近幾年，安然威脅產(chǎn)生了很大年夜改變，特別是高級(jí)延續(xù)性威脅(簡(jiǎn)稱APT)有愈演愈烈之勢(shì)。那么，APT威脅比來(lái)有哪些新的成長(zhǎng)？傳統(tǒng)檢測(cè)編制應(yīng)對(duì)APT有哪些不足？我們又該若何防御？對(duì)此，良多安然公司都構(gòu)成了本身的思路，并推出了相干解決方案。而“棱鏡”事務(wù)警示我們，我國(guó)在信息安然范疇急需自立可控，對(duì)APT報(bào)復(fù)打擊一樣如斯。所幸，本土安然廠商啟明星斗公司已推出APT報(bào)復(fù)打擊防御解決方案，并在多個(gè)行業(yè)實(shí)現(xiàn)利用。
層見疊出的APT報(bào)復(fù)打擊事務(wù)
先來(lái)回顧一下比來(lái)幾年來(lái)的一些APT報(bào)復(fù)打擊事務(wù)：
2007年發(fā)現(xiàn)的Stuxnet蠕蟲病毒(超等工廠病毒)曾傳染了伊朗境內(nèi)14臺(tái)離心計(jì)表情的系統(tǒng)，最終導(dǎo)致離心計(jì)表情遭到破壞。相干資料顯示，Stuxnet病毒最早于2005年就已存在，被稱為Stuxnet0.5。在2011年，一種基于Stuxnet代碼的新型的蠕蟲Duqu又呈此刻歐洲，號(hào)稱“震網(wǎng)二代”。
2010年的GoogleAurora(極光)報(bào)復(fù)打擊是一個(gè)十分聞名的APT報(bào)復(fù)打擊。Google的一名雇員點(diǎn)擊即時(shí)動(dòng)靜中的一條歹意鏈接，激發(fā)了一系列事務(wù)導(dǎo)致這個(gè)搜刮引擎巨人的收集被滲入數(shù)月，并且造成各類系統(tǒng)的數(shù)據(jù)被盜取。
2011年3月，EMC公司部屬的RSA公司蒙受進(jìn)侵，部門SecurID手藝及客戶資料被盜取。厥后果導(dǎo)致良多利用SecurID作為認(rèn)證根據(jù)成立VPN收集的公司——包含洛克希德馬丁公司、諾斯羅普公司等美國(guó)國(guó)防外包商——遭到報(bào)復(fù)打擊，首要資料被盜取。
2012年，卡巴斯基嘗試室發(fā)現(xiàn)Flame(火焰)病毒它是一種高度復(fù)雜的歹意法度，被用作收集兵器并已報(bào)復(fù)打擊了多個(gè)國(guó)度。它是迄今為止最復(fù)雜、威脅程度最高的計(jì)較機(jī)病毒。
2013年3月20日，韓國(guó)多家大年夜型銀行及數(shù)家媒體蒙受APT報(bào)復(fù)打擊;
2013年4月，啟明星斗發(fā)現(xiàn)了一個(gè)具有合法數(shù)字簽名的后門法度，這個(gè)后門操縱AdobeFlash縫隙(CVE-2013-0634)，可能已存活很長(zhǎng)時(shí)候。
2013年5月，截獲以波士頓馬拉松爆炸事務(wù)為題材的APT郵件報(bào)復(fù)打擊。
2013年5月，火眼嘗試室發(fā)現(xiàn)了針對(duì)我國(guó)當(dāng)局要員的APT報(bào)復(fù)打擊郵件，郵件包含針對(duì)Office的EXP套件(CVE-2012-0158)。
2013年7月15日，TrendMicro發(fā)布發(fā)現(xiàn)一個(gè)針對(duì)亞洲和歐洲當(dāng)局機(jī)構(gòu)的APT報(bào)復(fù)打擊。這個(gè)報(bào)復(fù)打擊倡議是經(jīng)由過(guò)程一封定向垂釣郵件。郵件以中國(guó)國(guó)防部外事辦的名義發(fā)出，對(duì)特定受害人具有很強(qiáng)的***力。
APT威脅最新成長(zhǎng)動(dòng)態(tài)
按照FireEye發(fā)布的《2012年下半年高級(jí)威脅闡發(fā)陳述》指出，約每三分鐘就會(huì)有一個(gè)組織或單位蒙受一次歹意代碼報(bào)復(fù)打擊，特指帶有歹意附件、或歹意WEB鏈接、或CnC通信的郵件;在所有蒙受報(bào)復(fù)打擊的企業(yè)和組織中，具有核心關(guān)頭手藝的手藝類企業(yè)占比最高;在定向垂釣郵件(spearphishingemail)中常常利用通用的商業(yè)術(shù)語(yǔ)，具有很大年夜的棍騙性;92%的報(bào)復(fù)打擊郵件都利用zip格局的附件，剩下的格局還有pdf等。
別的，按照CN-CERT發(fā)布的《2012年我國(guó)互聯(lián)網(wǎng)收集安然態(tài)勢(shì)綜述》顯示，2012年我國(guó)境內(nèi)起碼有4.1萬(wàn)余臺(tái)主機(jī)傳染了具有APT特點(diǎn)的木馬法度。
闡發(fā)以上APT報(bào)復(fù)打擊事務(wù)，我們會(huì)發(fā)現(xiàn)：我們對(duì)跨年度的歹意代碼沒法及時(shí)感知，傳統(tǒng)反病毒系統(tǒng)的獲得及時(shí)性遭到了挑戰(zhàn);APT報(bào)復(fù)打擊的報(bào)復(fù)打擊范圍廣針對(duì)性強(qiáng)，它不但僅局限于傳統(tǒng)的信息收集，還會(huì)威脅工控系統(tǒng)、移動(dòng)終端等其它信息系統(tǒng)，針對(duì)如能源、兵工、金融、科研、大年夜型制造、IT、當(dāng)局、軍事等大年夜型組織的首要資產(chǎn)策動(dòng)APT報(bào)復(fù)打擊;APT威脅愈演愈烈，遍及存在且影響嚴(yán)重。跟著魚叉式垂釣報(bào)復(fù)打擊、水坑報(bào)復(fù)打擊等新型報(bào)復(fù)打擊手藝和報(bào)復(fù)打擊手段的呈現(xiàn)，對(duì)APT報(bào)復(fù)打擊的檢測(cè)和防備變得更加堅(jiān)苦。
今朝，電子數(shù)據(jù)信息對(duì)國(guó)度、當(dāng)局、企業(yè)的首要性一日千里，對(duì)競(jìng)爭(zhēng)敵手的意義也一樣重大年夜，假定信息系統(tǒng)蒙受APT報(bào)復(fù)打擊，那么單位遭到的影響也會(huì)日趨嚴(yán)重。但是在APT期間，因?yàn)楦兄芰Ρ容^差，感知時(shí)候比較長(zhǎng)，基于過(guò)后簽名機(jī)制的傳統(tǒng)產(chǎn)品如IPS、IDS、殺毒軟件等，在面對(duì)APT報(bào)復(fù)打擊時(shí)，這類過(guò)后簽名機(jī)制幾近掉效。與此同時(shí)APT報(bào)復(fù)打擊針對(duì)性、埋沒性又在不竭加強(qiáng)，報(bào)復(fù)打擊者經(jīng)由過(guò)程延續(xù)的報(bào)復(fù)打擊，對(duì)信息系統(tǒng)的威脅仍在不竭加大年夜。是以，加強(qiáng)APT報(bào)復(fù)打擊防護(hù)任務(wù)艱巨。
APT報(bào)復(fù)打擊手藝日趨復(fù)雜
報(bào)復(fù)打擊過(guò)程：APT報(bào)復(fù)打擊一般可以劃分為4個(gè)階段，即搜刮階段、進(jìn)進(jìn)階段、滲入階段、收成階段。
在搜刮階段，APT報(bào)復(fù)打擊的報(bào)復(fù)打擊者會(huì)破鈔大年夜量的時(shí)候和精力用于搜刮方針系統(tǒng)的相干信息、擬定周到的打算、開辟或采辦報(bào)復(fù)打擊東西等，在進(jìn)進(jìn)階段，報(bào)復(fù)打擊者會(huì)進(jìn)行間斷性的報(bào)復(fù)打擊測(cè)驗(yàn)測(cè)驗(yàn)，直到找到?jīng)_破口，節(jié)制企業(yè)內(nèi)網(wǎng)的第一臺(tái)計(jì)較機(jī)，隨掉隊(duì)進(jìn)滲入階段，報(bào)復(fù)打擊者操縱已節(jié)制的計(jì)較機(jī)作為跳板，經(jīng)由過(guò)程長(zhǎng)途節(jié)制，對(duì)企業(yè)內(nèi)網(wǎng)進(jìn)行滲入，尋覓有價(jià)值的數(shù)據(jù)，最后，報(bào)復(fù)打擊者會(huì)構(gòu)建一條埋沒的數(shù)據(jù)傳輸通道，將已獲得的奧秘?cái)?shù)據(jù)傳送出來(lái)。
這里需要夸大年夜一點(diǎn)，APT報(bào)復(fù)打擊的倡議者與通俗報(bào)復(fù)打擊者比擬有所不合，只要不被發(fā)現(xiàn)，報(bào)復(fù)打擊行動(dòng)常常不會(huì)遏制，并延續(xù)的測(cè)驗(yàn)測(cè)驗(yàn)盜取新的敏感數(shù)據(jù)與奧秘信息。
報(bào)復(fù)打擊手段：APT報(bào)復(fù)打擊是報(bào)復(fù)打擊者操縱多種報(bào)復(fù)打擊手藝、報(bào)復(fù)打擊手段，同時(shí)連絡(luò)社會(huì)工程學(xué)的常識(shí)實(shí)施的復(fù)雜的、延續(xù)的、方針明白的收集報(bào)復(fù)打擊，這些報(bào)復(fù)打擊手藝和報(bào)復(fù)打擊手段包含sql注進(jìn)報(bào)復(fù)打擊、XSS跨站腳本、0Day縫隙操縱、特種木馬等。
近幾年，APT報(bào)復(fù)打擊手藝加倍復(fù)雜、報(bào)復(fù)打擊手段加倍埋沒，并且報(bào)復(fù)打擊已不局限于傳統(tǒng)的信息系統(tǒng)，而是逐步把方針分散到財(cái)產(chǎn)節(jié)制等系統(tǒng)，例如針對(duì)財(cái)產(chǎn)節(jié)制系統(tǒng)編寫的粉碎性病毒stuxnet、duqu。
APT報(bào)復(fù)打擊防馭手段需延續(xù)改進(jìn)
傳統(tǒng)的檢測(cè)手段在應(yīng)對(duì)APT報(bào)復(fù)打擊時(shí)已顯得力不從心。因?yàn)閭鹘y(tǒng)的檢測(cè)手段首要針對(duì)已知的威脅，對(duì)未知的縫隙操縱、木馬法度、報(bào)復(fù)打擊手法，沒法進(jìn)行檢測(cè)和定位，并且良多企業(yè)因?yàn)樨毞I(yè)的安然辦事團(tuán)隊(duì)，沒法對(duì)檢測(cè)設(shè)備的告警信息進(jìn)行聯(lián)系關(guān)系闡發(fā)。今朝，在APT報(bào)復(fù)打擊的檢測(cè)和防御上，首要有以下幾種思路：
◆歹意代碼檢測(cè)：在互聯(lián)網(wǎng)進(jìn)口點(diǎn)對(duì)Web、郵件、文件共享等可能攜帶的歹意代碼進(jìn)行檢測(cè)。
◆數(shù)據(jù)防泄密：在主機(jī)上擺設(shè)DLP產(chǎn)品，APT報(bào)復(fù)打擊方針是有價(jià)值的數(shù)據(jù)信息，避免敏感信息的別傳也是防御APT報(bào)復(fù)打擊的編制之一。
◆收集進(jìn)侵檢測(cè)：在收集層對(duì)APT報(bào)復(fù)打擊的行動(dòng)進(jìn)行檢測(cè)、闡發(fā)，例如收集進(jìn)侵檢測(cè)類產(chǎn)品。
◆大年夜數(shù)據(jù)闡發(fā)：周全匯集收集中的各類數(shù)據(jù)(原始的收集數(shù)據(jù)包、營(yíng)業(yè)和安然日記)，構(gòu)成大年夜數(shù)據(jù)，采取大年夜數(shù)據(jù)闡發(fā)手藝和智能闡發(fā)算法來(lái)檢測(cè)APT，可以籠蓋APT報(bào)復(fù)打擊的各個(gè)階段。
上述的防御編制各有各自的特點(diǎn)，歹意代碼檢測(cè)產(chǎn)品凡是擺設(shè)在互聯(lián)網(wǎng)進(jìn)口點(diǎn)，可以在APT報(bào)復(fù)打擊的初始階段對(duì)報(bào)復(fù)打擊進(jìn)行檢測(cè)、發(fā)現(xiàn)，例如可以抓取攜帶后門法度、異常代碼的word文件、pdf文件等等;收集進(jìn)侵檢測(cè)可以在網(wǎng)路層對(duì)APT報(bào)復(fù)打擊行動(dòng)進(jìn)行檢測(cè)，假定報(bào)復(fù)打擊者經(jīng)由過(guò)程跳板對(duì)內(nèi)網(wǎng)進(jìn)行滲入報(bào)復(fù)打擊，收集進(jìn)侵檢測(cè)系統(tǒng)可以進(jìn)行預(yù)警、定位;數(shù)據(jù)防泄密可以避免APT報(bào)復(fù)打擊者將計(jì)較機(jī)中的敏感數(shù)據(jù)別傳，可以有效降落報(bào)復(fù)打擊行動(dòng)所釀成的損掉;大年夜數(shù)據(jù)闡發(fā)的檢測(cè)比較周全，可以籠蓋APT報(bào)復(fù)打擊的各個(gè)環(huán)節(jié)。
可是，啟明星斗ADLab副總監(jiān)楊紅光覺得：“當(dāng)然每種防御編制針對(duì)APT報(bào)復(fù)打擊的各個(gè)階段進(jìn)行檢測(cè)，可是因?yàn)锳PT報(bào)復(fù)打擊的復(fù)雜性、埋沒性，不解除有漏報(bào)或誤報(bào)的可能，所以APT報(bào)復(fù)打擊的檢測(cè)和防御產(chǎn)品一樣需要跟從信息安然的成長(zhǎng)動(dòng)態(tài)，延續(xù)的進(jìn)行改進(jìn)?！?/P>
是以，他建議在不克不及完全蓋住APT報(bào)復(fù)打擊的環(huán)境下，組織要將APT報(bào)復(fù)打擊風(fēng)險(xiǎn)降到最小，就需要做到以下幾點(diǎn)：
要有APT報(bào)復(fù)打擊檢測(cè)和防御的手段，可以經(jīng)由過(guò)程安然檢測(cè)產(chǎn)品，由專業(yè)的安然辦事人員進(jìn)交運(yùn)維、闡發(fā)，及時(shí)發(fā)現(xiàn)、措置報(bào)復(fù)打擊事務(wù)。
要按期的組織信息安然培訓(xùn)，警戒報(bào)復(fù)打擊者連絡(luò)社會(huì)工程學(xué)進(jìn)行棍騙報(bào)復(fù)打擊。
要加強(qiáng)對(duì)首要信息資產(chǎn)的呵護(hù)，從拜候節(jié)制、用戶權(quán)限、安然審計(jì)等等層面對(duì)節(jié)制辦法和手段進(jìn)行優(yōu)化和加強(qiáng)。
針對(duì)APT報(bào)復(fù)打擊，良多安然廠商都推出了相干的安然防護(hù)產(chǎn)品及解決方案。楊紅光暗示，針對(duì)APT報(bào)復(fù)打擊，啟明星斗公司為用戶供給了專業(yè)的安然產(chǎn)品和專業(yè)的安然辦事。啟明星斗依托歹意代碼檢測(cè)引擎、收集進(jìn)侵檢測(cè)引擎、蜜罐系統(tǒng)、Armin大年夜數(shù)據(jù)闡發(fā)系統(tǒng)等安然產(chǎn)品實(shí)現(xiàn)對(duì)用戶信息系統(tǒng)的安然監(jiān)測(cè)，然后由其安然辦事團(tuán)隊(duì)積極防御嘗試室(ADLab)的安然辦事專家對(duì)APT報(bào)復(fù)打擊進(jìn)行闡發(fā)、跟蹤，幫忙用戶及時(shí)措置APT報(bào)復(fù)打擊事務(wù)。