盡人皆知，高級(jí)可延續(xù)威脅(APT報(bào)復(fù)打擊)很是難以檢測(cè)，匹敵高級(jí)延續(xù)威脅仿佛是一場(chǎng)無(wú)看的戰(zhàn)役。此刻，APT報(bào)復(fù)打擊已不但僅是一個(gè)平易近族或是國(guó)度需要面對(duì)的標(biāo)題問(wèn)題，它也不再只專注于針對(duì)戎行和其他當(dāng)局的間諜勾當(dāng)或報(bào)復(fù)打擊，APT報(bào)復(fù)打擊已開(kāi)端對(duì)準(zhǔn)IT、能源、新聞、電信、制造和其他經(jīng)濟(jì)行業(yè)。
按照一些安然專家暗示，企業(yè)永久不成能完全的消弭這類報(bào)復(fù)打擊，但我們可以檢測(cè)到APT和盡可能削減它們所釀成的侵害。Palo Alto公司高級(jí)安然闡發(fā)師Wade Williamson暗示，“天并沒(méi)有塌下來(lái)，我們還有解決編制，良多時(shí)辰，安然人員利用APT作為掉敗的借口，但不該該是如許，我們?nèi)允怯芯幹苼?lái)對(duì)APT?！?/P>
Williamson也覺(jué)得，有效地檢測(cè)和抵抗APT需要的不但僅是手藝，我們所需要作出的最大年夜改變是策略，安然必需成長(zhǎng)成為規(guī)律。
Williamson暗示，“安然人員應(yīng)當(dāng)保持好奇的心態(tài)，尋覓異常的勾當(dāng)，并問(wèn)本身這意味著甚么，和應(yīng)當(dāng)若何深進(jìn)這個(gè)標(biāo)題問(wèn)題。我們需要主動(dòng)化安然來(lái)禁止壞的東西，但我們也需要有立異的安然專家來(lái)尋覓別致的報(bào)復(fù)打擊行動(dòng)。”
讓我們看看匹敵高級(jí)延續(xù)威脅的六大年夜法門：
1、利用大年夜數(shù)據(jù)進(jìn)行闡發(fā)和檢測(cè)
RSA履行主席Art Coviello在2013 RSA大年夜會(huì)暗示：“我們應(yīng)當(dāng)從防御模式轉(zhuǎn)移--大年夜數(shù)據(jù)能讓你更快速地檢測(cè)和響應(yīng)?！盨eculert公司初創(chuàng)人兼首席履行官Aviv Raff同意這類不雅點(diǎn)，他指出從收集外圍抵抗是不成能的，企業(yè)必需從闡發(fā)的數(shù)據(jù)中來(lái)檢測(cè)報(bào)復(fù)打擊。這也是大年夜數(shù)據(jù)闡發(fā)派上用處的處所。
當(dāng)然，這意味著企業(yè)需要投資于闡發(fā)東西。Damballa公司首席手藝官Brian Foster暗示，“IT沒(méi)有及時(shí)發(fā)現(xiàn)報(bào)復(fù)打擊所需的主動(dòng)化東西，他們只有海量的數(shù)據(jù)，該行業(yè)應(yīng)當(dāng)向IT供給大年夜數(shù)據(jù)闡發(fā)編制來(lái)幫忙他們檢測(cè)收集中的報(bào)復(fù)打擊?！?/P>
他彌補(bǔ)說(shuō)，大年夜數(shù)據(jù)可以或許幫忙檢測(cè)，但這里最首要的一點(diǎn)是，報(bào)復(fù)打擊已擴(kuò)大到多種手藝，我們的安然視角必需沖破“孤島”模式，采取更加周全的視角。
2、與準(zhǔn)確的人共享信息
按照Anton Chuvakin暗示，報(bào)復(fù)打擊者會(huì)分享數(shù)據(jù)、技能和編制。IT一樣也應(yīng)當(dāng)如斯，與面對(duì)不異威脅的其他企業(yè)共享手藝和最好做法。
企業(yè)共享信息的編制應(yīng)當(dāng)要可以或許幫忙他們抵抗報(bào)復(fù)打擊，而不會(huì)有益于報(bào)復(fù)打擊，且不會(huì)背反法令或觸及信息共享的監(jiān)管要求。
但是，對(duì)共享信息，除法令上的考慮，還有經(jīng)濟(jì)上的限制。
3、體味APT報(bào)復(fù)打擊鏈
這是用來(lái)描述APT報(bào)復(fù)打擊階段的模型，這些階段包含窺伺、兵器化、交付、縫隙操縱、安裝、號(hào)令&節(jié)制和步履(這部門內(nèi)容請(qǐng)參考：從窺伺到破敵 APT報(bào)復(fù)打擊過(guò)程全揭密)。這根基上近似于進(jìn)室盜竊，小偷在行竊前，會(huì)對(duì)建筑物進(jìn)行窺伺等勾當(dāng)。
明顯，企業(yè)在越初期階段檢測(cè)到報(bào)復(fù)打擊，就越可能禁止報(bào)復(fù)打擊。理解和闡發(fā)這些殺傷鏈?zhǔn)顷P(guān)頭，可以幫忙企業(yè)在需要階段擺設(shè)恰當(dāng)?shù)姆烙?jié)制。
4、尋覓傳染指標(biāo)(IOC)
這與理解“APT報(bào)復(fù)打擊鏈”有聯(lián)系關(guān)系。沒(méi)有企業(yè)可以禁止所有報(bào)復(fù)打擊，是以，IT團(tuán)隊(duì)需要知道若何尋覓異常勾當(dāng)。這包含尋覓APT可能與收集外部通信的奇特編制，任何希罕的DNS查詢或聯(lián)系網(wǎng)站都是廠家的IOC。
APT凡是會(huì)按照其尋求自定義東西，而這凡是為IT供給了辨別APT與正常流量的身分。他們凡是會(huì)利用各類常見(jiàn)利用法度，例如長(zhǎng)途桌面利用法度、代辦署理或加密通道來(lái)通信。
這些利用法度和其他利用法度的不服常利用都是找出APT的關(guān)頭。當(dāng)然，這需要IT完全部會(huì)收集正常環(huán)境是甚么樣。別的，追蹤用戶異常行動(dòng)也能夠有所幫忙。
5、測(cè)試你的收集
這可以包含主動(dòng)闡發(fā)或沙箱手藝。肯定事物是不是為歹意的最好編制是實(shí)際運(yùn)行它，看看它的行動(dòng)是不是為歹意。
當(dāng)然企業(yè)有縫隙治理東西來(lái)幫忙修復(fù)較著的縫隙，但企業(yè)也應(yīng)當(dāng)按期進(jìn)行自我收集的報(bào)復(fù)打擊測(cè)試(或?qū)ひ挼谌?來(lái)找出標(biāo)題問(wèn)題地點(diǎn)。
6、供給更多關(guān)于APT的培訓(xùn)
Booz Allen Hamilton公司收集安然闡發(fā)師Edwin Covert暗示，企業(yè)需要一個(gè)新的培訓(xùn)模式，來(lái)培養(yǎng)APT獵人，因?yàn)樾畔踩粚＜业某叨燃寄苊黠@不足以可以或許匹敵APT。
他暗示，“匹敵APT需要可以或許看清晰事物的能力，CISSP(認(rèn)證信息系統(tǒng)安然專家)是針對(duì)手藝經(jīng)理，而不是APT獵人?！?/P>
APT獵人需要可以或許發(fā)現(xiàn)大年夜大都治理員或乃至安然人員看不到的異常文件。今朝，業(yè)界對(duì)APT防護(hù)的人才需求供不該求。企業(yè)需要起碼3萬(wàn)名APT防護(hù)方面的專家，但只有1000到2000人具有匹敵實(shí)際世界APT報(bào)復(fù)打擊的需要手藝。