搜索

[16036] 2020-11-01_CrowdStrike无文件攻击白皮书

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-11-01_CrowdStrike无文件攻击白皮书 C r o w d S t r i k e   |   无 文 件 攻 击 白 皮 书 柯 善 学   F r e e B u f   2 0 2 0 - 1 1 - 0 1 C r o w d S t r i k e 是 端 点 保 护 平 台 （ E P P ） 的 最 强 者 ， 是 云 交 付 的 下 一 代 端 点 保 护 的 领 导 者 。 由 于 C r o w d S t r i k e 邮 件 推 送 了 “ 无 文 件 攻 击 白 皮 书 ” 《 谁 需 要 恶 意 软 件 ？ 对 手 如 何 使 用 无 文 件 攻 击 来 规 避 你 的 安 全 措 施 》 （ W h o   N e e d s   M a l w a r e ? H o w   A d v e r s a r i e s   U s e   F i l e l e s s   A t t a c k s   T o   E v a d e   Y o u r   S e c u r i t y ） ， 笔 者 顺 手 对 其 进 行 了 全 文 翻 译 。 无 文 件 攻 击 （ F i l e l e s s   a t t a c k ） 是 不 向 磁 盘 写 入 可 执 行 文 件 的 攻 击 方 法 ， 难 以 被 常 规 方 法 检 测 出 来 。 根 据 C r o w d S t r i k e 统 计 ， “ 1 0 个 成 功 突 破 的 攻 击 向 量 中 有 个 成 功 突 破 的 攻 击 向 量 中 有 8 个 使 用 了 无 文 件 攻 击 技 术 个 使 用 了 无 文 件 攻 击 技 术 。 ” 即 8 0 % 的 成 功 入 侵 都 使 用 了 无 文 件 攻 击 。 根 据 二 八 原 理 ， 这 显 然 是 安 全 人 员 应 该 高 度 关 注 的 技 术 类 型 。 无 文 件 攻 击 白 皮 书 解 释 了 无 文 件 攻 击 的 工 作 原 理 、 传 统 解 决 方 案 失 效 的 原 因 ， 以 及 C r o w d S t r i k e 解 决 该 难 题 的 方 法 。 C r o w d S t r i k e 的 解 决 方 案 是 应 用 程 序 清 单 、 漏 洞 利 用 阻 断 、 攻 击 指 标 （ I O A ） 、 托 管 狩 猎 、 无 签 名 人 工 智 能 等 技 术 的 集 成 化 方 法 。 除 了 全 文 翻 译 外 ， 笔 者 主 要 在 文 末 做 了 两 块 内 容 增 补 ： 一 是 关 于 C r o w d S t r i k e   T h r e a t   G r a p h （ 威 胁 图 ） 的 技 术 思 想 ， 因 为 威 胁 图 是 C r o w d S t r i k e   F a l c o n （ 猎 鹰 ） 端 点 保 护 平 台 的 “ 大 脑 ” ； 二 是 关 于 C r o w d S t r i k e 提 出 的 攻 击 指 标 （ I O A ） 与 传 统 的 失 陷 指 标 （ I O C ） 的 对 比 。 笔 者 认 为 ， 这 两 类 技 术 领 域 具 有 战 略 价 值 。 如 果 说 全 文 翻 译 只 花 费 一 小 时 的 话 ， 这 些 增 补 内 容 反 而 消 耗 了 笔 者 两 个 小 时 。
随 着 安 全 措 施 在 检 测 和 阻 止 恶 意 软 件 和 网 络 攻 击 方 面 越 来 越 出 色 ， 对 手 和 网 络 犯 罪 分 子 被 迫 不 断 开 发 新 技 术 来 逃 避 检 测 。 其 中 一 种 高 级 技 术 涉 及 “ 无 文 件 ” （ f i l e l e s s ） 攻 击 ， 即 不 向 磁 盘 写 入 可 执 行 文 件 。 这 类 攻 击 特 别 有 效 地 躲 避 了 传 统 防 病 毒 （ A V ） 解 决 方 案 ， 因 为 传 统 防 病 毒 （ A V ） 方 法 寻 找 被 保 存 到 磁 盘 上 的 文 件 并 扫 描 这 些 文 件 以 确 定 它 们 是 否 恶 意 。 虽 然 无 文 件 攻 击 并 不 新 鲜 ， 但 它 们 正 变 得 越 来 越 普 遍 。 在 2 0 1 6 年 的 调 查 中 ， C r o w d S t r i k e   S e r v i c e s 事 件 响 应 团 队 发 现 ， 1 0 个 成 功 入 侵 的 攻 击 向 量 中 有 8 个 使 用 了 无 文 件 攻 击 技 术 。 为 了 帮 助 您 了 解 无 文 件 攻 击 所 带 来 的 风 险 ， 本 白 皮 书 解 释 了 无 文 件 攻 击 的 工 作 原 理 、 当 前 解 决 方 案 对 其 无 能 为 力 的 原 因 ， 以 及 C r o w d S t r i k e 解 决 这 一 难 题 的 行 之 有 效 的 方 法 。 0 1   什 么 是 无 文 件 攻 击 ？ 什 么 是 无 文 件 攻 击 ？ 当 攻 击 者 通 过 消 除 将 P E （ 可 移 植 可 执 行 文 件 ） 复 制 到 磁 盘 驱 动 器 的 传 统 步 骤 来 逃 避 检 测 时 ， 就 会 发 生 无 文 件 或 无 恶 意 软 件 的 攻 击 。 有 多 种 技 术 可 以 采 取 这 种 方 式 危 害 系 统 。 1 ） 漏 洞 利 用 和 漏 洞 利 用 工 具 包 ， 通 常 通 过 利 用 操 作 系 统 （ O S ） 或 已 安 装 应 用 程 序 中 存 在 的 漏 洞 ， 直 接 在 内 存 中 执 行 攻 击 。 2 ） 使 用 盗 用 的 凭 证 ， 是 发 起 无 文 件 攻 击 的 另 一 种 普 遍 方 法 。 V e r i z o n 在 其 2 0 1 7 年 的 D B I R （ 数 据 泄 露 调 查 报 告 ） 中 发 现 ， 8 1 % 的 数 据 泄 露 涉 及 弱 口 令 、 默 认 口 令 或 被 盗 口 令 ， 比 上 一 年 增 加 了 1 8 % 。 这 使 得 攻 击 者 能 够 像 普 通 用 户 一 样 访 问 系 统 。
3 ） 一 旦 实 现 初 步 突 破 ， 对 手 就 可 以 依 赖 操 作 系 统 本 身 提 供 的 工 具 ， 如 W i n d o w s 管 理 工 具 和 W i n d o w s   P o w e r S h e l l ， 以 执 行 进 一 步 的 操 作 ， 而 不 必 将 文 件 保 存 到 磁 盘 。 例 如 ， 它 们 可 以 通 过 在 注 册 表 、 内 核 中 隐 藏 代 码 ， 或 者 通 过 创 建 允 许 它 们 随 意 访 问 系 统 的 用 户 帐 户 来 建 立 持 久 化 ， 而 无 需 向 磁 盘 写 入 任 何 内 容 。 在 安 全 行 业 ， 对 上 述 这 些 技 术 的 使 用 ， 通 常 被 称 为 “ l i v i n g   o f f   t h e   l a n d ” （ 离 地 生 存 ？ 生 存 手 段 ？ ） 。 0 2   真 实 案 例 ： 一 个 无 文 件 入 侵 的 解 剖 真 实 案 例 ： 一 个 无 文 件 入 侵 的 解 剖 通 过 展 示 C r o w d S t r i k e   S e r v i c e s 事 件 响 应 团 队 发 现 的 一 个 真 实 的 案 例 ， 我 们 可 以 检 查 端 到 端 的 无 恶 意 软 件 入 侵 是 什 么 样 子 。 在 本 例 中 ， 首 个 目 标 是 使 用 M i c r o s o f t   I S S 并 运 行 S Q L 服 务 器 数 据 库 的 w e b 服 务 器 。 对 于 最 初 的 入 侵 ， 攻 击 者 使 用 了 一 个 w e b   s h e l l ， 一 个 可 以 被 上 传 到 w e b 服 务 器 并 在 其 上 执 行 的 简 短 脚 本 。 脚 本 可 以 用 w e b 服 务 器 支 持 的 任 何 语 言 编 写 ， 比 如 P e r l 、 P y t h o n 、 A S P 或 P H P 。 W e b   S h e l l 在 此 类 攻 击 中 很 流 行 ， 因 为 它 们 可 以 通 过 利 用 系 统 上 存 在 的 漏 洞 直 接 加 载 到 内 存 中 ， 而 无 需 将 任 何 内 容 写 入 磁 盘 。 在 这 一 特 定 的 攻 击 中 ， 对 手 使 用 S Q L 注 入 ， 将 其 w e b   s h e l l 嵌 入 到 服 务 器 。 W E B   S h e l l 允 许 使 用 w e b 浏 览 器 来 远 程 访 问 系 统 。 它 们 可 以 用 A S P 或 P H P 或 任 何 其 他 w e b 脚 本 语 言 编 写 ， 代 码 可 以 非 常 小 。 如 下 所 示 ： 由 于 w e b 服 务 器 没 有 正 确 检 查 转 义 字 符 ， 攻 击 者 能 够 简 单 地 将 w e b   s h e l l 回 传 到 服 务 器 上 。 所 用 的 w e b   s h e l l ， 名 为 “ C h i n a   C h o p p e r ” （ 中 国 菜 刀 / 直 升 机 ） ， 包 含 了 J a v a S c r i p t 命 令 ， 值 得 注 意 的 是 它 只 使 用 了 7 2 个 字 符 。 在 内 存 中 执 行 w e b   s h e l l ， 使 攻 击 者 能 够 使 用 C h o p p e r 用 户 界 面 ， 对 w e b 服 务 器 执 行 任 意 命 令 。 通 过 对 w e b 服 务 器 的 完 全 远 程 访 问 ， 攻 击 者 通 过 执 行 编 码 的 P o w e r S h e l l 命 令 ， 来 窃 取 凭 据 。 第 一 步 是 从 远 程 服 务 器 下 载 脚 本 ， 将 脚 本 直 接 加 载 到 内 存 中 ， 然 后 执 行 它 。 这 个 脚 本 反 过 来 窃 取 了 缓 存 在 w e b 服 务 器 内 存 中 的 所 有 纯 文 本 密 码 。 在 几 秒 钟 内 ， 攻 击 者 获 得 了 系 统 上 所 有 帐 户 的 多 个 用 户 名 和 密 码 。 P o w e r S h e l l 是 一 个 合 法 的 W i n d o w s 工 具 ， 它 允 许 攻 击 者 在 受 损 系 统 上 执 行 任 何 操 作 ， 而 不 必 在 磁 盘 上 写 入 恶 意 软 件 。 为 了 进 一 步 做 混 淆 ， 攻 击 者 可 以 对 其 P o w e r S h e l l 脚 本 进 行 编 码 ， 如 下 所 示 ： 下 一 步 是 让 攻 击 者 在 服 务 器 上 实 现 持 久 化 。 为 了 在 不 需 要 任 何 恶 意 软 件 的 情 况 下 执 行 此 操 作 ， 攻 击 者 使 用 了 一 种 称 为 “ 粘 滞 键 ” （ S t i c k y   K e y s ） 的 技 术 。 通 过 修 改 W i n d o w s 注 册 表 中 的 一 行 ， 攻 击 者 可 以 使 用 P o w e r S h e l l 或 W M I 命 令 ， 轻 松 完 成 此 操 作 ， 从 而 将 W i n d o w s 屏 幕 键 盘 进 程 ， 设 置 为 调 试 模 式 。 粘 滞 键 （ S t i c k y   K e y s ） 是 使 攻 击 者 无 需 登 录 凭 据 即 可 访 问 命 令 s h e l l 的 注 册 表 项 。 如 下 所 示 ： 当 设 置 为 调 试 模 式 时 ， 屏 幕 键 盘 允 许 具 有 远 程 访 问 权 限 的 任 何 人 ， 以 系 统 权 限 打 开 命 令 行 ， 而 无 需 登 录 。 一 旦 设 置 了
该 注 册 表 项 ， 攻 击 者 可 以 通 过 打 开 到 w e b 服 务 器 的 远 程 桌 面 连 接 ， 随 时 返 回 。 此 外 ， 访 问 系 统 而 不 在 W i n d o w s 事 件 历 史 记 录 中 生 成 登 录 事 件 ， 会 使 攻 击 者 的 行 为 几 乎 无 法 追 踪 。 现 在 小 结 一 下 ， 本 案 例 中 ， 在 不 同 的 攻 击 阶 段 所 使 用 的 文 件 技 术 包 括 ： 1 .   初 始 入 侵 ： 针 对 W e b 服 务 器 的 S Q L 注 入 攻 击 ； 2 .   命 令 与 控 制 （ C 2 ） ： “ 中 国 菜 刀 / 直 升 机 ” 的 W e b   S h e l l ； 3 .   提 升 权 限 ： 使 用 P o w e r S h e l l 脚 本 转 储 凭 据 ； 4 .   建 立 持 久 化 ： 修 改 注 册 表 粘 滞 键 技 术 。 0 3   作 案 工 具 ： 真 实 世 界 的 无 文 件 恶 意 软 件 作 案 工 具 ： 真 实 世 界 的 无 文 件 恶 意 软 件 从 上 面 的 案 例 中 ， 我 们 已 经 了 解 了 端 到 端 的 无 文 件 攻 击 是 如 何 发 生 的 。 在 攻 击 过 程 中 ， 对 手 还 可 以 结 合 其 他 技 术 ， 使 用 无 文 件 工 具 和 方 法 。 无 文 件 恶 意 软 件 经 常 使 用 的 工 具 和 技 术 包 括 ： 漏 洞 利 用 工 具 包 利 用 合 法 工 具 ， 如 W M I 和 P o w e r S h e l l 使 用 被 盗 凭 证 注 册 表 驻 留 恶 意 软 件 内 存 型 （ M e m o r y - o n l y ） 恶 意 软 件 1 ） 漏 洞 利 用 工 具 包 （ E x p l o i t   k i t s ） 漏 洞 利 用 是 一 种 允 许 攻 击 者 利 用 操 作 系 统 或 应 用 程 序 漏 洞 来 访 问 系 统 的 技 术 。 漏 洞 利 用 是 一 种 高 效 的 无 文 件 技 术 ， 因 为 它 们 可 以 直 接 注 入 内 存 中 ， 而 无 需 将 任 何 内 容 写 入 磁 盘 。 通 过 允 许 攻 击 者 自 动 化 和 大 规 模 执 行 初 始 突 破 ， 漏 洞 利 用 工 具 包 使 得 攻 击 者 的 生 活 更 轻 松 、 工 作 更 高 效 。 所 需 要 做 的 只 是 ， 诱 使 受 害 者 进 入 漏 洞 利 用 工 具 包 服 务 器 ， 办 法 通 常 是 网 络 钓 鱼 或 社 会 工 程 。 这 些 工 具 包 通 常 提 供 对 许 多 漏 洞 的 攻 击 ， 以 及 一 个 管 理 控 制 台 ， 一 旦 成 功 利 用 漏 洞 ， 攻 击 者 就 可 以 控 制 失 陷 的 系 统 。 有 些 漏 洞 利 用 工 具 包 甚 至 提 供 了 扫 描 受 害 者 系 统 中 的 漏 洞 的 功 能 ， 因 此 可 以 快 速 构 建 并 启 动 成 功 的 漏 洞 攻 击 。 2 ） 注 册 表 驻 留 恶 意 软 件 注 册 表 驻 留 恶 意 软 件 是 安 装 在 W i n d o w s 注 册 表 中 的 恶 意 软 件 ， 以 便 在 逃 避 检 测 的 同 时 ， 保 持 持 久 性 。 第 一 种 是 P o w e l i k s ， 此 后 就 出 现 了 许 多 变 体 。 一 些 变 体 ， 如 K o v t e r ， 使 用 了 类 似 的 注 册 表 隐 藏 技 术 ， 来 保 持 不 被 发 现 。 P o w e l i k s 调 用 C 2 （ 命 令 和 控 制 ） 服 务 器 ， 攻 击 者 可 以 从 该 服 务 器 向 受 损 系 统 发 送 进 一 步 的 指 令 。 所 有 这 些 操 作 ， 都 可 以 在 没 有 任 何 文 件 写 入 磁 盘 的 情 况 下 进 行 。 3 ） 内 存 型 （ M e m o r y - o n l y ） 恶 意 软 件
有 些 恶 意 软 件 只 存 在 于 内 存 中 ， 以 逃 避 检 测 。 新 版 本 的 D u q u 蠕 虫 就 是 这 种 情 况 ， 它 只 驻 留 在 内 存 中 ， 不 会 被 发 现 。 D u q u   2 . 0 有 两 个 版 本 ： 第 一 个 是 后 门 ， 它 允 许 攻 击 者 在 组 织 中 站 稳 脚 跟 。 如 果 攻 击 者 认 为 目 标 值 得 攻 击 ， 他 可 以 使 用 D u q u   2 . 0 的 高 级 版 本 ， 该 版 本 提 供 了 诸 如 侦 察 、 横 向 移 动 、 数 据 渗 出 等 附 加 功 能 。 D u q u 2 . 0 以 成 功 攻 破 电 信 行 业 的 公 司 以 及 至 少 一 家 知 名 的 安 全 软 件 提 供 商 而 闻 名 。 4 ） 无 文 件 型 勒 索 软 件 甚 至 勒 索 软 件 攻 击 者 ， 现 在 也 在 使 用 无 文 件 技 术 ， 来 实 现 他 们 的 目 标 。 在 这 类 勒 索 软 件 中 ， 恶 意 代 码 要 么 嵌 入 文 档 中 以 使 用 本 机 脚 本 语 言 （ 如 宏 ） ， 要 么 使 用 漏 洞 直 接 写 入 内 存 。 然 后 ， 勒 索 软 件 使 用 合 法 的 管 理 工 具 如 P o w e r S h e l l ， 来 加 密 人 质 文 件 ， 而 所 有 这 些 都 不 需 要 写 入 磁 盘 。 0 4   为 何 传 统 技 术 无 法 抵 御 无 文 件 攻 击 为 何 传 统 技 术 无 法 抵 御 无 文 件 攻 击 由 于 传 统 安 全 解 决 方 案 极 难 检 测 到 无 文 件 攻 击 ， 因 此 无 文 件 攻 击 正 在 增 加 。 让 我 们 来 看 看 ， 为 什 么 当 今 市 场 上 的 一 些 端 点 保 护 技 术 ， 对 这 些 无 恶 意 软 件 入 侵 如 此 脆 弱 。 1 ） 传 统 防 病 毒 （ A V ） 旨 在 寻 找 已 知 恶 意 软 件 的 特 征 码 。 由 于 无 文 件 攻 击 没 有 恶 意 软 件 ， 所 以 A V 没 有 可 检 测 的 特 征 码 。 2 ） 基 于 机 器 学 习 （ M L ） 的 反 恶 意 软 件 方 法 ， 在 应 对 无 文 件 攻 击 时 ， 面 临 着 与 传 统 A V 相 同 的 挑 战 。 M L 动 态 分 析 未 知 文 件 ， 并 将 其 区 分 为 好 的 或 坏 的 。 但 是 我 们 已 经 注 意 到 ， 在 无 文 件 攻 击 中 ， 没 有 要 分 析 的 文 件 ， 因 此 M L 无 法 提 供 帮 助 。 3 ） 白 名 单 方 法 包 括 列 出 一 台 机 器 上 所 有 良 好 的 进 程 ， 以 防 止 未 知 进 程 执 行 。 无 文 件 攻 击 的 问 题 在 于 ， 它 们 利 用 易 受 攻 击 的 合 法 白 名 单 应 用 程 序 ， 并 利 用 内 置 的 操 作 系 统 可 执 行 文 件 。 阻 止 用 户 和 操 作 系 统 共 同 依 赖 的 应 用 程 序 ， 并 不 是 一 个 好 的 选 项 。 4 ） 使 用 失 陷 指 标 （ I O C ） 工 具 来 防 止 无 文 件 攻 击 也 不 是 很 有 效 。 本 质 上 ， I O C 类 似 于 传 统 的 A V 签 名 ， 因 为 它 们 是 攻 击 者 留 下 的 已 知 恶 意 制 品 。 然 而 ， 由 于 它 们 利 用 合 法 的 进 程 ， 并 且 在 内 存 中 操 作 ， 所 以 无 文 件 攻 击 不 会 留 下 制 品 ， 因 此 I O C 工 具 几 乎 找 不 到 任 何 东 西 。 5 ） 另 一 种 方 法 涉 及 沙 箱 ， 它 可 以 采 取 多 种 形 式 ， 包 括 基 于 网 络 的 爆 破 和 微 虚 拟 化 。 由 于 无 文 件 攻 击 不 使 用 P E 文 件 ， 因 此 沙 盒 没 有 什 么 可 爆 破 的 。 即 便 真 有 东 西 被 发 送 到 沙 箱 ， 因 为 无 文 件 攻 击 通 常 会 劫 持 合 法 进 程 ， 大 多 数 沙 箱 也 都 会 忽 略 它 。 0 5   C r o w d S t r i k e 的 解 决 方 案 的 解 决 方 案 正 如 我 们 所 看 到 的 ， 如 果 您 依 赖 基 于 签 名 的 方 法 、 沙 盒 、 白 名 单 甚 至 机 器 学 习 保 护 方 法 ， 那 么 想 检 测 无 文 件 技 术 是 非 常 有 挑 战 性 的 。 为 了 抵 御 秘 密 的 、 无 文 件 的 攻 击 ， C r o w d S t r i k e 独 特 地 将 多 种 方 法 结 合 到 一 个 强 大 的 集 成 式 方 法 中 ， 提 供 了 无 与 伦 比 的 端 点 保 护 。 C r o w d S t r i k e   F a l c o n 平 台 通 过 单 个 的 轻 量 级 代 理 提 供 了 云 原 生 的 下 一 代 端 点 保 护 ， 并 提 供 一 系 列 互 补 的 预 防 和 检 测 方 法 ： 应 用 程 序 清 单 （ A p p l i c a t i o n   i n v e n t o r y ） ： 可 以 发 现 在 您 的 环 境 中 运 行 的 任 何 应 用 程 序 ， 帮 助 您 找 到 漏 洞 ， 以 便 您 可 以 修 补 或 更 新 它 们 ， 使 之 不 会 成 为 漏 洞 利 用 工 具 包 的 目 标 。 漏 洞 利 用 阻 断 （ E x p l o i t   b l o c k i n g ） ： 通 过 未 修 补 漏 洞 的 漏 洞 利 用 方 法 ， 来 阻 断 无 文 件 攻 击 的 执 行 。 攻 击 指 标 （ I O A ， I n d i c a t o r s   o f   A t t a c k ） ：
在 攻 击 的 早 期 阶 段 ， 识 别 并 阻 止 恶 意 活 动 ， 以 免 其 完 全 执 行 并 造 成 损 害 。 此 能 力 还 可 以 防 止 那 些 新 的 勒 索 软 件 类 别 ， 那 些 勒 索 软 件 不 使 用 文 件 加 密 受 害 者 系 统 。 托 管 狩 猎 （ M a n a g e d   h u n t i n g ） ： 全 天 候 地 主 动 搜 索 由 于 无 文 件 技 术 而 产 生 的 恶 意 活 动 。 0 6   I O A （ 攻 击 指 标 ） 的 力 量 （ 攻 击 指 标 ） 的 力 量 I O A 之 所 以 引 人 注 目 ， 是 因 为 它 们 提 供 了 针 对 无 文 件 攻 击 的 独 特 的 主 动 预 防 能 力 。 I O A 寻 找 攻 击 可 能 正 在 进 行 的 迹 象 ， 而 不 是 关 心 攻 击 的 步 骤 是 如 何 执 行 的 。 这 些 迹 象 可 以 包 括 代 码 执 行 、 试 图 隐 身 、 横 向 移 动 等 等 。 如 何 启 动 或 执 行 这 些 步 骤 对 I O A s 来 说 并 不 重 要 。 例 如 ， 对 于 I O A 来 说 ， 一 个 活 动 是 从 驱 动 器 上 复 制 的 文 件 启 动 的 ， 还 是 从 无 文 件 技 术 启 动 的 ， 都 无 关 紧 要 。 I O A 关 注 的 是 所 执 行 的 行 为 、 它 们 之 间 的 关 系 、 它 们 的 顺 序 、 它 们 的 依 赖 性 ， 将 它 们 视 为 揭 示 一 系 列 事 件 背 后 真 实 意 图 和 目 的 的 指 标 。 I O A 不 关 注 攻 击 者 使 用 的 特 定 工 具 和 恶 意 软 件 。 此 外 ， 在 无 文 件 攻 击 的 情 况 下 ， 恶 意 代 码 可 以 利 用 诸 如 P o w e r S h e l l 之 类 的 合 法 脚 本 语 言 ， 而 无 需 写 入 磁 盘 。 正 如 我 们 所 看 到 的 ， 这 对 于 基 于 签 名 的 方 法 、 白 名 单 、 沙 箱 甚 至 机 器 学 习 来 说 都 是 一 个 挑 战 。 相 比 之 下 ， I O A 检 测 恶 意 软 件 或 攻 击 完 成 其 任 务 所 必 须 执 行 的 事 件 序 列 。 这 可 以 暴 露 最 隐 秘 的 无 文 件 方 法 ， 因 此 它 们 可 以 被 迅 速 处 理 。 最 后 ， 由 于 I O A 会 查 看 意 图 、 上 下 文 、 活 动 序 列 ， 因 此 即 使 恶 意 活 动 是 使 用 合 法 帐 户 实 施 的 ， 也 可 以 检 测 和 阻 止 这 些 活 动 ， 攻 击 者 使 用 窃 取 的 凭 据 时 通 常 会 出 现 这 种 情 况 。 所 有 这 些 使 得 I O A 成 为 防 止 无 文 件 恶 意 软 件 攻 击 的 突 破 口 。 I O A 不 再 基 于 磁 盘 上 可 执 行 文 件 的 存 在 与 否 ， 来 开 展 无 文 件 攻 击 这 场 徒 劳 的 战 斗 ， 而 是 在 造 成 任 何 损 害 之 前 监 视 、 检 测 、 阻 止 此 类 攻 击 的 影 响 。 0 7   托 管 狩 猎 托 管 狩 猎 托 管 狩 猎 （ M a n a g e d   H u n t ） 是 针 对 文 件 攻 击 的 另 一 种 独 特 而 有 效 的 防 御 措 施 。 F a l c o n   O v e r W a t c h （ 猎 鹰 看 守 ） 是 F a l c o n 平 台 的 威 胁 搜 索 组 件 ， 它 提 供 了 一 个 额 外 的 保 护 层 ， 来 抵 御 无 文 件 攻 击 。 利 用 F a l c o n 平 台 的 强 大 功 能 ， O v e r W a t c h （ 看 守 ） 团 队 全 天 候 主 动 狩 猎 威 胁 ， 监 控 客 户 的 环 境 ， 并 狩 猎 那 些 标 准 安 全 技 术 无 法 检 测 到 但 可 能 表 明 正 在 发 生 攻 击 的 狡 猾 活 动 。 F a l c o n   O v e r W a t c h 确 保 即 使 是 最 复 杂 和 最 隐 蔽 的 攻 击 ， 也 能 在 发 生 时 被 发 现 。 它 通 过 狩 猎 和 识 别 难 以 检 测 的 、 复 杂 的 、 尖 端 的 攻 击 ， 生 成 有 意 义 的 警 报 和 精 确 的 指 导 性 补 救 建 议 ， 从 而 提 高 您 对 抗 无 文 件 技 术 的 效 率 。 0 8   结 论 结 论 由 于 漏 洞 利 用 工 具 包 的 存 在 ， 导 致 了 攻 击 组 合 的 高 效 性 和 易 创 建 性 ， 很 可 能 会 提 高 无 文 件 黑 客 技 术 的 普 及 率 。 不 幸 的 是 ， 鉴 于 传 统 杀 毒 软 件 无 法 阻 止 无 文 件 攻 击 ， 犯 罪 黑 客 越 来 越 可 能 将 注 意 力 集 中 在 这 些 隐 形 技 术 上 。 因 此 ， 安 全 专 家 需 要 在 他 们 的 安 全 策 略 中 ， 考 虑 无 文 件 恶 意 软 件 和 无 文 件 攻 击 的 存 在 。 正 如 本 文 所 解 释 的 那 样 ， 传 统 的 安 全 措 施 在 面 对 无 文 件 攻 击 时 可 能 不 够 有 效 ， 需 要 新 的 保 护 方 法 。 C r o w d S t r i k e F a l c o n （ 猎 鹰 平 台 ） 提 供 了 一 种 全 面 的 解 决 方 案 ， 不 仅 可 以 防 御 无 文 件 攻 击 ， 而 且 还 可 以 很 好 地 防 御 已 知 和 未 知 的 恶 意 软 件 威 胁 。 0 9   关 于 关 于 C r o w d S t r i k e C r o w d S t r i k e 是 云 交 付 的 下 一 代 端 点 保 护 的 领 导 者 。 C r o w d S t r i k e   F a l c o n 平 台 在 整 个 企 业 范 围 内 提 供 即 时 可 视 性 和 保 护 ， 并 防 止 对 网 络 内 外 端 点 的 攻 击 。 C r o w d S t r i k e   F a l c o n 可 以 在 几 分 钟 内 部 署 ， 立 即 提 供 可 操 作 性 情 报 和 实 时 保 护 。 F a l c o n 将 下 一 代 A V 与 最 佳 端 点 检 测 和 响 应 技 术 无 缝 结 合 ， 并 支 持 全 天 候 的 托 管 狩 猎 。 它 的 云 基 础 设 施 和 单 代 理 架 构 消 除 了 复 杂 性 ， 增 加 了 可 扩 展 性 、 可 管 理 性 、 速 度 。 C r o w d S t r i k e   F a l c o n 利 用 精 妙 的 无 签
名 人 工 智 能 / 机 器 学 习 和 基 于 攻 击 指 标 （ I O A ） 的 威 胁 预 防 ， 来 保 护 客 户 免 受 所 有 类 型 的 网 络 攻 击 ， 实 时 阻 止 已 知 和 未 知 的 威 胁 。 通 过 C r o w d S t r i k e   T h r e a t   G r a p h （ 威 胁 图 ） 赋 能 ， F a l c o n 立 即 关 联 来 自 全 球 的 4 0 0 亿 个 安 全 事 件 ， 以 立 即 预 防 和 检 测 威 胁 。 （ 原 白 皮 书 内 容 ， 到 此 结 束 ） 1 0   笔 者 增 补 ： 威 胁 图 和 攻 击 指 标 笔 者 增 补 ： 威 胁 图 和 攻 击 指 标 （ 本 节 为 笔 者 增 补 内 容 ， 不 属 于 白 皮 书 内 容 ） 1 ） 端 点 保 护 平 台 （ E P P ） 在 《 2 0 1 9 年 端 点 保 护 平 台 （ E P P ） 魔 力 象 限 》 中 ， C r o w d S t r i k e 占 据 领 导 者 地 位 ， 而 且 处 于 “ 愿 景 完 整 性 ” 横 轴 最 前 沿 的 位 置 。 如 下 图 所 示 ： 图 1 - 端 点 保 护 平 台 （ E P P ） 的 魔 力 象 限 C r o w d S t r i k e 将 自 身 定 位 为 云 交 付 的 下 一 代 端 点 保 护 的 领 导 者 。 C r o w d S t r i k e 是 第 一 家 也 是 唯 一 一 家 统 一 了 下 一 代 防 病 毒 、 端 点 检 测 和 响 应 （ E D R ） 、 I T 卫 生 、 漏 洞 评 估 、 全 天 候 托 管 狩 猎 服 务 的 公 司 — — 全 部 通 过 一 个 轻 量 级 代 理 提 供 ， 彻 底 革 新 了 端 点 保 护 。 C r o w d S t r i k e 的 端 点 保 护 平 台 （ E P P ） 如 下 图 所 示 ：
图 2 - C r o w d S t r i k e   F a l c o n （ 猎 鹰 ） 平 台 2 ） 威 胁 图 （ T h r e a t   G r a p h ） C r o w d S t r i k e   F a l c o n （ 猎 鹰 ） 平 台 由 两 种 紧 密 集 成 的 专 有 技 术 组 成 ： 一 个 是 易 于 部 署 的 智 能 轻 量 级 代 理 ； 另 一 个 是 基 于 云 的 动 态 图 数 据 库 ， 即 上 面 提 到 的 威 胁 图 （ T h r e a t   G r a p h ） 。 下 图 展 示 了 威 胁 图 的 大 致 工 作 原 理 ： 图 3 - 威 胁 图 的 工 作 原 理 下 表 进 一 步 梳 理 了 威 胁 图 的 主 要 特 性 ：
表 4 - C r o w d S t r i k e   T h r e a t   G r a p h （ 威 胁 图 ） 的 主 要 特 性 阻 止 突 破 行 为 的 最 大 挑 战 之 一 在 于 筛 选 大 量 数 据 ， 即 众 所 周 知 的 “ 大 海 捞 针 ” — — 发 现 表 明 攻 击 即 将 发 生 或 正 在 进 行 的 蛛 丝 马 迹 。 针 对 此 挑 战 ， C r o w d S t r i k e 采 用 了 基 于 图 数 据 库 （ 参 见 上 表 中 第 一 行 ） 的 革 新 技 术 （ 类 似 于 F a c e b o o k 和 G o o g l e 开 发 的 技 术 ） ， 来 检 测 已 知 和 未 知 的 威 胁 。 下 图 展 示 了 图 数 据 库 的 结 构 的 示 例 ： 图 5 - 示 例 ： 图 数 据 库 的 结 构 在 图 数 据 库 中 ， 每 个 对 象 （ 称 为 顶 点 （ v e r t e x ） 或 节 点 （ n o d e ） ） 可 以 有 许 多 关 系 。 这 些 关 系 被 称 为 “ 边 缘 ” （ E d g e ） ， 例 如 ， 上 面 的 图 模 型 代 表 了 一 组 同 事 之 间 的 社 交 互 动 和 味 觉 偏 好 。 L i s a 和 M a r i e 表 示 顶 点 ， 它 们 之 间 的 关 系 被 视 为 一 条 边 。 传 统 数 据 库 （ 如 关 系 数 据 库 ） 被 设 计 成 将 数 据 放 入 预 定 义 的 模 式 中 ， 如 果 新 的 数 据 类 型 或 新 的 关 系 在 原 始 设 计 中 没 有 考 虑 到 ， 那 么 信 息 将 不 会 被 存 储 。 简 单 地 说 ， 对 于 传 统 的 数 据 库 模 式 ， 不 适 合 的 数 据 会 丢 失 。 而 安 全 数 据 通 常 是 非 结 构 化 和 意 外 类 型 的 ， 并 不 适 合 传 统 数 据 库 进 行 存 储 。 相 反 ， 图 数 据 库 可 以 轻 松 地 存 储 和 跟 踪 安 全 事 件 。 在 图 数 据 库 中 ， 每 一 段 数 据 及 其 独 特 属 性 ， 都 存 储 为 单 独 的 对 象 。
数 据 及 其 属 性 被 附 加 到 图 中 ， 使 得 图 数 据 库 能 够 无 限 增 长 和 接 受 新 类 型 的 数 据 。 因 此 ， 可 以 很 容 易 地 用 属 性 和 值 填 充 图 数 据 库 ， 而 无 需 遵 循 预 定 模 式 ， 还 能 够 立 即 被 搜 索 到 。 这 使 得 图 数 据 库 非 常 擅 长 映 射 关 系 和 揭 示 网 络 中 实 体 之 间 的 “ 相 互 关 联 性 ” 。 3 ） 攻 击 指 标 （ I O A ） v s .   失 陷 指 标 （ I O C ） I O C 与 I O A 的 根 本 区 别 如 下 图 所 示 ： I O C （ 失 陷 指 标 ） 构 成 了 一 种 被 动 姿 态 ： 恶 意 软 件 、 特 征 码 、 漏 洞 利 用 、 漏 洞 、 I P 地 址 的 存 在 ， 是 一 个 突 破 已 经 发 生 后 留 下 的 典 型 证 据 。 I O A （ 攻 击 指 标 ） 代 表 了 一 种 主 动 姿 态 ： 防 御 者 正 在 寻 找 攻 击 可 能 正 在 进 行 的 早 期 警 告 信 号 ， 例 如 代 码 执 行 、 持 久 化 、 隐 身 、 命 令 控 制 、 网 络 内 的 横 向 移 动 。 图 6 - 攻 击 指 标 （ I O A ） v s .   失 陷 指 标 （ I O C ） 对 于 两 种 指 标 的 区 别 ， 打 一 个 比 方 ： I O C （ 失 陷 指 标 ） 是 犯 罪 发 生 后 到 达 犯 罪 现 场 并 根 据 留 下 的 证 据 试 图 重 现 犯 罪 活 动 ； I O A （ 攻 击 指 标 ） 则 是 提 醒 攻 击 即 将 发 生 或 正 在 进 行 的 更 微 妙 的 迹 象 。 对 于 两 种 指 标 的 区 别 ， 再 打 一 个 比 方 （ 如 下 图 所 示 ） ： I O C （ 失 陷 指 标 ） 像 是 放 大 镜 ； I O A （ 攻 击 指 标 ） 像 是 摄 像 机 。 图 7 - 攻 击 指 标 （ I O A ） v s .   失 陷 指 标 （ I O C ） 如 上 图 所 示 ， I O A （ 攻 击 指 标 ） 就 像 摄 像 机 一 样 ， 能 够 提 供 实 时 记 录 和 可 见 性 ， 相 当 于 你 在 （ 远 程 ） 实 时 观 察 家 中 的 摄 像 机 。 I O A 通 过 记 录 每 一 个 动 作 发 生 的 过 程 ， 准 确 地 向 你 展 示 一 个 对 手 是 如 何 潜 入 你 的 环 境 、 访 问 文 件 、 转 储 密 码 、 横 向 移 动 、 偷 走 数 据 。 笔 者 认 同 ， 真 正 的 下 一 代 端 点 保 护 平 台 ， 应 该 将 传 统 的 基 于 I O C 的 端 点 保 护 技 术 与 I O A 分 析 技 术 相 结 合 ， 以 解 决 全 范 围 的 各 种 攻 击 ， 包 括 已 知 威 胁 和 未 知 威 胁 ， 有 恶 意 软 件 和 无 恶 意 软 件 （ 即 本 文 主 题 — — 无 文 件 攻 击 ） 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理