此刻所有類型的收集罪犯都可以經(jīng)由過程混進企業(yè)運作布景當中，很等閑地繞過現(xiàn)有企業(yè)安然防御。有些高級報復打擊可以暗藏幾個月乃至幾年，這完全傾覆了傳統(tǒng)歹意檢測產(chǎn)品--傳統(tǒng)產(chǎn)品只會在給按時候點掃描已知歹意軟件。
例如，新發(fā)現(xiàn)的木馬APT.BaneChant采取了多種檢測規(guī)避手藝，包含假裝成合法過程，監(jiān)控鼠標點擊來避免沙盒闡發(fā)，和履行多字節(jié)XOR加密來規(guī)避收集級二進制提取手藝等。它還將fileless歹意代碼直接加載到內(nèi)存中，并經(jīng)由過程URL縮短和動態(tài)DNS辦事，操縱重定歷來規(guī)避主動化域名黑名單。
這些報復打擊正在測試現(xiàn)有安然闡發(fā)東西的局限性，并且，比來的Mandiant公司APT1陳述顯示，收集間諜勾當已變成持久復雜的勾當。按照LogRhythm公司的2013年收集威脅預備環(huán)境查詢拜訪顯示，75%的受訪者對其辨認數(shù)據(jù)泄漏關頭指標的能力貧乏決定信念，這個數(shù)據(jù)讓人吃驚。
良多報導的數(shù)據(jù)泄漏變亂最初都未被發(fā)現(xiàn)，并且，凡是最后大年夜大都是由第三方發(fā)現(xiàn)，而不是內(nèi)部安然團隊。
企業(yè)不克不及再純真依托端點來禁止這類類型的歹意軟件傳染。企業(yè)必需擺設額外的動態(tài)的報復打擊前防御，在所有層有效匹敵高級報復打擊，并辨認沒有見過的行動。值得光榮的是，良多安然供給商已開端改進其諜報驅(qū)動型安然產(chǎn)品以應對此刻的高級威脅標題問題。
大年夜數(shù)據(jù)闡發(fā)
此中一種常見的編制是連絡安然大年夜數(shù)據(jù)闡發(fā)來幫忙發(fā)現(xiàn)深躲在企業(yè)收集流量中的歹意勾當。大年夜數(shù)據(jù)是指可以對收集勾當供給線索的任何類型的數(shù)據(jù)，包含布局化和非布局化數(shù)據(jù)。這類大年夜數(shù)據(jù)包含企業(yè)創(chuàng)作發(fā)現(xiàn)的海量數(shù)據(jù)：電子郵件、文檔、社交媒體數(shù)據(jù)、音頻、點擊流、收集流量和日記文件(拜候文件的汗青和實光陰記文件)、注冊表更改，和過程啟動和遏制。還有其他系統(tǒng)信息(例如措置器或內(nèi)存操縱率)也能夠幫忙發(fā)現(xiàn)系統(tǒng)狀況中意想不到的改變，別的，外部威脅諜報源可以進一步明白甚么是正?；蚩山庸苄袆?，如許闡發(fā)不再局限于企業(yè)本身成立的數(shù)據(jù)。當然這些數(shù)據(jù)多年來被存儲在孤島式存儲庫或分離在企業(yè)內(nèi)，不外，此刻的報復打擊形態(tài)的可駭實際正在鞭策對手藝的新需求，新手藝需要可以或許聚合這些數(shù)據(jù)、快速闡發(fā)數(shù)據(jù)，并供給發(fā)現(xiàn)高級報復打擊的線索—不然這類報復打擊可能繼續(xù)隱躲。
當然安然信息和事務治理(SIEM)產(chǎn)品為企業(yè)勾當數(shù)據(jù)供給了一個匯集和監(jiān)控的中間點，但大年夜部門企業(yè)擺設這些產(chǎn)品主如果為了知足合規(guī)要求，出格是針對商家的付出卡行業(yè)數(shù)據(jù)安然尺度(PCI DSS)。事實上，很少有企業(yè)操縱該手藝的事務聯(lián)系關系功能，并且，大年夜大都產(chǎn)品都沒法供給深度可視性來知足此刻的闡發(fā)需求。供給商正在試圖經(jīng)由過程下一代SIEM產(chǎn)品來解決這個標題問題，下一代SIEM產(chǎn)品擴大年夜了數(shù)據(jù)匯集與及時闡發(fā)的范圍和范圍，使不合的事務可以整合來發(fā)現(xiàn)異常勾當。(需要寄望的是，收集行動異常檢測(NBAD)產(chǎn)品也供給這類功能，但只有在收集層)。
操縱這類大年夜數(shù)據(jù)的自適應諜報(體味甚么是正常行動以發(fā)現(xiàn)異常行動)的及時闡發(fā)可以較著進步發(fā)現(xiàn)高級威脅或數(shù)據(jù)泄漏指標的機緣，這些威脅可能來自多種報復打擊媒介，例如高級延續(xù)威脅、訛詐和歹意內(nèi)部報復打擊。這類報復打擊前的重點在于保持領先于報復打擊者，并找出暗藏的報復打擊模式，即便它們漫衍在不應時候。
此刻有良多新的立異產(chǎn)品進進市場。LogRhythm SIEM 2.0平臺此刻連絡了Rapid7的Nexpose縫隙治理產(chǎn)品來在LogRhythm節(jié)制臺供給數(shù)據(jù)安然闡發(fā)和統(tǒng)一風險評估功能。IBM正在操縱IBM QRadar Security Intelligence和IBM Big Data Platform連絡安然諜報和大年夜數(shù)據(jù)，以跨大年夜范圍布局化和非機構化數(shù)據(jù)供給一種周全的綜合的編制來進行及時闡發(fā)。RSA Security Analytics產(chǎn)品操縱來自全球安然社區(qū)的威脅諜報和RSA FirstWatch，操縱他人已發(fā)現(xiàn)的諜報，進步企業(yè)大年夜數(shù)據(jù)的歹意勾當檢測率。
在評估下一代SIEM產(chǎn)品時，可擴大性、強大年夜的闡發(fā)東西和對異構事務來歷的撐持是最首要的身分，出格是當涉及時候敏感法度(例如訛詐檢測)時，以確保它們可以或許措置大年夜量的多樣化數(shù)據(jù)。當然，在評估解決方案時，還應當考慮其按照營業(yè)環(huán)境成立可把持諜報的能力，從而，對企業(yè)構成最大年夜風險的威脅可以優(yōu)先采納步履。別的一個首要特點是可視化和摸索大年夜數(shù)據(jù)的東西，這類東西可以快速發(fā)現(xiàn)受傳染設備和其他熱點。
沙箱和白名單
對減緩此刻的威脅，SIEM和大年夜數(shù)據(jù)其實不是獨一的選擇。沙箱和白名單是值得考慮的手藝。Bit9的白名單安然軟件是操縱端點代辦署理的基于信賴的解決方案，它承諾治理員指定可在桌面和臺式機履行的軟件。別的一個新功能是操縱按需基于云的Bit9 Software Reputation Service來高精度檢測可疑歹意軟件和相干文件。
沙箱可以隔離利用法度，如許歹意軟件就不會從一個法度傳輸?shù)搅硗庖粋€法度。任何未知的利用法度或內(nèi)容都可以被視為不成信，并隔離在本身的沙箱中。McAfee等安然供給商正在試圖添加相干手藝到其產(chǎn)品系列中。該公司還打算在其ePolicy Orchestrator套件中供給沙箱手藝。經(jīng)由過程在沙箱中運行可疑歹意軟件，我們可以知道該歹意軟件可能對端點帶來的影響，并主動禁止將來報復打擊，同時修復所有已傳染的端點。Fortinet的FortiCloud基于云的沙箱辦事供給了一個在線沙箱門戶網(wǎng)站，以在虛擬環(huán)境中履行可疑代碼。
當然，安然團隊需要擴大威脅檢測和呵護到連接到其收集的移動設備，出格是因為，與桌面用戶比擬，移動設備用戶淪為收集垂釣報復打擊的受害者的概率起碼要高兩倍。Lookout Mobile Security的Mobile Threat Network向移動用戶供給空中呵護。Lookout是操縱大年夜數(shù)據(jù)闡發(fā)編制來發(fā)現(xiàn)歹意軟件并猜想下一次報復打擊的另外一個產(chǎn)品。別的，運行本身利用商鋪的企業(yè)還可以操縱Lookout API來確保其供給的利用的安然性。RSA FraudAction Anti Rogue App Service也能夠或許檢測滲入到在線利用商鋪的任何歹意或未經(jīng)授權移動利用。
不管企業(yè)擺設了何種高級威脅檢測手藝，其有效性將取決于建設和監(jiān)控這些手藝的人員。人員是所有治理打算的首要構成部門。治理員必需學會若何有效地操縱新型手藝，讓它們真正供給額外的呵護。賽門鐵克的Cyber Threat Detection和Incident Response Training等培訓，和SANS等供給商供給的深度培訓課程將幫忙安然人員體味若何辨認威脅并作出響應，同時從歹意事務恢復。
對任何新IT手藝，首要的是，不要被供給商的營銷炒作蒙蔽了雙眼。更專注于檢測和響應其實不料味著端點防馭手藝(例如防火墻和防病毒)不再具有相干性。呵護任何收集都需要成文的政策和法度作為成功的根本。同時，資產(chǎn)和數(shù)據(jù)分類是重點，需要記住的是，當然威脅治理始于威脅辨認，但恢復也是成功的威脅治理過程的首要構成部門。