APT (Advanced Persistent Threat高級(jí)可延續(xù)威脅)是時(shí)下比較熱點(diǎn)的安然話題，也是很具有威脅的收集報(bào)復(fù)打擊之一。這類(lèi)目標(biāo)性很強(qiáng)的報(bào)復(fù)打擊行動(dòng)具有著高度的暗藏性，專業(yè)性及埋沒(méi)性。可以針對(duì)特定對(duì)象，持久有打算有組織的盜取奧秘?cái)?shù)據(jù)，可以對(duì)企業(yè)，國(guó)度，造成重大年夜的損掉。
先來(lái)回顧一下比來(lái)產(chǎn)生的一些APT的經(jīng)典案例:針對(duì)谷歌等高科技公司的極光報(bào)復(fù)打擊：經(jīng)由過(guò)程谷歌一個(gè)員工電腦，獲得了GMAIL系統(tǒng)中良多敏感用戶的拜候權(quán)限;針對(duì)RSA盜取SECURID的令牌報(bào)復(fù)打擊，是經(jīng)由過(guò)程發(fā)送一封附件帶有FLASH 0day的電子郵件，獲得了財(cái)務(wù)一名員工的系統(tǒng)權(quán)限，慢慢滲入，盜取了SECURID令牌種子;而針對(duì)伊朗核電站的震網(wǎng)報(bào)復(fù)打擊則是操縱了USB移動(dòng)設(shè)備報(bào)復(fù)打擊到了物理隔離的收集等等。可見(jiàn)，APT報(bào)復(fù)打擊常常會(huì)報(bào)復(fù)打擊到安然系統(tǒng)中的最虧弱環(huán)節(jié)，而這剛好也驗(yàn)證了安然理論中的木桶原則。
那么針對(duì)視頻中的MI6被進(jìn)侵這個(gè)案例(http://netsecurity.51cto.com/secu/007_APT/)，若何做到有效的防御，我小我覺(jué)得需要從時(shí)候及事務(wù)的進(jìn)度進(jìn)行劃分。在劃分的每個(gè)階段，進(jìn)行防御。
從時(shí)候上劃分，分為事前，事中，過(guò)后三個(gè)階段。起首是事前階段，在這一階段，需要做的工作是很是多的，不外我覺(jué)得起首需要肯定核心的奧秘?cái)?shù)據(jù)。針對(duì)核心的數(shù)據(jù)進(jìn)行呵護(hù)，肯定安然區(qū)域，同時(shí)并做好響應(yīng)的基線(BASELINE)成立工作。例如收集流量，系統(tǒng)登錄準(zhǔn)確弊端頻率，對(duì)關(guān)頭系統(tǒng)的拜候頻率等等。并成立好具有必然防護(hù)能力的收集。一般來(lái)講，收集大年夜體味分為以下三層：核心層，會(huì)聚層和接進(jìn)層。以下圖所示：
核心層一般與INTERNET直接連接，是以需要擺設(shè)收集IPS，對(duì)內(nèi)網(wǎng)與INTERNET之間的數(shù)據(jù)交互進(jìn)行查抄，以便及時(shí)發(fā)現(xiàn)歹意的流量或報(bào)復(fù)打擊。而會(huì)聚層以辦事器占多數(shù)，是以需要建設(shè)主機(jī)IDS，針對(duì)主機(jī)的所產(chǎn)生的異常行動(dòng)事務(wù)進(jìn)行報(bào)警。別的也能夠擺設(shè)蜜罐這類(lèi)手藝，也可能會(huì)遭到一些不錯(cuò)的結(jié)果。而接進(jìn)層則大年夜多為工作人員的PC機(jī)，是以，需要對(duì)這些PC機(jī)安裝殺毒軟件及主機(jī)IDS，并且進(jìn)行建設(shè)響應(yīng)的準(zhǔn)進(jìn)策略。以避免從內(nèi)部攻下全部安然系統(tǒng)。一樣，日記匯集闡發(fā)及事務(wù)聯(lián)系關(guān)系系統(tǒng)也能夠擺設(shè)在收集中，以便對(duì)整體收集進(jìn)行集中闡發(fā)。加進(jìn)安然設(shè)備的對(duì)應(yīng)圖示為：
別的，更首要的一點(diǎn)，便是三分手藝，七分治理，可以從上面的APT例子看出，報(bào)復(fù)打擊都是因?yàn)閱T工的一些安然意識(shí)不足而產(chǎn)生的，是以，加強(qiáng)員工的安然意識(shí)教育也是很是有需要的。事中階段，如視頻中演示的一樣，當(dāng)已檢測(cè)到有(APT)報(bào)復(fù)打擊時(shí)，這個(gè)時(shí)辰便是與黑客在時(shí)候上的競(jìng)走，當(dāng)然，作為內(nèi)部安然人員，會(huì)比較體味內(nèi)部的收集環(huán)境，但對(duì)暗藏時(shí)候很長(zhǎng)的黑客來(lái)講，也可能一樣體味，也變掉往了比匹敵通俗黑客報(bào)復(fù)打擊的一個(gè)優(yōu)勢(shì)，是以需要的便是及時(shí)響應(yīng)，這也需要事前預(yù)備與多次練習(xí)訓(xùn)練。做到及時(shí)堵截報(bào)復(fù)打擊源，乃至對(duì)核心資本的拜候。需要有多條備份系統(tǒng)及鏈路，包管可以從多渠道進(jìn)行，而不是像視頻中只能眼看著系統(tǒng)遭到粉碎。同時(shí)也能夠站在黑客的角度，闡發(fā)黑客的念頭及軌跡。過(guò)后階段，只有評(píng)估損掉，進(jìn)行總結(jié)闡發(fā)，發(fā)現(xiàn)不足，以避免下次蒙受一樣報(bào)復(fù)打擊。事實(shí)誰(shuí)也不?？串?dāng)過(guò)后諸葛亮。
那么從事務(wù)的進(jìn)度來(lái)劃分，我針對(duì)視頻中的事務(wù)畫(huà)了一張猜想圖。
在每個(gè)階段，都可以做一些工作來(lái)預(yù)防，好比，對(duì)員工進(jìn)行安然教育，對(duì)系統(tǒng)進(jìn)行安然加固，安裝對(duì)應(yīng)的殺毒軟件與IDS，當(dāng)已沖破了第一道防地后，黑客在進(jìn)行對(duì)其他辦事器進(jìn)行掃描和盜取數(shù)據(jù)時(shí)，必將會(huì)產(chǎn)生一些蛛絲馬跡，闡發(fā)這些蛛絲馬跡，需要有IDS及響應(yīng)的流量闡發(fā)系統(tǒng)完成，同時(shí)，我們可以針對(duì)數(shù)據(jù)進(jìn)行加密或?qū)ξ募到y(tǒng)進(jìn)行改變，使其看得見(jiàn)，拿不到，拿獲得，用不了。最后，當(dāng)黑客試圖將這些數(shù)據(jù)進(jìn)行轉(zhuǎn)移，也會(huì)對(duì)收集流量產(chǎn)生必然的波動(dòng)，或即便不產(chǎn)生波動(dòng)，也能夠?qū)诵奈募M(jìn)行基于MD5簽名等手藝，在發(fā)現(xiàn)收集中不該該產(chǎn)生這類(lèi)MD5簽名的流量中發(fā)現(xiàn)了也能夠肯定產(chǎn)生了數(shù)據(jù)丟掉標(biāo)題問(wèn)題。是以，在每個(gè)環(huán)節(jié)，均做好對(duì)應(yīng)的防御，則也能夠?qū)PT 起到必然的防御感化。以下圖所示：
綜上，便是我針對(duì)MI6中呈現(xiàn)的APT報(bào)復(fù)打擊所采取的部門(mén)解決方案。當(dāng)然APT報(bào)復(fù)打擊千變?nèi)f化，如人身體的惡性腫瘤一般暗藏在收集內(nèi)部，想完全防御APT 除需要足夠的手藝撐持外，還需要完美的系統(tǒng)軌制，層次的防御系統(tǒng)，幾近無(wú)裂痕的安然系統(tǒng)，像一個(gè)對(duì)峙熬煉，身體健康的免疫力強(qiáng)的健康人一樣，使報(bào)復(fù)打擊者無(wú)處下手，無(wú)處躲躲。同時(shí)我們也能夠想象到，在一個(gè)大年夜型的收集內(nèi)部，每日的信息及事務(wù)告警量也會(huì)良多，若何將這些海量日記進(jìn)行系統(tǒng)闡發(fā)，從平分手出有效的信息，這也考驗(yàn)了內(nèi)部安然人員靈敏的不雅察能力與闡發(fā)細(xì)節(jié)及蛛絲馬跡的洞察力，同時(shí)也需要必然的實(shí)踐經(jīng)驗(yàn)。別的，鑒于篇幅標(biāo)題問(wèn)題，還沒(méi)有針對(duì)時(shí)下比較風(fēng)行的無(wú)線收集，和移動(dòng)設(shè)備安然標(biāo)題問(wèn)題進(jìn)行申明，但其實(shí)不代表可以忽視掉落這部門(mén)。這部門(mén)也應(yīng)當(dāng)作為安然考慮的首要環(huán)節(jié)。
總之，需要防備APT，要考慮到各個(gè)方面，不克不及給黑客留下任何的死角，亦要?jiǎng)討B(tài)和靜態(tài)相連絡(luò)的編制，當(dāng)然很難，但卻沒(méi)法避免。假定一旦忽視了一個(gè)小細(xì)節(jié)，變可能會(huì)使全部防御系統(tǒng)變成馬其諾防地。是以防備APT---任重而道遠(yuǎn)。