搜索

[7872] 2014-03-14_APT防御的他山石—思科内部安全团队解读APT

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-17
2014-03-14_APT防御的他山石—思科内部安全团队解读APT A P T 防 御 的 他 山 石 — 思 科 内 部 安 全 团 队 解 读 A P T c s 2 4   F r e e B u f   2 0 1 4 - 0 3 - 1 4 近 日 近 日 F i r e E y e 上 市 大 热 ， 上 市 大 热 ， 3 6 0 公 司 也 要 推 出 公 司 也 要 推 出 A P T 防 御 产 品 。 在 防 御 产 品 。 在 A P T 的 战 火 已 经 烧 到 天 朝 之 际 ， 且 看 看 思 科 自 家 的 安 全 防 的 战 火 已 经 烧 到 天 朝 之 际 ， 且 看 看 思 科 自 家 的 安 全 防 御 团 队 御 团 队 C S I R T （ （ r e s p o n s e   t o   c y b e r   s e c u r i t y   i n c i d e n t s   f o r   C i s c o - o w n e d   b u s i n e s s e s ） 在 ） 在 2 0 1 1 年 时 对 年 时 对 A P T 的 认 识 与 理 解 ， 其 中 的 认 识 与 理 解 ， 其 中 对 对 A P T 的 防 御 的 总 体 思 路 ， 与 当 下 的 防 御 的 总 体 思 路 ， 与 当 下 M a n d i a n t 、 、 F i r e E y e 等 炙 手 可 热 的 等 炙 手 可 热 的 A P T 公 司 的 策 略 不 谋 而 合 。 当 时 概 念 时 至 今 日 仍 公 司 的 策 略 不 谋 而 合 。 当 时 概 念 时 至 今 日 仍 然 一 针 见 血 。 然 一 针 见 血 。         在 久 远 的 那 个 年 代 ， 人 们 想 窃 取 企 业 的 秘 密 是 需 要 “ 物 理 接 触 ” 潜 入 偷 取 数 据 ， 想 想 “ 潜 伏 ” 连 续 剧 里 头 ， “ 余 则 成 ” 用 个 迷 你 的 照 相 机 拍 下 国 军 的 X X X 名 单 。 然 而 ， 互 联 网 时 代 已 经 颠 覆 了 这 个 久 远 年 代 的 概 念 。 要 曝 光 组 织 的 敏 感 秘 密 ， 已 经 不 再 需 要 物 理 接 触 了 。 今 天 ， 这 个 战 线 已 经 沿 及 到 所 有 的 计 算 机 终 端 、 桌 面 电 脑 、 移 动 手 机 、 w e b 服 务 器 和 网 络 设 备 — — 所 有 整 个 相 连 的 网 络 。 这 个 互 联 网 时 代 已 经 把 坏 人 以 及 他 们 的 目 标 以 新 的 方 式 和 不 可 预 见 的 趋 势 绑 在 一 起 了 。 而 使 事 情 糟 糕 的 是 ， 通 常 这 个 网 络 生 态 系 统 并 不 如 以 前 物 理 环 境 那 么 好 的 被 保 护 起 来 。 无 产 品 可 防 无 产 品 可 防 A P T         谈 到 A P T ， 首 先 ， 这 里 需 要 先 弄 清 楚 A P T 的 神 秘 何 在 。 如 果 任 何 人 想 向 你 的 组 织 推 销 一 个 软 件 或 者 硬 件 去 解 决 A P T ， 那 么 他 们 根 本 不 懂 得 A P T ， 或 者 不 真 正 的 懂 得 计 算 机 是 怎 么 工 作 的 、 或 者 他 们 在 说 谎 来 推 销 — — 也 很 可 能 三 者 都 是 。 如 果 是 有 一 种 方 法 可 通 过 部 署 个 A S I C 的 硬 件 、 或 者 软 件 的 s i g n a t u r e 去 识 别 、 检 测 A P T ， 那 不 是 高 级 持 续 威 胁 （ A d v a n c e d   P e r s i s t e n t T h r e a t ） ， 那 只 是 个 E D P T D （ E a s y   t o   D e t e c t   P e r s i s t e n t   T h r e a t   f o r   D u m m i e s ） 容 易 被 识 别 的 蠢 货 持 续 攻 击 ， 或 者 只 是 个 烦 人 的 持 续 攻 击 而 已 。 很 不 幸 的 是 ， 很 多 安 全 销 售 人 员 正 乘 着 这 种 攻 击 的 极 端 性 和 复 杂 性 ， 去 销 售 不 奏 效 的 的 A P T 防 御 产 品 。 如 何 防 ？ 如 何 防 ？         当 时 2 0 1 1 年 最 好 的 阐 述 A P T 的 文 档 莫 过 于 当 时 的 “ G o o g l e   H a c k ” 和 “ A u r o r a ” ， 这 些 A P T 中 使 用 了 多 个 未 知 的 ， 无 法 识 别 的 的 0 d a y ， 并 且 在 企 业 里 ， 隐 藏 在 众 多 的 传 统 恶 意 软 件 里 面 。 当 这 些 神 秘 的 A P T 曝 光 于 公 众 后 ， 众 多 C S I R T 的 成 员 都 在 议 论 ， 可 以 做 点 什 么 。 其 中 有 一 种 声 音 “ 我 们 总 是 把 受 感 染 的 机 器 拿 去 重 装 一 下 ， 以 降 低 风 险 和 影 响 。 而 现 在 ， 我 们 更 关 心 的 是 此 举 可 能 已 经 销 毁 了 唯 一 的 线 索 ， 或 者 更 深 入 挖 掘 系 统 问 题 的 证 据 。 而 这 个 系 统 问 题 除 非 被 修 复 ， 要 不 仍 然 会 一 次 又 一 次 出 现 。 到 底 一 台 需 要 深 入 调 查 取 证 和 监 控 的 受 A P T 攻 击 主 机 跟 一 台 扔 去 重 装 的 普 通 感 染 机 器 有 什 么 不 同 ？ 怎 么 可 以 区 分 出 来 ？ ” 这 个 答 案 至 关 重 要 ， 但 是 可 笑 的 是 像 很 多 好 的 和 重 要 的 问 题 一 样 ， 是 没 有 一 个 简 单 的 答 案 可 以 回 答 的 。 正 如 前 文 所 述 ， 是 不 存 在 通 过 一 个 魔 法 般 的 软 件 可 以 解 决 这 个 难 题 ， 而 且 通 常 非 常 难 区 分 普 通 的 恶 意 软 件 和 更 高 级 的 攻 击 。 而 A P T 就 像 其 他 很 棘 手 的 问 题 一 样 ， 解 决 方 案 可 能 很 复 杂 ， 但 是 解 决 方 法 论 却 很 简 单 — — 识 别 出 你 可 见 的 项 目 ， 并 执 行 之 。 （ i d e n t i f y   w h a t   y o u r   a v a i l a b l e   o p t i o n s   a r e   a n d   t h e n   e x e c u t e ） 重 点 人 群 ， 重 点 跟 踪 重 点 人 群 ， 重 点 跟 踪         为 了 阐 明 这 个 方 法 论 ， 接 下 来 将 有 一 系 列 的 例 子 ， 在 思 科 平 均 起 来 有 1 2 万 台 w i n d o w s 机 器 连 接 到 桌 面 网 络 ， 里 面 肯 定 有 一 定 比 例 的 机 器 饱 受 恶 意 软 件 的 折 磨 。 当 然 C S I R T 团 队 是 无 法 对 所 有 受 感 染 的 机 器 都 进 行 深 入 的 取 证 分 析 ， 网 络 记 录 及 分 析 。 然 而 不 代 表 不 能 对 其 中 一 部 分 做 分 析 。 3 年 前 （ 2 0 0 8 年 ） C S I R T 就 定 制 了 一 些 程 序 ， 对 一 些 筛 选 过 的 员 工 进 行 深 入 的 网 络 分 析 和 系 统 取 证 工 作 ， 而 这 些 员 工 都 是 被 认 为 可 能 成 为 A P T 攻 击 目 标 的 。 C S I R T 团 队 看 到 这 些 人 当 中 有 一 些 访 问 过 更 多 有 趣 的 数 据 。 对 这 些 人 群 ， C S I R T 团 队 进 行 完 全 的 跟 踪 ， 和 更 多 高 级 的 监 控 和 调 查 工 作 。 而 这 已 经 成 功 发 现 和 阻 止 了 一 些 A P T 性 质 的 活 动 。 但 是 是 否 发 现 和 阻 止 了 所 有 的 这 些 活 动 ？ 很 不 幸 的 答 案 是 “ 没 有 ” 。 C S I R T 团 队 有 了 很 有 价 值 的 数 据 ， 以 及 记 录 了 这 些 高 级 和 持 续 性 的 威 胁 。 遗 憾 的 是 C S I R T 团 队 中 断 了 部 分 的 尝 试 ， 但 并 没 有 完 全 阻 止 到 这 些 攻 击 。         另 一 个 例 子 ， 当 今 很 多 A P T 攻 击 都 是 用 P D F 来 展 开 。 这 个 攻 击 手 法 有 很 高 的 成 功 率 ， 如 果 你 有 能 力 ， 可 以 抓 取 和 储 存 起 所 有 通 过 e m a i l 进 入 你 们 公 司 的 P D F 文 件 ， 当 然 要 连 同 这 些 e m a i l 通 信 的 S M T P 头 信 息 。 定 期 的 ， 自 动 化 的 进 行 额 外 的 检 查 ， 这 种 检 查 需 要 比 常 规 的 防 病 毒 方 案 更 进 一 步 ， 以 帮 助 检 查 恶 意 P D F 。 （ 例 如 P D F 是 a d o b e 的 零 日 漏 洞 利 用 ， 内 含 恶 意 链 接 自 动
访 问 恶 意 链 接 ） 。 即 使 常 规 的 防 病 毒 无 法 检 测 盒 阻 止 这 些 威 胁 ， 这 些 “ 威 胁 ” 往 往 可 以 在 漏 洞 利 用 的 关 键 字 作 修 改 ， 或 者 运 行 多 个 杀 毒 引 擎 进 行 扫 描 免 杀 。 而 这 里 只 是 两 个 简 单 的 例 子 。 大 绝 招 大 绝 招         其 实 ， 大 多 数 公 司 能 够 检 测 发 现 和 响 应 这 些 或 者 其 他 一 些 高 深 的 攻 击 ， 是 全 凭 有 效 的 部 署 了 一 系 列 很 好 被 理 解 的 计 算 机 安 全 事 件 响 应 “ 柱 子 ” 。         首 先 ， 首 先 ， 你 必 须 要 有 能 力 “ 生 产 ” 、 收 集 和 查 询 日 志 ， 越 多 越 好 ， 起 码 要 包 括 从 安 全 角 度 认 为 重 要 的 那 些 日 志 。 例 如 ， 主 机 日 志 、 p r o x y 日 志 、 认 证 日 志 、 属 性 日 志 等 。         其 次 ， 其 次 ， 你 需 要 D P I （ d e e p   p a c k e t   i n s p e c t i o n ) 深 度 包 检 测 来 覆 盖 你 网 络 中 重 要 的 关 键 节 点 。         第 三 ， 第 三 ， 你 需 要 有 能 力 快 速 的 查 询 你 网 络 的 中 的 连 接 或 者 流 量 情 况 ， 可 以 通 过 n e t f l o w 或 者 类 似 n e t f l o w 之 类 的 服 务 来 覆 盖 所 有 网 络 的 关 键 节 点 。         第 四 ， 第 四 ， 分 析 人 员 。 对 于 这 三 个 重 要 的 防 御 工 具 （ 日 志 、 D P I 、 连 接 记 录 ） ， 你 要 保 证 有 查 询 历 史 记 录 ， 查 询 实 时 记 录 ， 以 及 在 未 来 事 件 中 进 行 告 警 的 能 力 。 而 把 这 些 都 运 作 起 来 ， 你 需 要 分 析 人 员 和 调 查 人 员 进 行 大 量 的 监 控 和 深 入 的 调 查 工 作 。 这 个 团 队 以 及 他 们 的 监 控 基 础 设 施 必 须 要 有 快 速 的 应 变 能 力 适 应 当 今 的 威 胁 。         第 五 ， 第 五 ， 情 报 共 享 。 在 尽 可 能 的 完 成 以 上 所 有 的 工 作 ， 你 还 需 要 和 其 他 组 织 发 展 起 可 靠 可 信 的 关 系 ， 来 共 享 安 全 事 件 情 报 。 这 是 个 很 长 的 过 程 ， 需 要 你 主 动 的 投 入 资 源 和 用 心 经 营 。 一 个 比 较 好 的 开 始 就 是 加 入 像 F I R S T . o r g 这 样 的 组 织 。 F I R S T 的 宣 言 是 帮 助 减 少 这 种 类 型 的 信 息 共 享 过 程 中 的 障 碍 。 当 所 有 以 上 这 些 “ 柱 子 ” 能 够 以 有 意 义 （ m e a n n i n g f u l ） 的 方 式 聚 合 到 一 起 。 一 旦 你 在 潜 在 的 共 享 消 息 当 中 获 得 了 情 报 ， 必 须 强 调 你 需 要 立 即 快 速 、 敏 捷 的 组 织 起 这 些 情 报 。 并 确 保 你 已 经 完 成 ， 百 分 之 一 百 的 覆 盖 了 上 面 提 到 的 工 具 ， 来 进 行 调 查 、 行 动 。 而 这 些 就 是 你 能 够 为 组 织 对 抗 A P T 所 能 做 最 重 要 的 事 情 。
最 后 ， 你 需 要 在 组 织 内 或 者 雇 佣 一 些 外 部 的 专 家 进 行 恶 意 软 件 分 析 。 例 如 前 面 提 到 的 那 些 P D F 样 本 ， 一 旦 你 发 现 了 其 中 的 一 些 恶 意 样 本 ， 你 需 要 对 它 进 行 解 剖 、 分 析 ， 了 解 它 打 算 做 什 么 ， 谁 是 被 攻 击 的 目 标 ， 它 曾 经 连 接 到 哪 里 。 这 些 分 析 都 提 供 了 最 有 价 值 的 情 报 ， 展 示 了 你 的 公 司 今 天 如 何 被 攻 击 的 。 你 就 可 以 把 这 些 相 关 的 情 报 ， 立 即 传 回 到 上 面 所 说 的 监 控 基 础 设 施 中 。 这 些 一 直 部 署 在 你 的 企 业 网 络 中 的 防 御 监 控 设 施 将 可 以 让 你 完 整 的 理 解 这 个 攻 击 历 史 的 影 响 ， 以 及 立 即 知 道 其 他 可 能 类 似 的 感 染 情 况 。 并 且 可 以 对 即 将 发 生 的 攻 击 敲 响 警 钟 。 但 是 ， 不 得 不 说 的 是 由 于 A P T 的 天 然 特 性 总 是 会 努 力 保 持 攻 击 的 唯 一 性 ， 下 次 可 能 就 是 不 一 样 的 攻 击 特 征 了 ， 因 此 任 何 的 情 报 都 会 有 个 有 效 期 。 你 会 是 你 会 是 A P T 的 目 标 吗 ？ 的 目 标 吗 ？         关 于 A P T ， 另 一 个 我 经 常 听 到 的 问 题 是 “ 我 怎 么 知 道 我 的 企 业 组 织 是 否 受 A P T 影 响 ？ ” 去 证 明 那 些 有 宏 厚 资 金 支 持 的 攻 击 入 侵 行 为 的 证 据 往 往 很 难 发 现 ， 如 果 要 说 出 根 源 的 攻 击 者 ， 那 就 更 加 难 了 。 那 个 连 到 未 知 网 站 的 连 接 ？ 它 是 我 们 看 到 恶 意 软 件 最 开 始 的 连 接 。 还 有 那 些 常 见 的 垃 圾 邮 件 证 据 和 其 他 犯 罪 集 团 的 僵 尸 网 络 ， 又 或 者 是 更 一 个 更 严 重 的 — — 公 司 数 据 成 为 了 目 标 被 瞄 准 ？ 这 个 问 题 的 答 案 同 样 是 个 很 不 幸 的 答 案 。 正 由 于 前 面 所 说 的 现 在 社 会 已 经 不 是 “ 余 则 成 ” 的 年 代 了 ， 网 络 无 处 不 在 的 连 接 着 ， 其 中 恶 意 软 件 盛 行 ， 软 件 / 硬 件 漏 洞 众 多 ， 如 果 你 的 企 业 有 一 些 电 子 形 式 的 东 西 可 以 被 卖 掉 ， 又 或 者 任 何 经 济 利 益 ， 那 么 很 不 幸 的 告 诉 你 ， 你 正 被 瞄 准 成 为 目 标 了 。 那 些 精 准 和 持 续 的 攻 击 直 接 的 指 向 有 价 值 的 数 据 。 在 这 里 举 个 例 子 ， 埃 克 森 多 年 来 勘 探 石 油 和 天 然 气 的 及 其 昂 贵 的 数 据 被 公 开 讨 论 ， 这 个 例 子 就 是 高 级 持 续 攻 击 窃 取 的 宝 贵 一 棵 ， 这 样 的 数 据 ， 无 论 是 谁 拿 到 都 是 无 价 之 宝 。         另 一 个 经 常 听 到 的 问 题 是 ， “ 谁 要 为 这 些 A P T 的 攻 击 负 责 ？ ” 很 不 幸 的 对 于 企 业 来 说 ， 这 个 问 题 的 答 案 是 ， 如 果 没 有 更 多 真 实 的 资 源 ， 那 么 承 担 A P T 法 律 责 任 的 后 果 将 比 想 象 中 要 轻 微 。 但 愿 这 种 形 势 会 改 变 ， 但 愿 日 后 这 种 类 型 的 攻 击 者 最 终 会 得 到 惩 罚 。 准 确 的 提 取 出 攻 击 者 往 往 很 难 。 侵 略 者 的 名 单 已 经 越 来 越 长 （ 这 种 情 况 从 这 几 年 来 已 被 公 开 的 为 大 众 所 知 的 攻 击 组 织 数 量 可 见 一 斑 ） 。 从 H B G a r y 的 e m a i l 被 泄 露 事 件 看 ， 出 现 了 专 业 的 A P T 攻 击 服 务 已 经 不 以 为 奇 了 。         综 上 所 述 ， A P T 攻 击 不 容 易 被 察 觉 ， 而 且 比 想 象 中 要 普 遍 和 严 重 。 公 司 、 组 织 都 面 临 着 极 高 的 风 险 ， 需 要 高 级 的 监 测 能 力 。 通 过 这 个 文 章 想 表 达 的 是 如 果 你 看 不 到 你 的 组 织 受 A P T 攻 击 ， 那 并 不 是 因 为 它 没 有 发 生 或 者 你 很 安 全 。 而 且 你 应 该 好 好 重 新 评 估 一 下 你 的 监 测 能 力 ， 目 前 应 对 A P T 的 工 艺 水 平 还 不 涉 及 到 那 些 神 奇 的 软 件 和 硬 件 解 决 方 案 ， （ 当 然 这 是 2 0 1 1 年 时 候 的 观 点 ， 那 时 候 防 御 A P T 的 产 品 还 没 有 现 在 这 么 成 熟 ， 但 另 一 方 面 看 ， 比 照 起 国 内 目 前 状 况 ， 大 宋 国 的 2 0 1 3 年 的 A P T 产 品 等 于 大 辽 国 的 2 0 1 1 年 的 形 势 其 实 也 不 为 过 。 ） 而 是 更 多 的 有 赖 于 提 出 正 确 的 问 题 和 有 能 力 有 效 的 利 用 现 有 的 监 测 工 具 （ 例 如 l o g g i n g 、 n e t f l o w 、 I D S 、 D P I 等 ） 。 同 时 事 件 响 应 无 法 去 解 决 A P T 的 问 题 ， 但 是 非 常 重 要 和 必 须 。 你 能 有 更 好 的 架 构 去 控 制 好 你 数 据 ， 你 将 减 少 你 被 入 侵 暴 露 的 风 险 。 这 个 问 题 的 当 务 之 急 是 当 前 的 战 线 都 是 在 公 司 层 面 的 ， 但 是 只 有 结 合 公 开 的 和 私 人 的 合 作 关 系 ， 拉 通 到 国 家 层 面 的 影 响 后 果 ， 才 能 真 正 解 决 A P T 的 长 远 的 防 御 问 题 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理