比來，有件工作讓我感應非常興奮，這就是終究弄到了一份萬眾諦視標Verizon2013年數(shù)據(jù)泄漏查詢拜訪陳述(DBIR)。實際上，我早就發(fā)現(xiàn)這份按年發(fā)布的陳述很是有價值。本年已經(jīng)是該陳述發(fā)布的第6個版本了，此中觸及到的具體內容包含了621起獲得證實的數(shù)據(jù)泄漏變亂和超越47000起提交陳述的安然事務。為了完成本年的陳述，全球范圍內的18家機構支出了巨大年夜盡力。雖然這份陳述長達63頁，但根基內容仍然很是適于瀏覽;這讓我不克不及不承認，韋德·貝克和該公司確切完成了一項很是超卓的工作。因為我很是喜好該陳述采取的基調，成果導致在進行瀏覽時多次笑出聲來(凡是環(huán)境下，笑聲與信息安然是不會在統(tǒng)一時刻呈現(xiàn)的)。這份陳述援引了大年夜量很是超卓的內容，從美國全國汽車比賽協(xié)會到傳奇嘻哈說唱歌手大年夜個小子和另類搖滾樂隊暴力妖姬等等不一而足。本年，該陳述中給出的最新準則就是：“認清仇敵'才是實現(xiàn)有效防御與措置的關頭地點。”對此，我有幾點小我觀點：
公司需要將存眷重點放在敵手是若何答復客戶提出的標題問題上。說起來，敵手事實會是誰呢?事實，對弗里斯特查詢拜訪公司的客戶來講，這就屬于一個常常會碰著的標題問題。不久之前，曼迪安特公司發(fā)布的高級延續(xù)性威脅一號(APT1)陳述就激起了公家針對國度援助報復打擊者這一標題問題標大年夜量爭辯;此刻，Verizon的數(shù)據(jù)與闡發(fā)則給了大年夜家深進不雅察這類要劫持造者的更多不合角度。實際上，該陳述在第一張圖表中就列出了要劫持造者和相干組織的概況。因為它采取的是基于整體的俯瞰視角，是以我小我建議公司就該當將履行層的所有相干人員都召集進來。實際上，因為這類針對要劫持造者進行概要闡發(fā)是由第三方展開的，常常便可讓良多讀者都產(chǎn)生出深切的共叫來。
別的，該陳述還打破了今朝相當遍及的一種弊端熟諳。這就是：“本公司的范圍其實是太小了，不至于成為報復打擊者存眷的方針”。在陳述中，Verizon是這么寫的：“我們發(fā)現(xiàn)，從巨型跨國公司到乃至連IT手藝方面專門人員都沒有的微型企業(yè)中都呈現(xiàn)過受害者的身影”。從文章下面給出的圖表中，大年夜家可以發(fā)現(xiàn)良多員工總數(shù)小于1000乃至100的公司都成了間諜報復打擊的受害者。該圖表還顯示出財產(chǎn)間諜所報復打擊方針的首要類型。具體來講，制造業(yè)、交通運輸業(yè)和信息業(yè)都已成為有針對性專業(yè)間諜勾當?shù)闹貫膮^(qū)。假定對垂直行業(yè)的相干環(huán)境感歡愉愛好，也能夠操縱北美財產(chǎn)分類系統(tǒng)(NAICS)來進行具體查詢。
在防備收集垂釣報復打擊方面，我們所做的工作實際上很是糟。在陳述中，Verizon是這么總結的：“在所有報復打擊中，有超越95%的都屬于和國度援助間諜勾當相干的環(huán)境;而為了在受害者系統(tǒng)中成立起安身點來，收集垂釣就成了一種很是有效的報復打擊手段”。今朝，針對收集垂釣類威脅的防備，傳統(tǒng)電子郵件和收集安然廠商的實際表示很是差勁。因為現(xiàn)有廠商沒法解決當前面對的威脅，這就給火眼之類新興公司的進進和覆滅威脅的測驗測驗創(chuàng)作發(fā)現(xiàn)出極佳機緣來。當然，我們也已看到，傳統(tǒng)安然廠商正致力于開辟并擺設近似火眼的自有項目了。不外，這些解決方案并沒有包含新手藝;毫無疑問，Verizon供給的數(shù)據(jù)資猜中就包含有幾家已擺設過上述“反高級延續(xù)性威脅”解決方案的受害者。
別的，針對收集垂釣報復打擊在間諜勾當中泛濫的實際環(huán)境，火眼也在最新發(fā)布的威脅陳述中作出了證實。該公司發(fā)現(xiàn)，在APT報復打擊中，收集垂釣已成為利用的最首要手段。僅在2012年第1季度，這項數(shù)字就上升了56% 。
在來歲的陳述中，我想看到哪些方面的新內容。就小我而言，我?？纯梢曰蛟S看到Verizon擺脫由第三方供給背規(guī)行動和變亂的做法。除利用自有的報復打擊介入者定義以外，我特別?？纯吹讲倏v第三方收集的外部要劫持造者對公司造成損掉環(huán)境的具體數(shù)據(jù)。舉例來講，我很是想知道，公司因為將外聯(lián)網(wǎng)連接供給給供給鏈合作火伴，成果遭到侵進而承受損掉的環(huán)境到底有多少。事實，對弗里斯特查詢拜訪公司的廣大年夜客戶來講，風險中觸及到第三方的環(huán)境就屬于最受存眷的標題問題。
這事實意味著甚么。假定貴公司屬于間諜勾當?shù)陌挡胤结槪词占贯灳驮摦斪鳛榘踩煌顿Y方面的一個關頭項目。我強烈建議，公司在作出采辦任何新解決方案的決定之前，都應當操縱滲入測試公司供給的專業(yè)辦事來對現(xiàn)有環(huán)境進行收集垂釣方面的針對性測試。當然，這項工作也能夠由一支內部人員構成的出格分隊來完成。這里的最終方針就是體味，內部收集中是不是已存在有操縱已知和未知縫隙進行報復打擊的兵器化歹意軟件。換句話說，公司在擺設新安然節(jié)制辦法之前，就需要對現(xiàn)有產(chǎn)品進行驗證。而對正在進行評估的產(chǎn)品，公司應當操縱第三方來進行現(xiàn)場測試。實際上，曼迪安特的APT1陳述和DFIR中的各項數(shù)據(jù)就有助于對這些辦事的實際價值進行確認。相形之下，這些辦事觸及到的費用僅僅只有公司采辦新安然節(jié)制辦法代價的毫微，卻可以或許為實現(xiàn)最有效呵護辦法供給極大年夜幫忙。事實，沒有公司?？磁鲋驗閿[設的解決方案沒有達到事前要求，而不克不及不直接裁減掉落改換新品如許的難堪地步。
公司一旦掌控了內部存在對新手藝的實際需求，便可以采納文章下面列出來的幾種反收集垂釣辦法：
1)收集安然性。在采購基于收集的新解決方案之前，公司應當與現(xiàn)有安然供給商進行溝通，扣問他們在應對這類威脅時會采納的實際辦法。事實，最好解決方案仍是僅僅在現(xiàn)有安然組合中加進一項新功能就達到防備的方針。但假定現(xiàn)有供給商更存眷改進版反歹意軟件與高級延續(xù)性威脅功能的推銷，公司就該當決然暗示拒盡，并指出不會再為已沒有實際結果的傳統(tǒng)模式和新能力同時付費。事實，可擴大性、全局擺設和SSL查驗會讓這類控件的利用變得很是復雜。當今，幾近所有的收集安然供給商都很是正視該范疇的客戶。
2)收集可見度。別的，公司還應當在現(xiàn)有環(huán)境中擺設一套收集闡發(fā)與可見度(NAV)解決方案。如許的話，假定料想當中的預防性節(jié)制辦法掉效呈現(xiàn)時，就可以夠啟用仍然靠得住的檢測節(jié)制。實際上，對交付、批示與節(jié)制之類項目，這些解決方案可以或許與滲出一樣進行周全檢測。至于供給商可以或許供給的解決方案，則包含有：Damballa、索萊拉收集、RSA的Netwitness和Lancope的Stealthwatch。
3)終端安然。為了確保收集足夠安然，公司不該當單單依托基于已知歹意代碼檢測模式的控件。除此以外，公司還需要擺設操縱主機來對歹意代碼進行檢測的新型終端解決方案。這些類型的解決方案包含有：RSA的歹意軟件諜報打算ECAT、SourceFire的云安然解決方案FireAMP、Trusteer的收集犯法防備解決方案和Bit9的企業(yè)級白名單解決方案。還有其它兩種選擇就是，操縱虛擬化模式來為終端供給呵護的Bromium與Invincea。當然，對采取異構環(huán)境的巨型公司來講，終端安然解決方案的周全擺設就屬于一項很是大年夜的挑戰(zhàn);是以，準確的做法就是從小處進手漸漸進行擴大，依托全系統(tǒng)的運營過程達到將解決方案慢慢普及的方針。此時，公司就應被選擇從高價值團隊(上層治理人員和收集治理人員)的地方開端進手。
請務必服膺，起首要完成的工作就是對現(xiàn)有安然系統(tǒng)進行周全審核，然后才是按照實際需求環(huán)境添加需要的額外控件。而在擺設任何安然控件時，都該當采納數(shù)據(jù)集中模式，確保它們可以或許獲得有效的直接節(jié)制，而不至于呈現(xiàn)僅僅只是處在邊角位置的弊端狀況。必然不要健忘，控件是有可能掉效的;是以，公司必需成立起一支功能周全的事務響應團隊來。