搜索

[8859] 2015-04-22_一周海外安全事件回顾（20150412-0419）：FireEye的转变

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-17
2015-04-22_一周海外安全事件回顾（20150412-0419）：FireEye的转变 一 周 海 外 安 全 事 件 回 顾 （ 2 0 1 5 0 4 1 2 - 0 4 1 9 ） ： F i r e E y e 的 转 变 F r e e B u f   2 0 1 5 - 0 4 - 2 2 微 信 号 ： 微 信 号 ： f r e e b u f 最 近 最 近 F i r e E y e 连 续 两 份 连 续 两 份 A P T 报 告 燃 爆 安 全 圈 ， 成 为 全 球 最 火 爆 的 安 全 公 司 。 抛 开 报 告 本 身 不 说 ， 你 知 道 报 告 燃 爆 安 全 圈 ， 成 为 全 球 最 火 爆 的 安 全 公 司 。 抛 开 报 告 本 身 不 说 ， 你 知 道 F i r e E y e 公 司 如 公 司 如 何 一 步 一 步 地 完 成 从 技 术 到 情 报 再 到 运 营 的 转 变 吗 ？ 何 一 步 一 步 地 完 成 从 技 术 到 情 报 再 到 运 营 的 转 变 吗 ？ 前 言 前 言 在 安 全 行 业 ， F i r e E y e 是 一 家 非 常 令 人 关 注 的 企 业 。 提 到 A P T 攻 击 防 护 ， 就 会 想 到 F i r e E y e 。 本 文 主 要 就 F i r e E y e 公 司 的 产 品 和 技 术 以 及 服 务 模 式 进 行 概 括 性 的 阐 述 。 调 研 过 程 完 全 站 在 技 术 和 中 立 的 角 度 上 ， F i r e E y e 不 断 发 布 涉 及 天 朝 安 全 事 件 报 告 背 后 可 能 存 在 的 政 治 和 商 业 因 素 ， 不 在 本 次 调 研 的 考 虑 范 畴 内 。 两 份 报 告 和 两 项 荣 誉 两 份 报 告 和 两 项 荣 誉 F i r e E y e 于 4 月 1 2 日 公 开 发 布 了 一 份 名 为 “ A P T 3 0   a n d   t h e   m e c h a n i c s   o f   a   l o n g - r u n n i n g   c y b e r   e s p i o n a g e   o p e r a t i o n ” 的 报 告 ， 披 露 了 一 个 长 达 十 年 之 久 的 网 络 间 谍 活 动 ， 主 要 窃 取 东 南 亚 和 印 度 地 区 政 府 、 企 业 、 新 闻 媒 体 方 面 的 机 密 信 息 。 这 是 第 一 个 使 用 恶 意 程 序 感 染 a i r - g a p p e d （ 隔 空 ） 网 络 的 间 谍 / 黑 客 组 织 ， F i r e E y e 将 其 命 名 为 A P T 3 0 。 这 份 长 达 7 0 页 的 “ A P T 3 0 ” 报 告 迅 速 点 燃 了 整 个 安 全 行 业 。 关 于 该 报 告 ， 乌 云 网 上 已 有 详 细 解 读 ， 详 见 乌 云 官 网 。 然 而 一 波 未 平 ， 一 波 又 起 。 就 在 4 月 1 8 日 ， “ A P T 3 0 ” 事 件 余 波 未 平 之 际 ， 另 一 份 曝 光 俄 罗 斯 网 络 黑 客 组 织 0 d a y 攻 击 的 “ A P T 2 8 ” 报 告 又 发 布 了 。 这 个 代 号 “ 俄 罗 斯 套 娃 ” （ O p e r a t i o n   R u s s i a n D o l l ） 的 攻 击 利 用 了   A d o b e   F l a s h   ( C V E - 2 0 1 5 - 3 0 4 3 ) 和 W i n d o w s 一 个 本 地 提 权 漏 洞 ( C V E - 2 0 1 5 - 1 7 0 1 ) ， 用 来 搜 集 一 些 和 国 防 、 地 缘 政 治 有 关 的 情 报 。 4 月 份 也 是 F i r e E y e 收 获 荣 誉 的 一 个 月 。 在 4 月 6 日 ， F i r e E y e 再 次 位 列 C y b e r s e c u r i t y 全 球 5 0 0 家 安 全 企 业 排 名 之 首 ， 排 名 前 1 0 的 公 司 如 下 ：
图 1 该 排 名 主 要 基 于 公 司 被 关 注 的 程 度 和 创 新 能 力 两 项 指 标 。 该 排 名 主 要 基 于 公 司 被 关 注 的 程 度 和 创 新 能 力 两 项 指 标 。 接 下 来 ， 在 4 月 1 6 日 ， F i r e E y e 获 得 S A N S 颁 发 的 两 项 “ B e s t   o f   2 0 1 4   A w a r d s ” 大 奖 ， 分 别 是 ： “ A d v a n c e d   T h r e a t   D e t e c t i o n ” （ 高 级 威 胁 检 测 ） 和   “ T h r e a t   I n t e l l i g e n c e ” （ 威 胁 情 报 ） 。 事 实 上 ， 高 级 威 胁 检 测 和 威 胁 情 报 恰 恰 是 F i r e E y e 当 前 最 主 要 的 业 务 。 与 此 同 时 ， 两 者 并 非 彼 此 独 立 ， 而 是 有 机 结 合 在 一 起 。 其 中 ， 威 胁 情 报 更 是 核 心 。 F i r e E y e 的 产 品 和 服 务 体 系 的 产 品 和 服 务 体 系 F i r e E y e 公 司 成 立 于 2 0 0 4 年 ， 2 0 1 4 年 的 全 年 收 入 为 4 . 2 5 亿 美 元 （ 较 2 0 1 3 年 上 升 1 6 3 % ） 。 F i r e E y e 的 产 品 和 服 务 体 系 ， 在 2 0 1 4 年 初 收 购 M a n d i a n t 之 后 ， 经 过 近 一 年 的 整 合 ， 现 在 已 经 非 常 清 晰 ： 图 2 当 前 ， F i r e E y e 的 产 品 和 服 务 体 系 （ 或 简 称 解 决 方 案 体 系 ） 包 括 A P T 检 测 和 防 御 产 品 、 威 胁 情 报 和 安 全 服 务 。 其 中 最 为 关 键 的 威 胁 情 报 能 力 在 收 购 M a n d i a n t 公 司 后 得 到 实 质 性 的 加 强 。 A P T 检 测 和 防 御 产 品 家 族 基 于 F i r e E y e 公 司 的 核 心 技 术 ， 也 是 大 部 分 收 入 的 来 源 。 如 下 ：
图 3 从 上 图 可 以 看 出 ， F i r e E y e 的 A P T 检 测 和 防 护 产 品 主 要 包 括 网 络 （ N e t w o r k ） 、 系 统 （ E n d p o i n t ） 、 应 用 （ E m a i l 、 B Y O D ） 和 内 容 （ C o n t e n t ） 。 A P T 检 测 和 防 护 是 F i r e e y e 的 看 家 本 领 ， 也 是 在 收 购 M a n d i a n t 公 司 之 前 的 杀 手 锏 。 众 所 周 知 ， 众 所 周 知 ， F i r e E y e   A P T 攻 击 检 测 的 关 键 技 术 是 攻 击 检 测 的 关 键 技 术 是 M V X 技 术 （ 多 向 量 虚 拟 执 行 ， 技 术 （ 多 向 量 虚 拟 执 行 ， M u l t i - V e c t o r   V i r t u a l   E x e c u t i o n ） ， 即 在 ） ， 即 在 虚 拟 环 境 下 执 行 和 检 测 攻 击 ， 发 现 恶 意 脚 本 和 阻 断 攻 击 。 虚 拟 环 境 下 执 行 和 检 测 攻 击 ， 发 现 恶 意 脚 本 和 阻 断 攻 击 。 V X   E n g i n e 是 核 心 处 理 引 擎 ， 从 技 术 原 理 的 角 度 上 来 说 ， 检 测 主 要 分 为 两 个 阶 段 ： （ 1 ） 阶 段 1 :   捕 获 阶 段 ， 即 捕 获 W e b 、 电 子 邮 件 和 文 件 样 本 ； （ 2 ） 阶 段 2 :   虚 拟 运 行 阶 段 ， 即 放 到 沙 箱 （ s a n d b o x ） 中 依 据 不 同 的 操 作 系 统 和 应 用 进 行 虚 拟 执 行 ／ R e p l y （ 重 放 ） ， 发 现 包 括 恶 意 软 件 在 内 的 威 胁 ； 如 下 图 所 示 ： 图 4 下 面 一 张 更 为 清 晰 地 阐 述 了 V X 的 处 理 流 程 ：
图 5 从 产 品 的 发 展 阶 段 上 来 说 ， 基 于 M V X 技 术 的 F i r e E y e 产 品 为 专 有 硬 件 系 统 而 非 虚 拟 化 ／ 软 件 版 本 。 硬 件 检 测 的 好 处 是 可 控 和 高 效 。 由 于 F i r e E y e 产 品 众 多 ， 产 品 的 配 置 和 性 能 这 里 不 再 一 一 赘 述 。 下 图 是 N X 设 备 （ 网 络 ） 的 控 制 台 截 图 ： 图 6 从 控 制 台 上 来 看 ， 报 警 是 基 于 样 本 的 。 在 F i r e E y e 的 产 品 和 服 务 体 系 中 ， T h r e a t   A n a l y t i c s   P l a t f o r m （ T A P ， 威 胁 分 析 平 台 ） 是 F i r e E y e 产 品 体 系 的 大 脑 。 T A P 是 进 行 数 据 关 联 、 分 析 和 威 胁 识 别 的 处 理 引 擎 。 F i r e E y e 非 常 智 慧 地 将 这 个 引 擎 放 到 了 “ 云 ” 上 ， 用 户 可 以 上 传 数 据 ， 并 通 过 访 问 云 端 平 台 获 得 威 胁 分 析 的 结 果 ， 同 时 一 些 新 的 I O C s （ I n d i c a t o r s   o f   C o m p r o m i s e s ） 和 P r o f i l e s 也 通 过 T A P 同 步 到 本 地 。 下 图 是 T A P 的 系 统 示 意 图 ：
图 7 这 是 一 个 典 型 的 云 安 全 模 式 。 一 方 面 采 集 E v e n t 数 据 ， 另 一 方 面 下 发 更 新 的 指 标 和 模 版 。 威 胁 情 报 公 司 的 转 变 威 胁 情 报 公 司 的 转 变 我 们 知 道 ， 随 着 F i r e E y e 公 司 地 位 的 上 升 ， M V X 技 术 也 遭 到 诸 多 挑 战 。 F i r e E y e 的 A P T 检 测 实 际 上 是 一 种 “ 沙 箱 ” （ S a n d b o x ） 技 术 。 越 来 越 多 的 恶 意 代 码 刻 意 地 采 取 了 沙 箱 绕 过 的 技 术 手 段 。 比 如 延 迟 执 行 、 压 缩 、 加 密 ， 某 些 恶 意 脚 本 甚 至 是 非 可 执 行 的 ， 这 都 对 F i r e E y e 以 及 “ 沙 箱 ” 技 术 提 出 了 挑 战 。 从 另 一 方 面 说 ， 采 用 “ 沙 箱 ” 技 术 进 行 A P T ／ 0 d a y 检 测 和 防 护 的 公 司 越 来 越 多 ， 这 应 该 多 少 让 F i r e E y e 感 到 与 日 俱 增 的 竞 争 压 力 。 在 2 0 1 4 年 初 ， F i r e E y e 对 M a n d i a n t 的 收 购 一 方 面 缓 解 了 竞 争 的 压 力 ， 另 一 个 方 面 也 预 示 着 F i r e E y e 向 威 胁 情 报 服 务 厂 商 的 转 变 。 从 F i r e e y e   P r o d u c t   P o r t F o l i o 图 中 我 们 也 可 以 看 到 ， F i r e E y e 产 品 家 族 的 核 心 是 动 态 威 胁 情 报 （ D y n a m i c   T h r e a t   I n t e l l i g e n c e ） 。 其 实 不 管 是 D T I （ D y n a m i c   T h r e a t   I n t e l l i g e n c e ） ， 还 是 A T I （ A d v a n c e d   T h r e a t   I n t e l l i g e n c e ） 或 是 A T I ＋ （ A d v a n c e d   T h r e a t   I n t e l l i g e n c e P l u s ） ， 都 是 T h r e a t   I n t e l l i g e n c e ， 如 下 图 ：
图 8 单 纯 从 列 表 上 看 ， 三 者 的 差 别 主 要 在 使 用 场 景 和 报 表 的 内 容 上 。 D T I 是 设 备 间 的 ， A T I / A T A + 是 给 人 看 的 。   用 户 可 以 订 购 （ S u b s c r i p t i o n ） F i r e E y e 的 T I 能 力 。 这 是 一 个 重 要 的 里 程 碑 ， 标 志 着 F i r e E y e 向 威 胁 情 报 公 司 的 转 变 。 安 全 服 务 新 模 式 安 全 服 务 新 模 式 数 据 即 产 品 ， 数 据 即 服 务 ， 数 据 即 能 力 。 数 据 即 产 品 ， 数 据 即 服 务 ， 数 据 即 能 力 。 F i r e E y e - a s - a - s e r v i c e 是 F i r e E y e 面 向 用 户 和 其 他 M S S P 的 按 需 支 付 （ p a y - a s - y o u - g o ） 的 安 全 服 务 ， 在 去 年 9 月 份 与 A d v a n c e d   T h r e a t I n t e l l i g e n c e 一 起 发 布 。 有 了 F i r e E y e - a s - a - s e r v i c e ， F i r e E y e 也 就 是 M S S P 了 。 F i r e E y e - a s - a - s e r v i c e 和 F i r e E y e 之 前 服 务 最 大 的 不 同 就 是 F i r e E y e 的 技 术 人 员 将 7 x 2 4 小 时 地 监 控 你 的 F i r e E y e 系 统 ， 一 旦 发 现 威 胁 ， F i r e E y e 的 人 员 将 直 接 操 作 你 的 设 备 进 行 响 应 ， 而 不 再 像 传 统 服 务 那 样 只 是 提 供 建 议 或 电 话 支 持 。 这 标 志 着 F i r e E y e 的 能 力 已 经 从 技 术 、 数 据 ， 过 渡 到 了 运 营 。 F i r e E y e 具 备 了 运 营 能 力 ， 就 和 其 他 单 纯 的 A P T 厂 商 拉 开 了 距 离 。
图 9 从 上 图 可 以 看 出 ， F i r e E y e 的 M S S P 服 务 打 包 了 技 术 、 情 报 和 专 家 能 力 ， 三 位 一 体 。 总 结 总 结 总 结 来 看 ， 总 结 来 看 ， F i r e E y e 公 司 的 技 术 、 产 品 、 服 务 上 一 步 一 步 的 变 化 ， 体 现 了 从 技 术 到 情 报 再 到 运 营 的 转 变 。 其 实 这 种 转 公 司 的 技 术 、 产 品 、 服 务 上 一 步 一 步 的 变 化 ， 体 现 了 从 技 术 到 情 报 再 到 运 营 的 转 变 。 其 实 这 种 转 变 也 是 很 多 安 全 厂 商 不 断 发 展 的 方 向 ， 本 身 并 不 是 什 么 新 的 思 路 。 只 是 变 也 是 很 多 安 全 厂 商 不 断 发 展 的 方 向 ， 本 身 并 不 是 什 么 新 的 思 路 。 只 是 F i r e E y e 的 发 展 路 线 比 较 清 晰 ， 可 以 拿 出 来 作 的 发 展 路 线 比 较 清 晰 ， 可 以 拿 出 来 作 个 样 本 给 大 家 分 析 ， 看 看 人 家 是 如 何 完 成 的 转 型 。 个 样 本 给 大 家 分 析 ， 看 看 人 家 是 如 何 完 成 的 转 型 。 必 须 声 明 的 是 ， 由 于 种 种 原 因 ， F i r e E y e 系 统 当 前 尚 无 法 在 国 内 销 售 ， 事 实 上 笔 者 并 没 有 真 正 操 作 过 F i r e E y e 系 统 。 对 F i r e E y e 产 品 和 服 务 体 系 的 解 读 也 主 要 依 靠 互 联 网 上 的 资 料 ， 因 此 一 定 存 在 这 样 或 者 那 样 的 误 解 ， 希 望 了 解 F i r e E y e 系 统 的 同 学 不 吝 赐 教 。 （ 注 ： 文 中 图 片 除 图 2 外 ， 其 他 均 来 自 F i r e E y e 公 开 产 品 资 料 和 互 联 网 ） *   F B 专 栏 作 者 / b l a c k s c r e e n ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理