在之前的兩篇文章中《APT報復打擊背后的奧秘:報復打擊前的"敵情"窺伺》《APT報復打擊背后的奧秘:報復打擊性質(zhì)及特點闡發(fā)》，我們介紹了APT報復打擊的性質(zhì)、特點，和報復打擊前的"敵情"窺伺。本篇文章，我們將繼續(xù)介紹APT報復打擊時利用的兵器和手段，這是真正開端策動報復打擊的階段，也是報復打擊者需要經(jīng)由過程的第一道"關(guān)卡"。
正如在前面文章我們提到的，APT報復打擊和通俗報復打擊之間的辨別是目標，或說背后把持者的具體方針，而不是東西、策略或流程。
一般的報復打擊首要依托于數(shù)量，報復打擊者會成百上千次的發(fā)送不異的鏈接或是歹意軟件，在大年夜大都環(huán)境下，這個過程是主動化的，報復打擊者利用機械人或基于web腳本來鞭策報復打擊，假定報復打擊了大年夜量的暗藏受害者，那么報復打擊者可能獲得已獲得了一半的成功。而APT報復打擊則會利用多個鏈接、不合類型的歹意軟件，并節(jié)制報復打擊量，是以，APT報復打擊很難被傳統(tǒng)的安然防馭手段所發(fā)現(xiàn)。
啟動報復打擊
在窺伺階段，報復打擊者會匯集盡可能多的關(guān)于方針的信息，這些信息在報復打擊開端階段將闡揚首要感化。這些信息可讓報復打擊者可以或許設計和開辟一個歹意有效載荷，并選擇最好的編制來傳送。
對報復打擊東西包，有良多低成本的選擇，并且還可以隨后添加自定義模塊或功能。這些東西可以托管在任何位置，但報復打擊者凡是會將它們放在有著杰出名譽的合法域名，操縱路過式下載報復打擊。
水坑報復打擊凡是采取兩種報復打擊編制。一種編制是經(jīng)由過程收集垂釣電子郵件將方針帶到報復打擊者的操縱東西包。
另外一種編制是對準共享資本。這些資本凡是對方針有著一訂價值，并有杰出的名譽。對這類這類編制來講，報復打擊者沒有直接對準方針，而是傳染方針將要拜候的網(wǎng)站，等著方針被傳染。
我們需要體味水坑報復打擊和路過式下載報復打擊的辨別，此中一種可用于倡議一般報復打擊，而這類報復打擊很等閑被發(fā)現(xiàn)，另外一種則加倍埋沒。
報復打擊者還會操縱零日縫隙，但并不是老是如斯。當利用零日縫隙時，首要啟事是報復打擊者報復打擊方針實現(xiàn)概率增加。這些方針多是安裝Paid-Per-Install歹意軟件、信息盜取、構(gòu)建僵尸收集或間諜勾當。但是，操縱現(xiàn)有縫隙要比零日縫隙加倍等閑，因為企業(yè)和小我用戶常常沒有修復系統(tǒng)和第三方軟件的縫隙。
回顧在窺伺階段，還有一些其他信息可能幫忙報復打擊者展開報復打擊。假定報復打擊者發(fā)現(xiàn)可托營業(yè)合作火伴網(wǎng)站中的縫隙，或方針企業(yè)的縫隙，報復打擊將變得加倍等閑，因為報復打擊者既可以操縱水坑報復打擊，也能夠操縱單一的可托資本。在這類環(huán)境下，SQL注進、跨站腳本(XSS)等常見縫隙都可以報復打擊者的切進點，默許或有縫隙的辦事器建設一樣如斯。
別的，報復打擊者會將精力集中在等閑實現(xiàn)的方針上，是以，內(nèi)部開辟的有縫隙的利用法度或添加到公司博客或內(nèi)網(wǎng)的第三方腳本，都可能用來策動報復打擊。最后，假定方針企業(yè)利用的CMS或主機平臺已顛末時或未修復，這也會成為報復打擊的存眷點。
選擇方針
一旦報復打擊者肯定了報復打擊向量(此中包含有縫隙的平臺和報復打擊類型)，他們將需要選擇一個受害者。在良多環(huán)境下，受害者其實已肯定。但有時辰，受害者是誰其實不首要，報復打擊者會報復打擊盡可能多的方針以進步其成功率。假定受害者還沒有選定，整體方針是一個企業(yè)，那么，來自窺伺階段的數(shù)據(jù)再次會變得有效。
請記住，報復打擊者起首會對準等閑報復打擊的方針，企業(yè)內(nèi)最等閑的方針是辦事臺工作人員，或供給付出辦事的員工，例如客戶辦事代表或行政助理。因為這些人可以或許拜候或聯(lián)系企業(yè)內(nèi)的其他人。在窺伺階段，報復打擊者可以或許獲得這些人的信息，包含他們正在利用的軟件和硬件類型、社交收集信息、公開的陳述或其他工作、歡愉愛好或他們的小我信息。
企業(yè)內(nèi)的其他人也可能成為方針，這主如果因為他們在企業(yè)內(nèi)的拜候權(quán)限和影響力。這些包含：首席履行官、首席財務官、IT部門、QA和開辟團隊、發(fā)賣、營銷和公共關(guān)系團隊。
傳送有效載荷
在成立有效載荷、選定報復打擊方針后，報復打擊者需要開端傳送歹意載荷到方針，他們選擇的傳送編制包含：
1. 路過式下載報復打擊： 這類傳送編制讓報復打擊者可以對準更遍及的受害者。這是一般犯法的常常利用編制，例如信息盜取歹意軟件或僵尸收集構(gòu)建歹意軟件。犯法東西包是典型的傳送東西，因為它們可以操縱多個縫隙。
任何具有可操縱縫隙的網(wǎng)站都可能受這類報復打擊的影響。請記住，SQL注進報復打擊可用于拜候存儲數(shù)據(jù)，也能夠拜候傳染數(shù)據(jù)庫中的身份驗證具體信息，進一步鞭策報復打擊。別的，跨站腳本和文件包含縫隙將讓報復打擊舒展。當歹意代碼注進到網(wǎng)站，報復打擊者只需要等候受害者。在文件包含縫隙的環(huán)境下，假定報復打擊者獲得對web辦事器本身的節(jié)制，他們便可以報復打擊其他區(qū)域和辦事器上的數(shù)據(jù)。
寄望： 這就是分手和呵護網(wǎng)段的啟事。這可以或許幫忙降落數(shù)據(jù)泄漏期間連帶效應的風險。假定對一個區(qū)域的拜候承諾拜候所有其他區(qū)域，報復打擊者的工作就變得加倍等閑了。
2. 水坑報復打擊： 細粒度水坑報復打擊不合于一般報復打擊。當然全部報復打擊勾當可能讓其他不相干的人成為受害者，報復打擊者對選定的一組人或特定人更感歡愉愛好。
這類報復打擊的方針多是開辟人員、QA、IT或發(fā)賣人員，因為這些人更可能利用論壇或其他社友情況來與同業(yè)交換或?qū)で髤f(xié)助。 SQL注進、文件包含和跨站腳本縫隙都將是首要切進點。假定報復打擊者可以節(jié)制直接綁定到方針收集的辦事器，那么，報復打擊員工就成了次要方針。
3. 收集垂釣(一般)： 一般收集垂釣報復打擊會對準遍及受害者。報復打擊者可以經(jīng)由過程這類編制漫衍大年夜量歹意軟件，既快速又便宜，并且不需要太費工夫。假定暗藏受害者打開郵件附件，或點擊歹意鏈接，在有效載荷安裝后，就申明報復打擊成功了。收集垂釣被用來傳播財務歹意軟件，而一般歹意軟件被用來盜取數(shù)據(jù)和構(gòu)建僵尸收集，而這又被用來發(fā)送更多的垃圾郵件。
收集垂釣勾當中利用的電子郵件地址可能來自各類來歷，包含在窺伺階段匯集的數(shù)據(jù)，同時也可能來自數(shù)據(jù)庫泄漏變亂公開透露的數(shù)據(jù)。一般收集垂釣的目標是玩數(shù)字游戲，假定報復打擊者發(fā)送歹意郵件到100萬地址，而安裝了1000個歹意軟件，那么，這將被視為一個巨大年夜的成功。
4. 收集垂釣(重點): 重點收集垂釣報復打擊，或說魚叉式收集垂釣，工作道理與一般收集垂釣報復打擊差不多，只是暗藏受害者范圍小良多。魚叉式垂釣報復打擊很合適于報復打擊一小我或一個小組，因為在窺伺階段匯集的數(shù)據(jù)能說服受害者做一些把持，例如打開歹意附件或點擊鏈接。
魚叉式收集垂釣勾當很難被發(fā)現(xiàn)，出格是對被動的反垃圾郵件手藝。魚叉式收集垂釣獲得成功是因為，受害者相信郵件中包含的信息，并且大年夜大都人都覺得反垃圾郵件呵護會抵抗這類威脅。
總結(jié)
將APT報復打擊禁止在萌芽期間很關(guān)頭，因為假定你能在這個階段禁止報復打擊，那么，戰(zhàn)役已贏了。但是，犯法分子沒有這么等閑對。除非你擺設了分層防御辦法，完全禁止這類報復打擊，說起來比做起來等閑。下面我們看看抵抗報復打擊的編制：
進侵檢測系統(tǒng)(IDS)和進侵防御系統(tǒng)(IPS)是很好的呵護層。但是，大年夜大都只是擺設了此中一個，而沒有都擺設，最好的編制就是同時擺設這二者。
IDS產(chǎn)品供給了可視性，但只有當數(shù)據(jù)泄漏變亂產(chǎn)生后才有效。假定企業(yè)可以或許即時對IDS警報采納步履，損掉和侵害可以獲得減緩。在另外一方面，IPS產(chǎn)品可以或許有效發(fā)現(xiàn)和辨認已知報復打擊，但貧乏可視性。這兩個解決方案的錯誤謬誤是它們所依托的簽名。假定沒有更新簽名，你可能沒法檢測報復打擊者擺設的最新報復打擊手藝。
反病毒呵護凡是可以或許檢測良多縫隙操縱東西包安裝的歹意軟件。但單靠AV簽名并沒甚么用，所有AV產(chǎn)品都需要依托于簽名呵護。當然AV供給商供給各類呵護，包含白名單和基于主機的IDS，但這些功能需要啟用和利用。
垃圾郵件過濾也是檢測和禁止大年夜部門報復打擊必不成少的編制，但企業(yè)不克不及只依托反垃圾郵件呵護。它們很等閑呈現(xiàn)誤報，沒法反對一切報復打擊，出格是當報復打擊者假裝成白名單中的域名時。
補丁治理是另外一個關(guān)頭呵護層，因為它可以或許應對報復打擊者最強的東西之一—縫隙操縱東西包。但是，修復把持系統(tǒng)其實不敷，還需要按期修復第三方軟件。
最后，還需要安然意識培訓。企業(yè)應當對用戶進行培訓來抵抗最較著的威脅，包含收集垂釣報復打擊。安然意識培訓是延續(xù)的步履，可以或許直接解決企業(yè)面對的風險。