搜索

[12450] 2018-03-10_以“威胁应对”为中心，看企业信息安全能力建设

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-03-10_以“威胁应对”为中心，看企业信息安全能力建设 以 “ 威 胁 应 对 ” 为 中 心 ， 看 企 业 信 息 安 全 能 力 建 设 w i l l h u a n g   F r e e B u f   2 0 1 8 - 0 3 - 1 0 1 . 前 言 前 言 笔 者 做 了 多 年 的 安 全 服 务 ， 这 几 年 集 中 精 力 在 做 安 全 分 析 类 引 擎 或 产 品 ， 关 于 大 数 据 时 代 信 息 安 全 的 三 点 个 人 笔 者 做 了 多 年 的 安 全 服 务 ， 这 几 年 集 中 精 力 在 做 安 全 分 析 类 引 擎 或 产 品 ， 关 于 大 数 据 时 代 信 息 安 全 的 三 点 个 人 看 法 ， 作 为 引 言 。 看 法 ， 作 为 引 言 。 ( 一 一 )     聚 焦 细 分 市 场 ， 围 绕 核 心 竞 争 力 ， 合 作 的 模 式 来 做 平 台 。 聚 焦 细 分 市 场 ， 围 绕 核 心 竞 争 力 ， 合 作 的 模 式 来 做 平 台 。 大 数 据 时 代 数 据 的 采 集 、 存 储 、 分 析 、 呈 现 等 等 ， 很 少 有 一 家 能 完 全 做 的 了 ， 通 吃 也 真 没 必 要 也 没 能 力 ， 从 细 分 看 ， 做 采 集 的 可 能 有 集 成 商 或 服 务 商 A 来 完 成 实 施 工 作 ； 做 存 储 的 有 擅 长 存 储 的 B 来 做 ； 做 分 析 层 的 需 要 有 懂 业 务 、 了 解 安 全 的 服 务 商 C 来 完 成 ， 数 据 的 呈 现 又 是 专 门 的 团 队 或 开 发 商 D 来 做 。 做 自 己 最 擅 长 的 ， 其 他 的 找 合 作 伙 伴 ， 能 够 最 快 速 的 形 成 整 体 来 满 足 用 户 的 需 求 至 关 重 要 。 市 场 竞 争 大 部 分 时 候 拼 的 就 是 时 间 ， 天 下 武 功 唯 快 不 破 。 ( 二 二 )     从 关 注 从 关 注 “ 平 台 平 台 ” 搭 建 到 关 注 分 析 建 模 的 搭 建 到 关 注 分 析 建 模 的 “ 内 容 内 容 ” 建 设 建 设 航 母 是 一 个 平 台 ， 自 己 不 产 生 进 攻 能 力 ， 让 航 母 上 的 舰 载 机 具 备 强 大 进 攻 能 力 。 对 信 息 安 全 行 业 依 然 如 此 。 ， “ 建 平 台 + 补 内 容 ” 是 国 内 目 前 安 全 建 设 的 基 本 路 子 。 在 网 络 完 成 初 期 的 平 台 建 设 （ 数 据 的 采 集 、 集 中 存 储 ) 后 一 定 会 走 向 精 耕 细 做 的 数 据 分 析 上 来 。 用 户 越 来 越 务 实 ， 数 据 分 析 建 模 越 来 越 重 要 ， “ 内 容 ” 会 成 为 新 焦 点 ， “ 平 台 ” 因 “ 内 容 ” 而 产 生 价 值 。 ( 三 三 )     安 全 能 力 从 安 全 能 力 从 “ 防 范 防 范 ” 为 主 转 向 为 主 转 向 “ 检 测 和 响 应 检 测 和 响 应 ” 的 能 力 构 建 的 能 力 构 建 安 全 是 对 抗 ， 不 可 能 完 全 防 范 ， 单 纯 的 防 御 措 施 无 法 阻 止 蓄 意 的 攻 击 者 ， 这 已 经 是 大 家 都 认 同 的 事 实 。 g a r t n e r 的 自 适 应 安 全 架 构 也 提 到 了 检 测 、 预 警 、 响 应 的 重 要 性 。 G a r t n e r 预 测 到 2 0 2 0 年 ， 防 范 措 施 将 不 再 重 要 ， 关 键 是 监 控 和 情 报 ， 6 0 % 的 安 全 预 算 会 投 入 到 检 测 和 响 应 中 。 安 全 行 业 这 两 年 来 ， 思 维 模 式 已 经 从 单 纯 强 调 防 护 ， 转 变 到 注 重 预 警 、 检 测 、 响 应 的 格 局 ， 安 全 能 力 从 “ 防 范 ” 为 主 转
向 “ 快 速 检 测 和 响 应 能 力 ” 的 构 建 ， 实 时 防 御 将 以 威 胁 为 中 心 ， 它 不 再 强 调 单 点 的 检 测 ， 也 不 再 单 纯 的 追 求 告 警 的 精 确 性 ， 而 是 将 若 干 的 点 关 联 起 来 ， 以 数 据 为 驱 动 来 解 决 问 题 。 笔 者 将 以 威 胁 为 中 心 的 信 息 安 全 能 力 建 设 问 题 总 结 为 以 下 四 句 话 ， 并 进 行 详 细 阐 述 。 1 .   全 面 感 知 是 基 础 2 .   异 常 行 为 是 线 索 3 .   分 析 能 力 是 关 键 4 .   响 应 处 置 是 根 本 2 . 全 面 感 知 是 基 础 全 面 感 知 是 基 础 2 . 1   数 据 源 数 据 源 没 有 数 据 ， 类 似 无 米 之 炊 ， 数 据 源 的 完 备 才 能 够 真 正 的 实 现 异 常 行 为 分 析 。 数 据 源 不 仅 对 传 统 的 安 全 日 志 进 行 收 集 处 理 、 更 可 将 收 集 的 范 围 扩 充 至 业 务 数 据 、 运 维 数 据 甚 至 用 户 数 据 ， 涉 及 的 对 象 包 括 日 志 、 流 量 、 内 容 、 系 统 状 态 等 。 I A M 在 这 里 是 很 重 要 的 一 个 数 据 源 ， 必 须 与 人 关 联 ， 分 析 才 更 有 效 果 。 业 务 日 志 是 数 据 源 很 关 键 的 一 部 分 ， 可 以 通 过 业 务 日 志 的 综 合 分 析 ， 发 现 业 务 层 面 的 违 规 异 常 行 为 ， 用 户 首 先 关 注 业 务 安 全 。 2 . 2 感 知 能 力 感 知 能 力 企 业 需 要 从 事 件 驱 使 型 （ 被 动 ） 感 知 ， 向 情 报 引 导 及 风 险 驱 使 型 （ 主 动 ） 感 知 转 变 。 1 .   被 动 感 知 被 动 感 知 主 要 指 传 统 的 被 动 检 测 方 式 ： 各 种 I P S I D S A P T 等 流 量 监 测 产 品 的 报 警 ， 或 者 来 自 第 三 方 的 通 报 ( 如 ： 行 业 主 管 或 者 国 家 监 管 部 门 ) ， 了 解 我 们 网 络 中 发 生 的 威 胁 。                     2 .   主 动 感 知 主 动 安 全 不 是 说 直 接 攻 击 对 手 ， 而 是 在 攻 击 者 有 攻 击 企 图 的 早 期 就 能 预 警 到 ， 并 进 行 主 动 探 测 ， 并 能 及 时 采 取 a c t i o n 。 威 胁 情 报 分 析 ， 实 质 也 就 是 挖 掘 整 体 黑 色 产 业 链 ， 主 动 的 监 控 、 切 断 相 关 环 节 ， 并 对 恶 意 工 具 的 制 作 者 、 攻 击 者 、 卖 家 买 家 等 进 行 查 出 ， 从 而 达 到 主 动 防 御 的 效 果 。 下 面 用 表 格 方 式 展 示 常 见 “ 主 动 ” 、 “ 被 动 ” 技 术 手 段 的 输 入 输 出 。
2 . 3 感 知 维 度 感 知 维 度 要 想 全 面 的 感 知 安 全 威 胁 ， 我 们 从 三 个 维 度 来 看 ： 1 .   在 外 部 看 外 部 有 些 安 全 风 险 或 外 部 威 胁 ， 即 便 企 业 从 内 部 做 再 多 的 数 据 监 控 都 无 法 发 现 这 一 部 分 。 比 如 伪 基 站 、 撞 库 攻 击 、 G i t h u b 信 息 泄 露 、 钓 鱼 等 等 。 对 于 这 类 威 胁 或 者 信 息 泄 漏 ， 我 们 必 须 在 外 部 看 外 部 ， 利 用 网 络 技 术 在 各 知 名 安 全 情 报 平 台 收 集 最 新 的 威 胁 信 息 才 能 实 现 ， 一 些 知 名 网 站 补 天 、 W h o i s 、 安 全 人 员 的 社 交 圈 如 T w i t t e r 、 微 博 、 技 术 博 客 、 以 及 开 源 的 情 报 站 点 a l e x a . c o m 、 m a l w a r e d o m a i n s . c o m 、 b l o c k l i s t . d e 、 o p e n p h i s h . c o m 、 i s c . s a n s . e d u 等 ， 都 是 收 集 威 胁 或 风 险 信 息 的 好 渠 道 。                   2 .   从 外 部 看 内 部 暴 露 面 企 业 到 底 有 哪 些 设 备 / 应 用 暴 露 在 互 联 网 ？ 都 是 什 么 样 设 备 / 应 用 ？ 这 些 设 备 / 应 用 处 于 什 么 状 态 ？ 它 们 开 放 了 那 些 端 口 ， 提 供 了 哪 些 服 务 ？ 这 些 设 备 / 应 用 现 在 存 在 哪 些 风 险 ？ 暴 露 面 越 大 风 险 就 越 大 。 这 些 都 需 要 从 互 联 网 侧 对 内 部 进 行 测 试 探 知 。 目 前 业 内 很 热 的 网 站 安 全 监 控 系 统 其 实 就 是 类 似 的 一 种 方 式 ， 包 括 网 站 的 可 用 性 测 试 、 漏 洞 测 试 、 页 面 篡 改 、 非 法 内 容 测 试 等 都 是 这 种 方 式 。                   3 .   在 内 部 看 内 部 内 部 的 威 胁 感 知 也 非 常 重 要 ， 目 前 业 内 的 安 全 威 胁 检 测 系 统 通 过 自 动 探 测 网 络 流 量 或 系 统 数 据 发 现 可 能 涉 及 的 潜 在 入 侵 、 攻 击 和 滥 用 的 安 全 威 胁 。 大 量 的 U E B A 类 产 品 出 现 ， 也 是 对 内 部 用 户 行 为 感 知 的 重 要 手 段 ， 合 法 的 人 干 非 法 的 事 能 及 时 发 现 至 关 重 要 。 3 . 异 常 行 为 是 线 索 异 常 行 为 是 线 索 3 . 1 异 常 行 为 表 达 模 型 异 常 行 为 表 达 模 型 用 户 的 异 常 业 务 行 为 复 杂 多 样 ， 以 下 列 举 了 常 见 的 几 种 ： 用 户 的 业 务 违 规 行 为 ： 包 括 恶 意 业 务 订 购 、 业 务 只 查 询 不 办 理 、 高 频 业 务 访 问 、 业 务 绕 行 等 等 都 是 需 要 关 注 的 点 。 内 部 人 员 的 异 常 行 为 ： 比 如 斯 诺 登 经 常 要 同 事 的 帐 号 访 问 系 统 ， 斯 诺 登 可 能 比 一 般 员 工 更 多 的 访 问 了 核 心 服 务
器 ， 斯 诺 登 可 能 短 时 间 内 打 包 了 很 多 的 敏 感 数 据 等 。 某 个 用 户 突 然 有 一 天 接 收 了 大 量 的 历 史 邮 件 。 （ 接 收 过 的 邮 件 一 般 用 户 都 不 会 再 看 ， 这 次 异 常 是 用 户 自 己 操 作 的 吗 ？ ） 终 端 用 户 行 为 历 史 。 如 A 部 门 用 户 每 天 平 均 访 问 2 2 0 次 关 键 数 据 ， 某 一 天 突 然 访 问 次 数 超 过 5 0 0 次 。 某 用 户 使 用 压 缩 软 件 R A R 打 包 大 量 敏 感 数 据 、 使 用 U S B 设 备 中 密 集 大 量 拷 贝 敏 感 数 据 、 用 户 或 设 备 频 繁 外 发 加 密 文 件 、 从 内 部 服 务 器 下 载 大 量 表 单 等 数 据 、 大 量 访 问 恶 意 U R L 的 请 求 等 这 些 异 常 行 为 都 有 可 能 表 示 该 用 户 在 有 意 或 无 意 （ 被 控 ） 的 做 一 些 破 坏 性 事 务 。 所 有 的 行 为 ， 我 们 都 可 以 通 过 5 W 1 H （ W W W W W H ） 模 型 进 行 抽 样 表 示 。 这 里 称 作 5 W 1 H 行 为 分 析 模 型 。 W h o ( 行 为 执 行 者 ) ： 指 操 作 行 为 的 执 行 者 ， 包 含 用 户 名 、 主 从 帐 号 、 人 员 组 织 结 构 （ 主 帐 号 组 织 ） 、 业 务 组 织 结 构 （ 从 帐 号 组 织 ） 等 信 息 。 W h e n ( 在 什 么 时 间 ) ： 行 为 发 生 的 时 间 或 时 间 段 。 W h e r e （ 在 什 么 地 点 ） ： 行 为 发 生 地 点 ， 包 括 I P 地 址 、 网 段 、 地 域 。 W h a t （ 对 哪 些 事 物 ） ： 行 为 操 作 对 象 或 内 容 。 包 含 资 源 、 对 象 等 （ 安 全 资 产 ） ：   资 源 ： 应 用 、 主 机 、 数 据 库 、 网 络 与 安 全     设 备 等 ； 对 象 ： 数 据 库 表 、 文 件 、 模 块 、 菜 单 、 配 置 等 H o w （ 做 了 些 什 么 ） ： 所 执 行 的 行 为 操 作 ， 包 括 登 录 、 认 证 、 帐 号 与 授 权 、 敏 感 数 据 操 作 、 关 键 操 作 （ 增 加 、 删 除 、 修 改 、 查 询 、 下 载 ） 等 。 包 括 主 机 类 操 作 、 数 据 库 类 操 作 、 网 络 安 全 类 操 作 、 应 用 类 操 作 。 W h y （ 为 什 么 做 ） ： 行 为 操 作 凭 据 ， 主 要 是 指 行 为 操 作 的 工 单 等 依 据 。 3 . 2 凡 走 过 必 留 痕 迹 凡 走 过 必 留 痕 迹 线 索 是 未 知 威 胁 留 下 的 痕 迹 ， 是 入 侵 造 成 的 异 常 。 如 果 你 发 现 一 个 异 常 ， 无 论 是 恶 意 域 名 或 疑 似 木 马 ， 还 是 疑 似 盗 取 数 据 的 行 为 ， 那 么 你 就 有 了 一 个 起 始 点 ， 也 许 这 时 候 你 并 不 知 道 面 对 的 是 什 么 样 的 威 胁 ， 或 者 根 本 就 不 是 威 胁 ， 但 至 少 可 以 深 入 调 查 。 如 果 线 索 质 量 高 ， 十 有 八 九 你 真 能 很 快 定 位 一 次 入 侵 。 笔 者 经 历 过 多 次 的 信 息 安 全 事 件 ， 其 实 并 不 是 每 个 安 全 事 件 都 能 找 到 最 后 的 原 因 ， 更 不 用 说 追 踪 到 攻 击 者 或 恶 意 行 为 者 。 多 年 前 曾 处 理 过 一 个 安 全 事 故 ： 用 户 的 系 统 一 天 出 现 了 3 0 多 万 的 国 际 长 途 电 话 费 用 ， 最 后 组 织 各 方 力 量 也 未 能 查 到 到 底 谁 干 的 ， 怀 疑 可 能 是 内 部 开 发 人 员 在 代 码 中 潜 入 了 拨 打 的 代 码 ， 并 能 在 某 个 时 间 触 发 。 其 实 每 次 事 件 的 追 查 成 本 都 是 很 高 的 ， 异 常 行 为 发 现 就 是 很 好 的 止 损 的 一 种 思 路 ， 比 如 银 行 的 A T M 取 款 机 每 天 只 能 取 走 2 万 现 金 ， 这 些 看 似 很 简 单 的 限 制 其 实 作 用 非 常 大 。 比 如 某 单 位 每 天 的 国 际 话 费 门 槛 为 1 万 ， 超 过 就 告 警 。
外 部 攻 击 者 进 入 内 网 后 ， 到 最 后 偷 取 数 据 ， 中 间 是 要 进 行 很 多 的 所 谓 “ 活 动 ” ， 其 行 为 一 定 会 有 区 别 与 正 常 的 用 户 行 为 ， 他 一 定 会 到 处 找 目 标 ， 可 能 会 东 张 四 望 ， 可 能 访 问 不 该 访 问 的 地 方 ， 可 能 越 权 去 做 不 该 做 的 操 作 ， 可 能 以 同 一 身 份 通 过 不 同 设 备 登 录 。 这 种 行 为 称 为 攻 击 者 的 “ 内 部 潜 行 ” ( l a t e r a l   m o v e m e n t ) 。 高 明 的 攻 击 者 在 进 入 内 网 后 ， 都 倾 向 伪 装 成 合 法 用 户 的 身 份 去 做 一 些 非 法 的 事 情 。 如 何 通 过 异 常 能 发 现 披 着 羊 皮 的 狼 就 很 关 键 了 。 如 果 说 “ 基 于 特 征 匹 配 的 检 测 防 范 了 已 知 威 胁 ” 、 基 于 “ 虚 拟 执 行 的 检 测 阻 止 了 未 知 恶 意 代 码 进 入 系 统 内 部 ” ， 那 么 对 于 已 经 渗 透 进 入 系 统 内 部 的 攻 击 者 而 言 ， “ 异 常 行 为 检 测 成 为 了 识 别 该 类 威 胁 的 唯 一 机 会 ” 。 大 家 现 在 乐 于 说 信 息 安 全 看 见 ( v i s i b i l i t y   ) 的 能 力 很 重 要 ， 要 知 己 知 彼 ， 其 实 异 常 行 为 是 最 关 键 的 一 条 安 全 线 索 。 先 能 看 见 ， 才 能 做 好 后 续 的 风 险 控 制 。 3 . 3 凡 寻 找 的 必 能 找 到 凡 寻 找 的 必 能 找 到 在 实 际 的 工 作 过 程 中 ， 我 们 可 以 设 定 一 些 异 常 行 为 的 场 景 ， 并 通 过 自 动 化 的 手 段 进 行 异 常 发 现 。 下 面 列 举 几 个 典 型 的 异 常 行 为 场 景 ： 1 )   异 常 情 境 ： 异 常 资 产 的 发 现 可 以 通 过 对 网 络 互 联 关 系 的 全 面 监 控 ，   捕 捉 每 一 条 互 联 关 系 并 生 成 纪 录 ， 对 任 何 非 法 在 线 的 入 网 设 备 哪 怕 只 要 在 线 进 行 一 次 连 接 动 作 ， 就 一 定 能 够 发 现 并 对 非 法 设 备 的 连 接 行 为 进 行 取 证 。 同 时 对 系 统 中 有 网 络 信 息 变 动 的 设 备 也 可 以 第 一 时 间 发 现 。 2 )   异 常 情 境 ： 用 户 的 异 常 登 录 用 户 登 录 异 常 行 为 一 般 包 括 ： 异 常 时 间 、 异 常 I P 、 多 I P 登 录 、 非 个 人 用 户 帐 号 登 录 、 频 繁 登 录 失 败 等 。 登 录 异 常 行 为 同 时 也 包 括 共 享 账 户 行 为 ， 比 如 一 个 账 号 短 时 间 更 换 I P 登 陆 ， 一 个 I P 登 陆 了 多 个 账 号 等 。 同 时 要 包 括 设 备 指 纹 的 识 别 ， 比 如 用 户 登 录 的 终 端 忽 然 换 了 浏 览 器 （ 是 别 人 冒 名 登 录 还 是 用 户 重 新 使 用 了 新 的 设 备 ？ ） 。 下 图 显 示 了 异 常 登 录 的 分 析 模 型 ， 主 要 的 分 析 参 数 包 括 设 备 指 纹 、 登 录 I P 地 址 、 是 否 为 代 理 、 登 录 时 间 、 用 户 属 性 以 及 是 否 黑 名 单 等 。
3 )   异 常 情 境 ： 敏 感 数 据 异 常 访 问 大 多 数 用 户 的 日 常 行 为 是 可 预 测 的 ， 每 天 的 日 常 活 动 都 差 不 多 。 恶 意 的 内 部 人 员 在 偷 盗 数 据 或 搞 破 坏 前 一 定 有 异 常 的 行 为 。 对 于 可 疑 的 员 工 连 接 关 键 资 产 一 定 要 引 起 足 够 重 视 。 这 种 异 常 通 常 未 必 是 一 个 确 定 的 违 规 行 为 ， 但 它 可 以 作 为 重 要 的 调 查 信 息 。 下 图 为 同 一 账 户 非 授 权 访 问 敏 感 数 据 的 分 析 模 型 ： 4 )   异 常 情 境 ： 木 马 C & C 隐 蔽 通 道 检 测 针 对 新 型 木 马 不 断 出 现 ， 基 于 特 征 检 测 的 方 法 无 法 有 效 检 测 特 征 库 之 外 的 木 马 的 缺 点 ， 我 们 可 以 采 用 基 于 木 马 流 量 行 为 特 征 的 木 马 检 测 方 法 。 其 优 势 在 于 可 以 检 测 新 型 未 知 木 马 ， 无 需 依 赖 木 马 特 征 库 工 作 ， 提 高 了 新 型 木 马 检 测 的 时 效 性 。 5 )   异 常 情 境 ： 异 常 的 网 络 行 为 采 用 统 计 分 析 的 方 式 ， 也 可 以 发 现 一 些 异 常 行 为 ， 比 如 从 抓 取 的 大 量 的 流 量 数 据 中 ， 总 结 出 “ 正 常 应 用 ” 的 数 据 流 量 特 征 ， 就 容 易 发 现 “ 异 常 流 量 ” ， 同 时 再 进 一 步 对 异 常 流 量 涉 及 的 I P 进 行 重 点 分 析 ， 发 现 攻 击 行 为 。 异 常 的 网 络 行 为 包 括 ： 异 常 的 域 名 或 I P 访 问 、 异 常 的 访 问 流 量 、 异 常 的 访 问 端 口 、 异 常 的 连 接 时 间 ， 异 常 的 连 接 频 度 ， 异 常 的 协 议 传 输 等 。 6 )   行 为 序 列 分 析
很 多 场 景 下 ， 单 个 的 行 为 都 是 正 常 的 ， 但 是 行 为 序 列 化 分 析 ， 就 会 发 现 为 异 常 行 为 。 比 如 ： 某 木 马 的 被 控 端 工 作 的 时 候 ， 会 自 动 向 控 制 端 的 8 0 端 口 发 起 连 接 ， 通 过 正 常 的 h t t p 协 议 获 取 验 证 文 件 ， 以 验 证 控 制 端 的 有 效 性 ； 如 果 验 证 文 件 获 取 成 功 ， 木 马 会 连 接 控 制 端 的 一 个 自 定 义 端 口 ， 使 用 加 密 协 议 接 受 控 制 端 的 控 制 。 这 个 连 接 过 程 ， 8 0 端 口 的 连 接 和 内 容 都 是 正 常 的 ； 而 自 定 义 端 口 是 随 机 的 、 协 议 是 未 知 的 并 且 连 接 内 容 是 加 密 的 ， 单 独 用 那 一 个 连 接 ， 都 无 法 通 过 特 征 匹 配 的 方 法 来 判 断 出 木 马 。 而 把 两 个 行 为 放 在 一 起 分 析 ， 获 得 行 为 序 列 的 综 合 特 征 。 4 . 分 析 能 力 是 关 键 分 析 能 力 是 关 键 安 全 分 析 员 需 要 的 是 线 索 安 全 分 析 员 需 要 的 是 线 索 ， 线 索 只 能 代 表 相 关 性 ， 而 不 是 确 定 性 ， 异 常 行 为 就 是 信 息 安 全 的 一 条 重 要 线 索 。 工 作 在 第 一 线 的 技 术 人 员 ， 却 往 往 在 发 现 可 疑 线 索 后 ， 限 于 对 线 索 研 判 的 可 信 原 始 数 据 支 持 的 条 件 制 约 ， 很 难 实 现 对 其 事 件 定 性 及 线 索 回 查 ， 处 于 被 动 防 御 的 局 面 。 如 何 能 够 化 被 动 防 御 为 主 动 防 御 ， 异 常 行 为 的 钻 取 、 关 联 、 挖 掘 非 常 重 要 ， 通 过 分 析 将 一 连 串 的 线 索 穿 起 来 ， 由 点 及 面 进 而 逼 近 真 相 。 举 个 例 子 ： 从 可 疑 I P 、 关 联 到 访 问 的 用 户 ， 从 可 疑 的 用 户 关 联 到 其 使 用 应 用 、 数 据 库 或 相 关 敏 感 文 件 等 ， 以 时 间 维 度 ， 确 定 出 恶 意 行 为 的 行 为 序 列 ， 进 一 步 可 进 行 相 关 的 责 任 界 定 等 。 4 . 1 安 全 分 析 团 队 安 全 分 析 团 队 在 整 个 短 缺 的 人 才 中 ， 安 全 分 析 师 是 首 当 其 冲 的 。 安 全 分 析 是 要 解 读 报 警 、 针 对 相 关 数 据 分 析 和 调 查 ， 并 确 定 事 件 是 否 需 要 进 一 步 升 级 ， 分 析 师 还 可 能 参 与 事 件 响 应 过 程 或 者 其 它 任 务 （ 如 ： 主 机 取 证 或 者 恶 意 软 件 分 析 等 ） 。 安 全 分 析 需 要 三 个 学 科 的 交 叉 ： 安 全 技 能 （ 这 里 不 是 “ 黑 客 ” ， 是 安 全 攻 防 技 术 ） ， 对 业 务 的 深 入 理 解 ， 以 及 数 学 和 统 计 （ 包 括 应 用 数 据 分 析 工 具 ） 。 现 在 的 大 数 据 安 全 分 析 很 难 ， 主 要 是 同 时 具 备 这 三 部 分 能 力 的 团 队 太 少 。 通 过 协 同 合 作 可 以 来 解 决 这 些 问 题 。 安 全 攻 防 知 识 是 基 础 ， 对 业 务 和 数 据 的 深 入 理 解 才 是 根 本 。 4 . 2 安 全 分 析 平 台 安 全 分 析 平 台 一 个 好 的 安 全 分 析 师 ， 需 要 依 托 一 个 良 好 的 安 全 分 析 平 台 才 能 事 半 功 倍 ， 好 的 安 全 你 分 析 平 台 需 要 具 备 以 下 因 素 ： 分 析 能 力 引 擎 化 ： 国 际 著 名 的 s p l u n k 分 析 平 台 ， 其 自 身 也 有 一 款 安 全 产 品 ， 名 字 叫 做 S p l u n k   A p p   F o r   E n t e r p r i s e S e c u r i t y ， 主 要 就 是 通 过 社 区 模 式 打 造 的 安 全 分 析 插 件 共 享 平 台 。 分 析 人 员 的 分 析 能 力 引 擎 化 才 能 更 好 的 协 助 分 析 师 进 行 安 全 分 析 工 作 。 结 合 外 部 威 胁 情 报 ： 分 析 平 台 最 好 可 以 集 中 多 个 来 源 的 情 报 数 据 。 实 现 对 其 事 件 定 性 及 线 索 反 查 与 线 索 扩 展 以 及 对 攻 击 事 态 第 一 时 间 发 现 感 知 。 威 胁 情 报 库 一 般 包 括 恶 意 程 序 样 本 库 、 恶 意 程 序 分 析 报 告 库 、 恶 意 U R L 库 、 黑 白 域 名 库 、 黑 白 I P 库 、 攻 击 行 为 特 征 库 、 W H O I S 信 息 库 、 漏 洞 库 等 数 据 支 撑 库 ， 并 通 过 数 据 挖 掘 与 分 析 技 术 挖 掘 统 一 威 胁 线 索 ， 为 安 全 专 家 定 位 网 络 攻 击 提 供 事 实 依 据 社 区 化 ， 建 立 生 态 ： 我 们 必 须 依 靠 协 同 、 集 体 的 力 量 才 能 更 有 效 的 发 现 威 胁 ， 可 以 通 过 社 区 的 方 式 大 家 来 共 享 分 析 插 件 ， 无 社 区 不 生 命 。 2 0 1 6 年 R S A 的 创 新 沙 盒 第 一 名 ， P h a n t o m 平 台 采 用 社 区 模 式 ， 通 过 接 入 第 三 方 安 全 设 备 或 服 务 实 现 平 台 的 扩 展 性 。 安 全 设 备 或 服 务 接 入 是 通 过 定 制 P h a n t o m   A p p 实 现 的 。 P h a n t o m   A p p s 基 于 P y t h o n 语 言 开 发 ， 允 许 社 区 内 的 任 何 人 分 享 数 据 信 息 来 扩 展 平 台 的 能 力 ， 也 允 许 在 A p p s t o r e 中 分 享 自 定 义 的 A p p s 。 可 视 化 呈 现 ： 这 里 就 不 多 阐 述 ， 可 视 化 确 实 能 是 分 析 人 员 的 工 作 效 率 提 高 很 多 。 5 .   响 应 处 置 是 根 本 响 应 处 置 是 根 本 5 . 1 自 动 化 能 力 ， 关 注 效 率 自 动 化 能 力 ， 关 注 效 率 自 动 化 安 全 运 维 市 场 潜 力 巨 大 。 现 在 安 全 人 员 的 工 作 强 度 和 压 力 非 常 之 高 ， 能 降 低 工 作 量 并 提 高 效 率 的 产 品 肯 定 会 广 受 欢 迎 。 我 们 从 实 际 场 景 来 看 一 起 自 动 化 运 维 的 例 子 。 发 现 一 起 可 以 攻 击 或 可 以 事 件 ， 我 们 一 般 有 两 条 线 可 以 往 下 延 伸 ， 1 ） 攻 击 侧 的 深 挖 ： 可 以 自 动 化 的 通 过 T I ( 威 胁 情 报 平 台 ） ， 对 攻 击 源 进 行 关 联 分 析 ， 对 攻 击 者 、 攻 击 手 法 等 进 行 画 像 。 甚 至 可 以 开 启 自 动 化 的 端 口 扫 描 对 源 地 址 进 行 信 息 探 测 ， 进 行 更 深 入 的 分 析 。 2 ） 受 害 侧 的 处 置 ： 自 动 化 的 关 联 漏 洞 扫 描 系 统 ， 对 被 攻 击 者 进 行 扫 描 ， 根 据 扫 描 结 果 关 联 到 应 急 响 应 平 台 ， 获 取 漏 洞 的 处 置 方 式 并 进 行 相 关 漏 洞 修 复
或 执 行 自 动 化 的 访 问 控 制 措 施 等 。 最 后 再 通 过 检 测 系 统 对 漏 洞 处 置 的 结 果 进 行 返 回 确 认 。 没 有 a c t i o n 的 威 胁 情 报 ， 只 会 徒 增 安 全 管 理 员 的 烦 恼 和 痛 苦 。 大 部 分 的 用 户 可 以 采 用 自 建 运 营 团 队 或 外 部 服 务 的 方 式 来 进 行 威 胁 的 应 对 和 处 置 。 F i r e E y e 提 出 了 F i r e E y e - A s - A - S e r v i c e 的 概 念 ， 并 在 近 期 重 点 宣 传 。 和 F i r e E y e 之 前 服 务 最 大 的 不 同 就 是 F i r e E y e 的 技 术 人 员 将 7 × 2 4 小 时 地 监 控 你 的 F i r e E y e 系 统 ， 一 旦 发 现 威 胁 ， F i r e E y e 的 人 员 将 不 再 像 传 统 服 务 那 样 只 是 提 供 建 议 或 电 话 支 持 ， 而 是 直 接 操 作 你 的 设 备 进 行 响 应 ， 并 结 合 技 术 检 测 和 专 家 服 务 ， 组 成 技 术 、 专 家 和 智 能 的 闭 环 。 5 . 2 应 急 响 应 平 台 应 急 响 应 平 台 安 全 行 业 目 前 已 经 有 了 很 多 平 台 ： 漏 洞 平 台 、 众 测 平 台 、 在 线 教 育 、 威 胁 情 报 、 安 全 媒 体 … … ， 但 是 安 全 加 固 或 应 急 处 置 平 台 目 前 业 内 还 没 有 看 到 ， 该 平 台 对 漏 洞 修 复 、 常 见 事 件 处 理 提 供 有 效 的 验 证 过 的 处 理 方 法 、 处 理 流 程 、 处 理 工 具 等 ， 可 以 大 大 提 供 维 护 人 员 的 工 作 效 率 。 我 们 也 期 待 社 区 化 模 式 的 应 急 响 应 平 台 的 出 现 。 6 . 他 山 之 石 ： 国 外 公 司 相 关 厂 商 和 系 统 介 绍 他 山 之 石 ： 国 外 公 司 相 关 厂 商 和 系 统 介 绍 近 几 年 ， 不 断 涌 现 出 异 常 行 为 和 安 全 威 胁 分 析 的 安 全 产 品 类 别 ， 主 要 包 括 如 下 。 每 个 产 品 都 从 不 同 侧 面 展 现 了 异 常 行 为 分 析 的 能 力 。 U E B A   –   U s e r   a n d   E n t i t y   B e h a v i o r   A n a l y t i c s C A S B   –   C l o u d   A p p l i c a t i o n   S e c u r i t y   B r o k e r D L P   –   D a t a   L e a k a g e   P r o t e c t i o n E D R   –   E n d p o i n t   D e t e c t i o n   a n d   R e s p o n s e S I E M   –   S e c u r i t y   I n f o r m a t i o n   &   E v e n t   M a n a g e m e n t 下 面 对 三 个 典 型 的 分 析 产 品 做 简 要 介 绍 。 （ 部 分 文 字 翻 译 自 厂 商 资 料 ） 6 . 1 思 科 思 科 - E T A “ 无 需 解 密 无 需 解 密 ” 的 加 密 流 量 威 胁 发 现 的 加 密 流 量 威 胁 发 现 互 联 网 业 务 未 来 看 加 密 一 定 会 常 态 化 ， D P I 、 内 容 识 别 的 路 子 越 来 越 窄 。 思 科 推 出 的 E T A 技 术 （ E n c r y p t e d   T r a f f i c A n a l y t i c s ， 加 密 流 量 分 析 功 能 ） ， 通 过 安 全 研 究 人 员 研 究 了 数 百 万 不 同 流 量 上 恶 意 流 量 和 良 性 流 量 使 用 T L S 、 D N S 和 H T T P 方 面 的 差 异 ， 提 炼 出 恶 意 软 件 最 明 显 的 一 系 列 流 量 特 性 ， 专 门 针 对 网 络 流 量 中 加 密 或 隐 蔽 隧 道 中 威 胁 识 别 ， 并 最 终 形 成 了 思 科 针 对 恶 意 软 件 流 量 传 输 模 型 的 S e c u r i t y   M a p 。 该 方 案 通 过 收 集 来 自 全 新 C a t a l y s t ®   9 0 0 0 交 换 机 和 C i s c o 4 0 0 0 系 列 集 成 多 业 务 路 由 器 的 增 强 型 N e t F l o w 信 息 ， 再 与 思 科 的 高 级 安 全 分 析 能 力 进 行 组 合 ， E T A 能 够 帮 助 I T 人 员 在 无 需 解 密 的 情 况 下 找 出 加 密 流 量 中 的 恶 意 威 胁 。
6 . 2 I n t e r s e t – 基 于 终 端 的 行 为 分 析 侦 测 威 胁 基 于 终 端 的 行 为 分 析 侦 测 威 胁 i n t e r s e t 公 司 主 要 专 注 内 部 异 常 行 为 的 检 测 ， 为 了 降 低 误 报 和 去 噪 ， 采 用 了 异 常 行 为 的 量 化 评 价 的 方 式 进 行 呈 现 ； 借 助 斯 诺 登 的 事 件 作 为 样 例 ， i n t e r s e t 提 出 的 行 为 风 险 分 析 的 组 成 元 素 有 ： U s e r 成 员 、 A c t i v i t y 事 件 、 F i l e 资 产 / 文 件 、 M e t h o d 方 法 如 图 4 个 组 成 元 素 （ U s e r 成 员 、 A c t i v i t y 事 件 、 F i l e 资 产 / 文 件 、 M e t h o d 方 法 ） 说 明 例 子 中 的 行 为 风 险 是 如 何 分 析 的 ,   详 细 解 释 如 下 ： U s e r 成 员 ： 斯 诺 登 成 员 ： 斯 诺 登 组 织 中 的 每 个 成 员 （ 人 、 设 备 ） 都 有 一 个 风 险 评 分 ， 风 险 分 基 于 他 们 的 角 色 、 连 接 的 I P 、 被 发 现 的 行 为 ， 并 计 算 进 总 风 险 分 。 成 员 的 风 险 分 相 互 独 立 ， 并 根 据 他 们 的 所 做 的 事 情 的 风 险 和 安 全 程 度 不 断 上 下 浮 动 。 A c t i v i t y 事 件 ： 复 制 数 量 异 常 巨 大 的 文 件 每 个 行 为 的 得 分 根 据 往 常 历 史 和 基 准 的 不 同 而 不 同 。 例 如 ： 根 据 历 史 记 录 ， 斯 诺 登 每 天 只 复 制 几 M B 数 据 ， 而 不 是 当 前 事 件 中 的 几 G B 数 据 。 当 与 以 往 基 准 行 为 相 比 ， 出 现 高 度 异 常 时 ， 行 为 风 险 部 分 得 分 会 很 高 。 根 据 以 往 记 录 （ 同 一 用 户 与 以 前 相 比 复 制 了 过 多 的 文 件 ， 或 用 户 与 组 内 其 他 相 同 职 位 成 员 相 比 复 制 了 过 多 的 文 件 ） ， 基 准 行 为 的 得 分 是 可 计 算 的 。 F i l e 资 产 资 产 / 文 件 ： 复 制 的 是 重 要 的 文 件 文 件 ： 复 制 的 是 重 要 的 文 件 每 个 被 复 制 的 文 件 ， 根 据 对 组 织 的 重 要 程 度 、 恶 意 外 泄 的 影 响 、 文 件 所 起 的 作 用 、 文 件 本 身 的 脆 弱 性 ， 都 有 一 个 风 险 分 ， 并 为 总 风 险 分 提 供 依 据 。 M e t h o d 方 法 ： 外 接 方 法 ： 外 接 U S B 设 备 设 备 当 资 产 被 转 移 时 ， 风 险 分 开 始 计 算 ， 当 被 转 移 出 公 司 认 为 是 “ 安 全 区 域 ” 的 地 带 时 ， 风 险 分 增 加 。 例 如 ： 如 果 U S B 上 传 被 认 为 是 禁 止 或 是 不 符 合 策 略 的 ， 行 为 风 险 将 被 建 模 。 不 同 组 织 有 不 同 的 对 待 外 部 设 备 的 策 略 ， 风 险 分 数 根 据 策 略 和 可 疑 程 度 上 下 浮 动 。 根 据 这 4 个 得 分 最 终 计 算 出 总 风 险 。
i n t e r s e t 主 要 基 于 终 端 的 信 息 收 集 ， 通 过 数 据 分 析 引 擎 提 供 违 规 行 为 的 安 全 告 警 。 同 时 为 常 见 的 S O C 、 S I E M 平 台 提 供 了 A P I 接 口 。 6 . 3 V e c t r a – 基 于 网 络 流 量 的 行 为 分 析 侦 测 威 胁 基 于 网 络 流 量 的 行 为 分 析 侦 测 威 胁 V e c t r a 的 异 常 行 为 分 析 主 要 通 过 以 下 过 程 实 现 ， 基 于 网 络 流 量 检 测 、 注 重 可 视 化 是 该 平 台 非 常 明 显 的 一 个 特 色 。 ( 一 )     关 键 资 产 的 识 别 ： 通 过 分 析 内 部 网 络 流 量 ， 采 用 机 器 学 习 的 方 式 自 动 化 的 识 别 组 织 内 的 安 全 资 产 （ 设 备 ） ， 同 时 将 组 织 内 的 设 备 或 资 产 显 示 在 一 张 逻 辑 图 上 ， 很 便 利 的 看 到 设 备 之 间 的 互 联 关 系 。 关 键 资 产 的 识 别 主 要 基 于 几 个 要 素 ： 可 根 据 资 产 上 存 放 的 数 据 的 重 要 性 ， 同 时 考 虑 资 产 的 使 用 者 的 重 要 性 来 确 定 是 否 是 关 键 资 产 。 比 如 关 键 员 工 和 高 管 的 笔 记 本 就 可 以 被 标 记 为 关 键 资 产 ， 在 V e c t r a 的 产 品 界 面 上 很 容 易 进 行 资 产 标 记 。 ( 二 )     异 常 行 为 的 发 现 ： 该 系 统 也 可 以 检 测 或 识 别 出 内 部 用 户 的 端 口 扫 描 、 暗 网 扫 描 、 暴 力 破 解 等 攻 击 行 为 ， 如 果 是 针 对 组 织 的 关 键 资 产 所 发 起 的 攻 击 行 为 ， 这 就 可 以 当 作 一 个 内 部 威 胁 的 重 要 标 识 。 比 如 一 般 内 部 用 户 不 会 直 接 访 问 c & c 服 务 器 ， 如 果 出 现 这 些 行 为 都 代 表 内 部 用 户 确 实 出 了 问 题 。 其 产 品 针 对 不 同 的 恶 意 行 为 通 过 不 同 的 告 警 颜 色 进 行 标 识 。 ( 三 )     数 据 盗 取 的 追 踪 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理