o n   B l a c k 两 个 名 称 进 行 混 用 ） 两 个 名 称 进 行 混 用 ） 专 注 端 点 安 全 十 几 年 专 注 端 点 安 全 十 几 年 G a r t n e r 的 魔 力 象 限 ， 大 概 是 表 现 B i t 9 发 展 脉 络 的 最 佳 切 入 点 了 。 可 能 很 少 有 人 知 道 ， B i t 9 也 曾 经 登 上 过 G a r t n e r 的 魔 力 象 限 ： 2 0 0 7 年 ， 针 对 端 点 防 护 平 台 的 魔 力 象 限 （ M a g i c   Q u a d r a n t   f o r   E n d p o i n t   P r o t e c t i o n   P l a t f o r m s ） ， B i t 9 名 列 其 中 [ 2 ] ， 不 过 所 处 位 置 就 有 点 儿 尴 尬 ， 在 N i c h e   P l a y e r s 象 限 。
G a r t n e r 的 魔 力 象 限 中 ， N i c h e   P l a y e r s 象 限 是 产 品 前 瞻 性 和 执 行 能 力 都 相 对 稍 弱 的 一 个 象 限 ， 所 以 B i t 9 的 这 个 位 置 并 不 值 得 炫 耀 。 而 且 自 这 一 年 B i t 9 上 榜 ， 之 后 就 再 也 没 有 在 魔 力 象 限 见 到 B i t 9 （ 或 C a r b o n   B l a c k ） 的 身 影 。 2 0 0 9 年 的 端 点 防 护 平 台 魔 力 象 限 报 告 中 ， G a r t n e r 还 特 别 提 到 了 ， 为 什 么 B i t 9 没 有 出 现 在 象 限 中 ， 大 致 是 这 样 的 （ 2 0 0 8 年 似 乎 没 有 针 对 端 点 防 护 平 台 的 魔 力 象 限 ） ： 2 0 0 9 年 的 标 准 要 求 供 应 商 具 备 基 于 签 名 （ 年 的 标 准 要 求 供 应 商 具 备 基 于 签 名 （ s i g n a t u r e - b a s e d ） 的 反 病 毒 检 测 和 移 除 能 力 ） 的 反 病 毒 检 测 和 移 除 能 力 ， 虽 然 基 于 签 名 的 恶 意 程 序 检 测 有 诸 多 缺 陷 ， 但 这 仍 是 客 户 购 买 决 策 时 考 虑 的 要 点 ， 针 对 已 知 恶 意 程 序 的 检 测 和 移 除 ， 这 也 是 必 要 的 解 决 方 案 。 B i t 9 封 锁 端 点 ， 只 允 许 已 知 的 、 好 的 应 用 通 过 ， 这 固 然 是 很 出 色 的 防 护 策 略 。 但 这 很 显 然 只 是 端 点 防 护 平 台 解 决 方 案 的 一 方 面 ， 或 者 说 只 是 针 对 某 些 特 定 端 点 域 的 一 种 解 决 方 案 。 其 实 上 面 这 些 信 息 对 我 们 了 解 B i t 9 是 相 当 有 价 值 的 ， 首 先 我 们 知 道 了 B i t 9 涉 足 的 安 全 领 域 包 含 端 点 安 全 （ E n d p o i n t   P r o t e c t i o n 或 E n d p o i n
t   S e c u r i t y ） 这 一 块 ， 而 且 其 端 点 防 护 手 法 还 不 太 一 般 ， 至 少 不 是 “ 基 于 签 名 ” 的 方 案 。 这 是 我 们 对 B i t 9 展 开 讨 论 的 基 础 。 端 点 安 全 在 此 首 先 要 解 决 一 个 问 题 ， 到 底 什 么 是 端 点 安 全 ， 或 者 说 什 么 是 端 点 ？ 到 底 什 么 是 端 点 安 全 ， 或 者 说 什 么 是 端 点 ？ 这 个 问 题 ， 国 内 很 少 有 文 章 系 统 地 谈 到 过 。 其 实 e n d p o i n t 这 个 词 在 某 些 场 合 ， 也 有 人 将 之 译 作 终 端 — — 这 个 解 释 可 能 显 得 更 为 通 俗 。 行 业 内 有 人 将 端 点 安 全 理 解 为 一 个 营 销 概 念 ， 认 为 其 本 质 就 是 反 病 毒 软 件 ， 这 个 理 解 是 有 失 偏 颇 的 。 “ 端 点 ” 不 仅 包 括 了 P C ， 还 包 括 手 机 、 服 务 器 ， 甚 至 P o S 机 、 A T M 机 等 等 。 总 得 说 来 ， 端 点 是 个 相 较 N e t w o r k 网 络 的 概 念 ， 和 端 点 安 全 产 品 同 在 一 个 维 度 的 就 是 网 络 安 全 产 品 。 这 里 我 们 援 引 N S S   L a b s 总 裁 R i c k   M o y 对 端 点 安 全 的 解 释 [ 3 ] ： 端 点 安 全 或 端 点 防 护 用 以 描 述 包 含 一 系 列 安 全 特 性 的 公 司 产 品 ， 主 要 包 括 ： 基 于 现 有 签 名 文 件 和 启 发 式 算 法 的 恶 意 程 序 移 除 内 建 反 间 谍 程 序 防 护 入 口 / 出 口 防 火 墙 I P S / I D S 传 感 器 和 警 告 系 统 应 用 控 制 与 用 户 管 理 数 据 输 入 / 输 出 控 制 ， 包 括 移 动 设 备 其 实 在 消 费 用 户 产 品 中 ， 这 些 特 性 和 互 联 网 安 全 套 装 有 些 类 似 。 不 过 实 际 上 近 些 年 来 ， 端 点 安 全 还 可 以 扩 展 到 更 多 服 务 和 产 品 ， 包 括 全 盘 加 密 、 数 据 泄 露 防 护 、 应 用 白 名 单 等 。 而 在 企 业 用 户 的 端 点 安 全 概 念 中 ， 还 有 一 些 要 点 ：
配 置 端 点 所 需 的 一 站 式 登 录 w e b 界 面 ； 所 有 的 日 志 入 口 和 警 报 ， 都 发 往 一 个 位 置 ， 即 控 制 服 务 器 ； 签 名 下 载 和 应 用 更 新 时 ， 服 务 器 应 用 需 要 将 文 件 推 送 给 所 有 的 终 端 ； 建 立 并 实 施 整 个 网 络 范 围 的 使 用 策 略 。 其 实 这 些 要 点 总 结 成 一 句 话 ， 就 是 必 须 得 是 服 务 器 、 客 户 端 模 式 的 ， 这 台 服 务 器 用 于 统 管 所 有 端 点 的 安 全 数 据 、 更 新 、 策 其 实 这 些 要 点 总 结 成 一 句 话 ， 就 是 必 须 得 是 服 务 器 、 客 户 端 模 式 的 ， 这 台 服 务 器 用 于 统 管 所 有 端 点 的 安 全 数 据 、 更 新 、 策 略 等 。 略 等 。 以 上 的 概 念 解 释 也 基 本 与 维 基 百 科 给 出 的 端 点 安 全 相 吻 合 ， 而 端 点 安 全 既 然 能 够 被 G a r t n e r 单 独 拿 出 来 列 项 ， 做 个 魔 力 象 限 ， 也 就 表 明 端 点 安 全 在 安 全 领 域 内 可 自 成 一 派 。 2 0 1 6 年 最 新 版 端 点 防 护 平 台 魔 力 象 限 ， 展 示 了 这 一 领 域 的 主 要 玩 家 ， 仍 然 没 有 B i t 9 的 身 影 我 们 在 安 全 企 业 创 新 T o p   1 0 首 篇 中 分 析 的 S o p h o s 也 属 于 这 个 领 域 的 佼 佼 者 ， 历 年 端 点 防 护 平 台 魔 力 象 限 中 ， S o p h o s 几 乎 都 处 在 L e a d e
r 象 限 。 然 而 ， S o p h o s 涉 足 的 安 全 方 向 其 实 很 杂 ， 不 仅 是 端 点 安 全 ， 还 有 边 界 防 火 墙 等 等 产 品 。 而 B i t 9 ， 乃 至 现 如 今 的 C a r b o n   B l a c k ， 发 展 了 这 么 多 年 ， 即 便 期 间 收 购 了 好 几 家 公 司 ， 但 始 终 在 做 端 点 安 全 。 这 一 领 域 内 ， B i t 9 的 竞 争 对 手 还 包 括 赛 门 铁 克 、 I n t e l         S e c u r i t y （ 也 就 是 M c A f e e ） 、 C y l a n c e 等 。 既 然 如 此 专 注 端 点 安 全 ， 那 么 为 何 B i t 9 又 在 2 0 0 9 年 被 G a r t n e r 魔 力 象 限 除 名 呢 ？ 撇 除 魔 力 象 限 本 身 的 争 议 ， 这 和 B i t 9 早 期 的 技 术 特 点 是 有 关 的 ， 也 顺 带 可 以 解 释 为 什 么 在 F l a m e 如 此 强 悍 的 超 级 病 毒 面 前 ， B i t 9 能 够 巍 然 不 动 。 “ 万 能 万 能 ” 的 白 名 单 机 制 的 白 名 单 机 制 再 回 看 G a r t n e r 在 2 0 0 9 年 的 报 告 中 解 释 将 B i t 9 从 魔 力 象 限 中 排 除 的 原 因 ， 是 因 为 要 求 企 业 产 品 “ 具 备 基 于 签 名 （ s i g n a t u r e - b a s e d ） 的 反 病 毒 检 测 和 移 除 能 力 ” 。 前 期 B i t 9 比 较 出 名 的 产 品 就 是 B i t 9   P a r i t y   S u i t e 套 装 ， 这 是 个 典 型 s i g n a t u r e - l e s s 的 产 品 ， 即 人 们 熟 知 的 “ 应 用 白 名 单 ” — — 相 信 绝 大 部 分 国 人 对 B i t 9 的 了 解 就 停 留 在 这 一 点 上 。 白 名 单 是 安 全 行 业 的 一 个 基 本 概 念 ： 在 每 个 端 点 之 上 ， B i t 9 都 采 用 白 名 单 策 略 ， 即 只 允 许 白 名 单 中 的 应 用 在 终 端 上 运 行 ， 而 不 在 白 名 单 中 的 应 用 则 禁 用 。 这 相 较 传 统 安 全 产 品 的 黑 名 单 策 略 — — 即 检 测 到 是 恶 意 程 序 才 禁 用 的 策 略 ， 在 安 全 性 上 自 然 有 其 优 势 ， 也 不 难 理 解 为 何 B i t 9 当 年 可 以 轻 松 抵 御 F l a m e 超 级 病 毒 ， 也 是 B i t 9 前 期 宣 称 可 抵 御 0 - d a y 漏 洞 、 A P T 攻 击 的 核 心 所 在 。 B i t 9 宣 传 中 自 家 产 品 和 别 家 端 点 防 护 产 品 的 对 比 在 消 费 领 域 ， 将 白 名 单 策 略 玩 得 风 生 水 起 的 那 就 是 i P h o n e 了 ， i O S 系 统 本 身 只 允 许 A p p   S t o r e 这 个 “ 白 名 单 ” 中 的 应 用 运 行 。 但 这 么 玩 儿 的 成 本 是 比 较 高 的 ， 尤 其 在 白 名 单 的 维 护 更 新 问 题 上 。 B i t 9 产 品 在 具 体 实 施 上 也 是 追 踪 文 件 H a s h ， 这 就 要 求 B i t 9 自 己 维 护 一 个 中 央 白 名 单 数 据 库 ， 里 面 应 该 包 含 有 已 知 可 信 任 软 件 ， 及 其 分 级 、 文 件 权 限 等 。 因 为 白 名 单 思 维 的 本 质 ， 就 是 企 业 I T 环 境 中 只 允 许 运 行 受 信 任 的 软 件 ， 其 他 软 件 全 部 排 除 在 外 ， 不 管 是 何 方 神 圣 。 据 说 B i t 9 的 确 维 护 着 全 球 最 大 型 的 软 件 哈 希 数 据 库 的 确 维 护 着 全 球 最 大 型 的 软 件 哈 希 数 据 库 。 而 且 到 后 期 ， B i t 9 推 出 了 威 胁 情 报 云 ， 这 是 个 包 含 上 百 亿 软 件 扩 展 属 性 、 已 发 布 软 件 威 胁 和 信 任 等 级 的 大 型 数 据 库 。 这 一 度 被 某 些 人 认 为 是 安 全 的 万 能 神 方 案 。 B i t 9 一 时 之 间 也 是 风 光 无 二 ， 几 轮 融 资 都 让 人 侧 目 ， 大 量 企 业 找 B i t 9 签 约 ， 从 小 型 企 业 到 财 富 1 0 0 强 企 业 ， 再 到 政 府 机 构 。 2 0 1 0 年 ， B i t 9 获 得 G o v e r m e n t   S e c u r i t y   N e w s 颁 发 的 国 土 安 全 奖 最 佳 反 恶 意 程 序 解 决 方 案 奖 ； 2 0 1 2 年 ， 纽 约 时 报 形 容 B i t 9 是 “ 当 代 最 热 安 全 初 创 公 司 ” 之 一 。
当 年 的 B i t 9   P a r i t y   C e n t e r 界 面 我 们 来 简 单 了 解 一 下 当 年 的 B i t 9   P a r i t y   S u i t e 究 竟 是 什 么 样 子 的 。 2 0 0 9 年 的 B i t 9   P a r i t y   S u i t e   5 . 0 1 套 装 ， 有 个 服 务 器 设 备 名 为 P a r i t y   C e n t e r ， 可 配 置 运 行 于 W i n d o w s   S e r v e r   2 0 0 3 系 统 、 I I S 、 S Q L   S e r v e r 数 据 库 。 产 品 还 需 要 连 接 B i t 9 的 云 服 务 ， 里 面 当 时 就 已 经 有 7 5 亿 合 法 与 恶 意 文 件 预 定 义 哈 希 了 。 B i t 9 的 特 点 在 于 ， 可 基 于 哈 希 值 、 数 字 签 名 （ 如 果 有 ） 、 软 件 分 类 （ 如 果 已 知 ） 和 位 置 ， 对 已 知 文 件 进 行 信 任 和 风 险 评 级 — — 而 且 这 个 评 级 是 动 态 的 ， 每 周 都 会 更 新 。 已 知 恶 意 程 序 或 者 未 识 别 的 文 件 就 会 被 标 注 为 高 风 险 。
B i t 9   P a r i t y 对 不 同 文 件 的 安 全 评 级 这 套 策 略 其 实 也 可 以 比 较 灵 活 ， 比 如 在 监 控 模 式 下 ， 用 户 可 运 行 任 何 文 件 ， 只 不 过 所 有 动 作 都 是 执 行 监 控 的 ； 而 在 阻 止 & 询 问 模 式 下 ， B i t 9 会 询 问 用 户 是 否 批 准 执 行 未 知 程 序 ； 在 封 锁 模 式 下 ， 所 有 未 知 、 未 批 准 的 程 序 都 会 被 阻 止 。 企 业 也 可 以 设 置 预 批 准 的 软 件 ， 可 根 据 受 信 任 路 径 、 用 户 、 发 行 商 或 者 升 级 渠 道 来 授 权 。 管 理 员 可 以 查 看 报 告 ， 了 解 整 个 环 境 中 哪 些 计 算 机 风 险 极 高 ； 内 部 如 果 某 台 计 算 机 偏 离 安 全 规 则 越 来 越 远 ， 原 本 定 义 的 受 信 任 用 户 也 可 被 限 制 到 封 锁 模 式 。 对 企 业 而 言 ， 这 种 白 名 单 机 制 是 否 真 的 意 味 着 可 以 高 枕 无 忧 ？ 再 来 回 看 2 0 0 7 年 G a r t n e r 给 B i t 9 的 评 价 。 总 结 一 下 ， 总 结 一 下 ， G a r t n e r 认 为 ， 认 为 ， B i t 9 的 优 势 在 于 进 入 魔 力 象 限 的 方 式 与 其 他 厂 商 都 不 一 样 ， 主 要 专 注 于 应 用 控 制 ； 开 发 应 用 和 文 的 优 势 在 于 进 入 魔 力 象 限 的 方 式 与 其 他 厂 商 都 不 一 样 ， 主 要 专 注 于 应 用 控 制 ； 开 发 应 用 和 文 件 的 巨 型 数 据 资 源 （ 而 且 还 将 这 个 数 据 库 授 权 给 卡 巴 斯 基 等 厂 商 ） 。 不 过 件 的 巨 型 数 据 资 源 （ 而 且 还 将 这 个 数 据 库 授 权 给 卡 巴 斯 基 等 厂 商 ） 。 不 过 G a r t n e r 也 提 到 了 这 个 时 期 也 提 到 了 这 个 时 期 B i t 9 的 一 些 问 题 ， 比 如 的 一 些 问 题 ， 比 如 说 ： 说 ： 除 了 应 用 和 设 备 控 制 以 外 ， 没 有 个 人 防 火 墙 、 反 病 毒 或 H I P S 能 力 ； 整 合 更 广 范 围 端 点 防 护 平 台 的 能 力 较 弱 ， 如 N A C 、 D L P 或 加 密 ； 如 果 有 恶 意 程 序 成 功 躲 避 检 测 ， 则 如 果 有 恶 意 程 序 成 功 躲 避 检 测 ， 则 B i t 9 没 有 能 力 清 除 。 没 有 能 力 清 除 。 G a r t n e r 一 语 成 谶 一 语 成 谶 G a r t n e r 提 到 的 最 后 一 点 几 乎 成 为 了 B i t 9 的 致 命 问 题 ， 并 且 在 2 0 1 3 年 时 一 语 成 谶 。 就 好 像 i P h o n e 去 年 X c o d e G h o s t 木 马 爆 发 立 刻 就 影 响 到 上 亿 设 备 一 样 ， 白 名 单 机 制 的 致 命 缺 陷 在 于 ， 一 旦 防 线 被 攻 破 ， 则 内 部 将 全 面 溃 散 。 因 为 白 名 单 机 制 默 认 内 部 是 绝 对 安 全 的 ， 就 没 有 强 有 力 的 抵 御 措 施 。 2 0 1 3 年 ， B i t 9 真 的 被 黑 客 摆 了 一 道 ， 这 一 道 也 几 乎 成 为 B i t 9 发 展 道 路 上 的 分 水 岭 。 时 至 2 0 1 3 年 ， 这 家 2 0 0 2 年 成 立 、 来 自 麻 省 沃 尔 瑟 姆 的 公 司 ， 已 经 积 累 了 包 括 美 国 政 府 、 财 富 1 0 0 强 企 业 中 至 少 3 0 家 企 业 在 内 的 客 户 ， 企 业 客 户 从 事 的 行 业 囊 括 电 子 商 务 、 金 融 服 务 、 医 疗 、 零 售 等 。 这 个 成 绩 在 安 全 初 创 企 业 中 也 已 经 算 抢 眼 ， 虽 然 不 及 F i r e E y e 那 么 光 辉 耀 眼 。 同 年 2 月 8 日 ， B i t 9 收 到 某 些 客 户 的 投 诉 ， 这 些 客 户 说 企 业 内 部 发 现 恶 意 程 序 ， 而 且 这 些 恶 意 程 序 有 B i t 9 自 家 的 加 密 密 钥 数 字 签 名 [ 4 ] 。
这 对 B i t 9 而 言 绝 对 是 五 雷 轰 顶 式 的 打 击 ， 在 B i t 9 的 产 品 中 ， B i t 9 自 己 本 身 就 是 默 认 受 信 任 的 软 件 发 行 商 ， 理 论 上 是 在 B i t 9 的 白 名 单 中 的 。 根 据 用 户 的 设 定 ， B i t 9 的 产 品 会 无 条 件 信 任 自 己 签 署 的 软 件 。 B i t 9 很 快 就 此 事 做 了 危 机 公 关 ， 官 方 说 法 是 ， 攻 击 者 侵 入 了 B i t 9 公 司 内 部 系 统 ， 盗 取 了 B i t 9 的 代 码 签 名 证 书 （ c o d e - s i g n i n g   c e r t i f i c a t e s ） 。 更 重 要 的 是 ， 声 明 中 提 到 ， B i t 9 这 部 分 被 入 侵 的 系 统 没 有 受 到 公 司 自 家 软 件 的 保 护 — — 这 样 就 自 圆 其 说 了 ， 这 番 解 释 的 主 旨 很 显 然 ， 意 思 就 是 ： B i t 9 的 产 品 肯 定 是 没 问 题 的 ， 只 不 过 是 我 们 公 司 内 部 的 部 署 失 误 才 有 了 本 次 事 故 。 B i t 9 公 司 C E O   P a t r i c k   M o r l e y 表 示 ： “ 由 于 B i t 9 内 部 疏 忽 ， 我 们 内 部 网 络 的 部 分 计 算 机 上 没 有 安 装 我 们 自 己 的 产 品 。 导 致 恶 意 攻 击 者 非 法 获 取 我 们 的 数 字 代 码 签 名 证 书 ， 他 们 用 证 书 非 法 签 署 恶 意 程 序 。 没 有 任 何 迹 象 表 明 ， 这 是 由 我 们 的 产 品 导 致 的 。 我 们 的 调 查 也 显 示 ， 我 们 的 产 品 并 未 被 攻 破 。 ” B i t 9 另 外 也 承 认 ， 至 少 有 3 家 客 户 受 此 影 响 ， 内 部 出 现 由 B i t 9 证 书 签 署 的 恶 意 程 序 。 攻 击 方 的 幕 后 势 力 还 跟 中 国 相 关 ， 赛 门 铁 克 当 时 特 别 就 此 发 布 了 一 份 报 告 [ 5 ] ， 这 里 不 做 深 入 讨 论 。 不 过 这 件 事 暴 露 了 B i t 9 最 大 的 弱 项 ： 如 果 是 常 规 的 反 病 毒 产 品 ， 恶 意 程 序 即 便 带 B i t 9 签 名 ， 也 可 能 有 机 会 检 测 出 来 ， 但 B i t 9 却 在 问 题 发 生 后 无 力 招 架 。 从 从 B i t 9 到 到 C a r b o n   B l a c k 的 转 变 的 转 变 B i t 9 的 故 事 到 此 才 刚 刚 过 半 ， 此 后 这 家 公 司 的 发 展 已 经 开 始 发 生 变 化 。 经 历 2 0 1 3 年 的 事 件 后 ， 意 识 到 问 题 的 B i t 9 接 下 来 这 几 年 的 发 展 轨 迹 ， 几 乎 完 全 是 按 照 当 年 G a r t n e r 给 出 的 建 议 一 步 步 来 的 。 其 中 最 重 要 的 一 步 就 是 2 0 1 4 年 2 月 1 3 日 ， B i t 9 宣 布 收 购 C a r b o n   B l a c k — — 这 是 位 于 德 州 圣 安 东 尼 奥 的 一 家 安 全 初 创 公 司 。 相 关 本 次 收 购 的 财 务 细 节 信 息 未 知 。 与 此 同 时 ， B i t 9 获 得 新 一 轮 3 8 2 5 万 美 元 的 融 资 — — 彼 时 B i t 9 获 得 的 融 资 总 额 大 约 达 到 了 1 . 2 亿 美 元 ， B i t 9 的 企 业 员 工 数 目 也 刚 刚 突 破 2 0 0 人 。
C a r b o n   B l a c k 这 家 公 司 在 被 B i t 9 收 购 之 前 ， 实 际 上 也 是 鲜 有 见 诸 报 端 。 被 收 购 之 时 ， 其 企 业 员 工 数 目 不 过 区 区 1 7 人 ， 本 身 就 相 当 年 轻 ， 是 2 0 1 0 年 才 成 立 的 企 业 。 不 过 对 C a r b o n   B l a c k 的 收 购 ， 可 以 说 给 B i t 9 带 来 了 极 大 的 变 化 。 在 一 段 时 间 内 ， 合 体 后 的 公 司 都 以 B i t 9   +   C a r b o n   B l a c k 的 名 字 自 居 。 B i t 9   +   C a r b o n   B l a c k 员 工 们 在 评 价 收 购 一 事 时 ， B i t 9 的 C E O   P a t r i c k   M o r l e y 说 ： “ 如 果 你 预 期 ， 黑 客 总 会 发 起 攻 击 ， 他 们 就 会 成 为 企 业 的 常 客 。 你 需 要 有 能 力 检 测 到 这 些 威 胁 ， 并 且 立 刻 做 出 响 应 。 ” — — 后 半 部 分 的 评 价 就 是 本 次 收 购 的 最 大 意 义 ， “ 检 测 ” 和 “ 响 应 ” 。 实 际 上 ， C a r b o n   B l a c k 也 是 做 端 点 安 全 的 ， 只 不 过 在 业 务 上 与 B i t 9 形 成 了 完 全 的 互 补 。 C a r b o n   B l a c k 公 司 是 由 攻 击 安 全 和 事 件 响 应 专 家 组 成 的 ， 能 够 在 极 短 的 时 间 内 为 企 业 提 供 事 件 响 应 。 这 件 事 的 本 质 就 在 于 ， 在 端 点 安 全 环 节 内 ， B i t 9 提 供 了 p r e v e n t i o n （ 预 防 ） ， 而 C a r b o n   B l a c k 则 提 供 了 d e t e c t i o n 和 r e s p o n s e （ 检 测 和 响 应 ） ， 分 别 针 对 威 胁 发 生 之 前 和 发 生 之 后 两 部 分 。 所 以 P a t r i c k   M o r l e y 在 此 后 接 受 采 访 时 ， 也 多 次 谈 到 了 这 一 理 念 。 这 么 说 还 是 太 抽 象 ， C a r b o n   B l a c k 本 身 的 能 耐 也 相 当 不 一 般 。 这 家 公 司 所 推 的 轻 量 级 “ 端 点 传 感 器 ” 能 够 持 续 、 实 时 记 录 端 点 每 时 每 刻 的 变 化 （ a l w a y s - o n ） ， 而 不 是 传 统 日 志 文 件 分 析 和 文 件 系 统 取 证 的 记 录 方 式 （ 具 体 技 术 细 节 未 知 ） 。 所 以 公 司 对 产 品 的 一 个 重 要 宣 传 点 就 在 于 可 对 事 件 进 行 可 对 事 件 进 行 “ 倒 带 倒 带 ” — — 当 发 生 威 胁 时 ， 可 以 去 追 溯 攻 击 发 生 的 整 个 过 程 ， 响 应 方 当 发 生 威 胁 时 ， 可 以 去 追 溯 攻 击 发 生 的 整 个 过 程 ， 响 应 方 所 需 的 调 查 内 容 都 有 确 切 的 记 录 ， 对 风 险 有 全 方 位 的 分 析 和 理 解 。 所 需 的 调 查 内 容 都 有 确 切 的 记 录 ， 对 风 险 有 全 方 位 的 分 析 和 理 解 。 C a r b o n   B l a c k 自 己 的 说 辞 是 ， 某 些 事 件 响 应 产 品 需 要 威 胁 发 生 后 由 安 全 人 员 自 己 去 手 动 填 写 报 告 ， 这 是 相 当 不 合 理 的 ， 不 仅 效 率 低 下 而 且 会 产 生 很 多 的 遗 漏 。 另 外 C a r b o n   B l a c k 的 系 统 还 包 括 一 些 特 性 ， 比 如 能 够 理 解 数 据 之 间 的 关 系 ， 针 对 行 为 提 供 警 报 和 追 踪 能 力 ， 而 不 光 是 独 立 的 事 件 。 大 数 据 分 析 ， 处 理 大 量 数 据 ， 在 整 个 企 业 内 部 针 对 每 台 设 备 提 供 即 时 、 可 搜 索 的 历 史 纪 录 ； 整 合 了 诸 多 第 三 方 威 胁 情 报 源 ， 为 恶 意 文 件 检 测 提 供 “ 一 站 式 资 源 ” （ 所 以 还 是 得 做 黑 名 单 啊 ！ ） ， 用 户 也 可 以 自 行 添 加 情 报 来 源 … G a r t n e r 在 2 0 1 3 年 7 月 ， 给 C a r b o n   B l a c k 的 这 类 产 品 取 了 个 名 字 ， 叫 端 点 威 胁 检 测 与 响 应 （ E n d p o i n t   T h r e a t   D e t e c t i o n   &   R e s p o n s e ） [ 6 ] 。 所 以 在 相 当 长 的 一 段 时 间 内 ， B i t 9 +   C a r b o n   B l a c k 都 在 宣 传 这 种 E T D R 概 念 （ 或 叫 E D R ） 。 如 此 ， P a r t r i c k   M o r l e y 在 宣 传 的 时 候 总 说 ， B i t 9   +   C a r b o n   B l a c k 在 “ 端 点 与 服 务 器 ” 的 高 级 威 胁 防 护 方 面 ， 具 备 了 行 业 内 “ 最 完 整 的 解 决 方 案 ” 。 这 个 阶 段 的 产 品 分 工 非 常 明 确 ， B i t 9 原 本 的 白 名 单 技 术 用 于 减 少 企 业 的 攻 击 面 ， 而 原 本 的 白 名 单 技 术 用 于 减 少 企 业 的 攻 击 面 ， 而 C a r b o n   B l a c k 则 负 责 针 对 威 胁 做 出 快 速 检 测 则 负 责 针 对 威 胁 做 出 快 速 检 测 和 响 应 。 和 响 应 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理