搜索

[9381] 2015-09-25_安全产品评测阿里云盾安全威胁情报“态势感知”内测体验

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-17
2015-09-25_安全产品评测阿里云盾安全威胁情报“态势感知”内测体验 安 全 产 品 评 测   |   阿 里 云 盾 安 全 威 胁 情 报 “ 态 势 感 知 ” 内 测 体 验 0 x r o o t   F r e e B u f   2 0 1 5 - 0 9 - 2 5 针 对 传 统 的 网 络 威 胁 ， 我 们 通 常 以 特 征 检 测 为 主 ， 而 新 型 威 胁 更 多 地 利 用 针 对 传 统 的 网 络 威 胁 ， 我 们 通 常 以 特 征 检 测 为 主 ， 而 新 型 威 胁 更 多 地 利 用 0 d a y 进 行 攻 击 ， 这 意 味 着 我 们 无 法 提 前 获 进 行 攻 击 ， 这 意 味 着 我 们 无 法 提 前 获 知 特 征 信 息 ， 现 有 检 测 机 制 也 就 基 本 失 效 。 知 特 征 信 息 ， 现 有 检 测 机 制 也 就 基 本 失 效 。 即 便 有 些 不 是 0 d a y ， 而 是 更 老 的 漏 洞 ， 但 特 征 检 测 库 过 于 庞 大 ， 且 没 有 针 对 性 ， 也 会 因 受 困 于 性 能 和 有 效 性 而 频 频 漏 报 。 随 着 以 A P T 为 代 表 的 新 型 威 胁 和 攻 击 的 愈 演 愈 烈 ， 厂 商 们 在 防 范 外 部 攻 击 时 也 越 来 越 需 要 全 面 、 有 效 、 及 时 的 安 全 威 胁 情 报 做 为 支 撑 。 安 全 威 胁 情 报 分 析 市 场 因 此 应 运 而 生 ， 市 场 规 模 也 越 来 越 大 。 从 概 念 到 产 品 的 一 次 试 验 从 概 念 到 产 品 的 一 次 试 验 什 么 是 安 全 威 胁 情 报 （ S e c u r i t y   T h r e a t   I n t e l l i g e n c e ） ？ 形 象 地 说 ， 我 们 经 常 可 以 从 C E R T 、 安 全 服 务 厂 商 、 防 病 毒 厂 商 、 政 府 机 构 和 安 全 组 织 那 里 看 到 安 全 预 警 通 告 、 漏 洞 通 告 、 威 胁 通 告 等 ， 更 详 细 的 还 有 僵 尸 网 络 地 址 情 报 、 0 d a y 漏 洞 信 息 、 恶 意 U R L 地 址 情 报 等 。 这 些 情 报 对 于 厂 商 防 御 十 分 有 帮 助 ， 但 是 却 不 是 一 个 单 一 的 厂 商 自 身 能 够 获 取 和 维 护 得 了 的 。 因 此 ， 市 场 需 要 专 业 人 员 建 立 一 套 安 全 威 胁 情 报 分 析 系 统 ， 并 用 这 些 情 报 服 务 于 需 要 的 厂 商 。 安 全 威 胁 情 报 市 场 现 在 是 一 个 很 大 的 新 兴 安 全 细 分 市 场 。 根 据 I D C 的 估 计 ， 市 场 规 模 会 从 2 0 0 9 年 的 2 亿 美 元 迅 速 膨 胀 到 2 0 1 4 年 9 亿 美 元 。 市 场 巨 大 ， 包 括 专 业 的 安 全 情 报 分 析 厂 商 ， M S S 厂 商 ， 公 开 的 情 报 分 析 组 织 ， 甚 至 某 些 个 人 纷 纷 涉 足 安 全 情 报 领 域 。 而 互 联 网 巨 头 们 也 早 已 嗅 到 这 一 庞 大 的 市 场 ， 阿 里 云 盾 便 是 其 中 之 一 ， 他 们 新 进 开 辟 了 安 全 威 胁 的 服 务 “ 态 势 感 知 ” ， 将 威 胁 情 报 打 包 进 其 云 盾 的 安 全 产 品 和 服 务 中 去 。 “ 威 胁 感 知 威 胁 感 知 ” 初 体 验 初 体 验 阿 里 云 盾 此 次 内 测 的 “ 态 势 感 知 ” 涵 盖 主 机 、 应 用 、 网 络 、 人 员 四 个 方 面 ， 过 程 可 以 分 为 ： 事 前 （ 预 判 ） 、 事 中 （ 防 护 ） 、 事 后 （ 取 证 分 析 ） 三 个 阶 段 。 进 入 事 态 感 知 界 面 ， 展 现 的 是 安 全 总 览 ， 这 里 可 以 了 解 到 最 新 威 胁 、 最 新 情 报 、 资 产 告 警 等 信 息 ， 为 安 全 管 理 人 员 提 供 了 一 个 全 局 视 角 ， 让 管 理 人 员 能 够 以 最 短 的 时 间 、 最 快 的 速 度 掌 握 所 有 的 资 产 威 胁 和 安 全 状 况 ； 出 现 告 警 的 时 候 可 以 在 第 一 时 间 掌 握 告 警 次 数 、 告 警 主 机 i p 、 告 警 时 间 、 告 警 简 要 描 述 、 告 警 类 型 相 关 信 息 。
通 过 安 全 事 件 的 总 览 我 们 可 以 及 时 掌 握 有 哪 些 资 产 的 页 面 被 篡 改 ， 有 哪 些 资 产 存 在 肉 鸡 行 为 ， 有 哪 些 资 产 被 黑 客 暴 力 破 解 成 功 ， 有 哪 些 资 产 被 黑 客 留 下 后 门 。 事 前 预 判 ： 管 理 员 可 以 对 资 产 信 息 ： 资 产 I P 、 资 产 所 属 分 组 、 操 作 系 统 、 系 统 软 件 以 及 上 线 应 用 列 表 、 对 应 的 云 服 务 器 I P 、 使 用 的 开 发 组 件 进 行 统 计 ， 系 统 搜 集 第 三 方 漏 洞 平 台 讯 息 ， 及 时 了 解 运 用 程 序 的 最 新 出 现 的 安 全 漏 洞 。 事 中 防 护 ： 系 统 可 以 对 访 问 者 进 行 识 别 ： 是 正 常 访 问 、 恶 意 访 问 还 是 爬 虫 访 问 ， 及 时 发 现 潜 在 的 安 全 风 险 。 应 用 漏 洞 中 可 以 查 看 应 用 组 件 分 布 和 应 用 漏 洞 分 布 ， 及 时 发 现 上 线 应 用 存 在 的 安 全 威 胁 。 事 后 取 证 分 析 ： 我 们 发 现 系 统 还 具 备 “ 能 监 控 、 能 记 录 ” 的 特 点 。 利 用 网 络 回 溯 分 析 系 统 ， 能 够 把 用 户 所 有 产 生 的 数 据 都 保 存 下 来 ， 进 行 历 史 纪 录 ， 如 有 问 题 就 可 以 追 溯 分 析 ， 实 现 实 时 监 测 和 智 能 化 取 证 。 虽 然 安 全 威 胁 情 报 以 威 胁 预 判 为 主 ， 但 这 一 功 能 并 不 鸡 肋 ， 一 方 面 可 以 完 整 记 录 安 全 事 件 的 全 过 程 ， 另 一 方 面 也 为 取 证 带 来 方 便 。 系 统 根 据 网 络 边 界 流 量 以 及 主 机 日 志 ， 第 一 时 间 发 现 攻 击 者 对 应 用 进 行 S Q L 注 入 、 X S S 攻 击 、 代 码 / 命 令 执 行 、 本 地 文 件 包 含 、 远 程 文 件 包 含 、 脚 本 木 马 、 上 传 漏 洞 、 路 径 遍 历 、 拒 绝 服 务 、 越 权 访 问 、 C S R F 等 常 见 W E B 攻 击 ， 并 自 动 提 取 出 攻 击 时 间 、 被 攻 击 应 用 、 攻 击 特 征 、 请 求 方 式 、 攻 击 类 型 、 攻 击 者 I P 等 信 息 。 为 安 全 管 理 人 员 的 及 时 处 置 带 来 全 面 的 信 息 。
如 果 有 资 产 存 在 肉 鸡 行 为 ， 对 外 进 行 d d o s 可 以 在 事 态 感 知 上 迅 速 定 位 攻 击 的 类 型 、 攻 击 发 包 的 速 率 、 肉 鸡 攻 击 目 标 的 t o p 1 0 、 全 球 感 染 同 一 病 毒 的 个 数 、 控 制 该 肉 鸡 的 黑 客 I P 、 攻 击 开 始 的 时 间 、 结 束 的 时 间 ；
通 过 自 动 化 的 事 前 预 判 、 事 中 防 护 、 事 后 取 证 有 效 免 去 资 产 管 理 人 员 在 每 一 台 主 机 进 行 重 复 、 繁 琐 的 检 查 、 命 令 操 作 ， 很 大 程 度 上 减 轻 了 管 理 人 员 的 工 作 量 ， 节 约 了 管 理 资 产 的 时 间 ， 也 节 省 了 企 业 在 这 方 面 的 人 力 、 物 力 、 财 力 。 不 足 之 处 不 足 之 处 安 全 威 胁 情 报 尚 在 起 步 阶 段 ， 但 在 整 个 内 测 使 用 的 过 程 中 ， F r e e B u f 也 获 得 了 一 些 并 不 理 想 的 使 用 体 验 ， 比 如 ： 人 员   企 业 人 员 信 息 泄 露 界 面 比 较 单 调 、 没 有 控 制 面 板 ， 目 前 还 不 支 持 规 则 和 企 业 员 工 信 息 的 添 加 ； 情 报   重 要 漏 洞 、 应 急 响 应 的 数 据 源 看 不 到 源 的 列 表 ， 容 易 让 用 户 对 源 的 全 面 性 产 生 怀 疑 ， 源 列 表 也 不 能 进 行 增 删 改 查 操 作 ， 另 外 应 急 响 应 方 面 存 在 第 三 方 漏 洞 平 台 数 据 收 集 比 较 单 一 的 问 题 ； 主 机   主 机 使 用 的 系 统 软 件 信 息 不 够 详 细 ： 只 有 软 件 名 ， 没 有 版 本 号 ， 可 能 会 对 软 件 漏 洞 信 息 统 计 产 生 影 响 ， 也 可 能 对 后 续 的 漏 洞 修 复 带 来 不 便 ； 网 络   流 量 时 间 间 隔 比 较 长 ： 两 小 时 ， 流 量 统 计 不 能 拉 大 、 缩 小 ， 信 息 不 能 具 体 到 时 、 分 ， 这 样 导 致 只 能 看 到 一 段 时 间 的 总 览 ， 对 于 希 望 进 一 步 分 析 的 技 术 人 员 来 说 ， 数 据 展 示 不 够 详 尽 ； 应 用   部 分 产 品 层 面 的 概 念 文 案 稍 显 晦 涩 ， 比 如 “ 发 现 时 间 ” 就 存 在 歧 义 ： 用 户 可 能 会 理 解 为 发 现 存 在 漏 洞 个 数 的 时 间 ， 或 者 是 发 现 遭 受 攻 击 次 数 的 时 间 。 对 于 “ 态 势 感 知 ” 这 样 一 个 新 兴 概 念 来 说 ， 产 品 层 面 的 设 计 对 用 户 理 解 以 及 更 好 地 使 用 产 品 起 到 至 关 重 要 的 作 用 。 另 外 ， 事 态 感 知 “ 灵 敏 度 ” 仍 然 有 提 升 的 空 间 ， 目 前 只 能 识 别 出 多 机 器 、 资 产 量 大 的 一 些 事 态 威 胁 ， 机 器 量 小 的 时 候 整 个 系 统 基 本 没 什 么 数 据 。 如 何 让 中 小 型 客 户 更 有 效 的 体 验 威 胁 情 报 的 能 力 ， 仍 然 值 得 期 待 。 * 作 者 ： 0 x r o o t （ F r e e B u f 安 全 产 品 评 测 实 验 室 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理