建站
咨詢
售后
建站咨詢
新聞中心
近幾年，安全威脅發(fā)生了很大變化，尤其是高級持續(xù)性威脅(APT)有愈演愈烈之勢。那么，APT威脅最近有哪些新的發(fā)展?傳統(tǒng)檢測方法應對APT有哪些不足?我們又該如何防御?啟明星辰積極防御實驗室(ADLab)副總監(jiān)楊紅光給出了自己的看法。
讓客戶滿意是我們工作的目標，不斷超越客戶的期望值來自于我們對這個行業(yè)的熱愛。我們立志把好的技術通過有效、簡單的方式提供給客戶，將通過不懈努力成為客戶在信息化領域值得信任、有價值的長期合作伙伴，公司提供的服務項目有：域名申請、虛擬主機、營銷軟件、網(wǎng)站建設、棲霞網(wǎng)站維護、網(wǎng)站推廣。
APT威脅最新發(fā)展動態(tài)
FireEye公司發(fā)布的《2012年下半年高級威脅分析報告》指出，約每三分鐘就會有一個機構遭受一次惡意代碼攻擊(特指帶有惡意附件、或者惡意WEB鏈接、或者CnC通訊的郵件); 92%的攻擊郵件都使用zip格式的附件，剩下的格式還有pdf等。另外，根據(jù)CN-CERT發(fā)布的《2012年我國互聯(lián)網(wǎng)網(wǎng)絡安全態(tài)勢綜述》顯示，2012年我國境內至少有4.1萬余臺主機感染了具有APT特征的木馬程序。
我們面臨的問題是：我們對跨年度的惡意代碼無法及時感知，傳統(tǒng)反病毒體系的獲取實時性遭到了挑戰(zhàn);APT攻擊的攻擊范圍廣、針對性強，它不僅僅局限于傳統(tǒng)的信息網(wǎng)絡，還會威脅工控系統(tǒng)、移動終端等其它信息系統(tǒng)，針對如能源、軍工、金融、科研、大型制造、IT、政府、軍事等大型組織的重要資產(chǎn)發(fā)動攻擊;APT威脅愈演愈烈，普遍存在且影響嚴重。隨著魚叉式釣魚攻擊、水坑攻擊等新型攻擊技術和攻擊手段的出現(xiàn)，對于APT攻擊的檢測和防范變得越發(fā)困難。
APT攻擊技術日益復雜
APT攻擊一般可以劃分為4個階段，即搜索階段、進入階段、滲透階段、收獲階段。
在搜索階段，APT攻擊的攻擊者會花費大量的時間和精力用于搜索目標系統(tǒng)的相關信息、制定周密的計劃、開發(fā)或購買攻擊工具等。在進入階段，攻擊者會進行間斷性的攻擊嘗試，直到找到突破口，控制企業(yè)內網(wǎng)的第一臺計算機。隨后進入滲透階段，攻擊者利用已經(jīng)控制的計算機作為跳板，通過遠程控制，對企業(yè)內網(wǎng)進行滲透，尋找有價值的數(shù)據(jù)。最后，攻擊者會構建一條隱蔽的數(shù)據(jù)傳輸通道，將已經(jīng)獲取的機密數(shù)據(jù)傳送出來。
APT攻擊是攻擊者利用多種攻擊技術、攻擊手段，同時結合社會工程學的知識實施的復雜的、持續(xù)的、目標明確的網(wǎng)絡攻擊，這些攻擊技術和攻擊手段包括SQL注入攻擊、XSS跨站腳本、0Day漏洞利用、特種木馬等。
近幾年，APT攻擊技術更加復雜、攻擊手段更加隱蔽，而且攻擊已經(jīng)不局限于傳統(tǒng)的信息系統(tǒng)，而是逐漸把目標擴散到工業(yè)控制等系統(tǒng)，例如針對工業(yè)控制系統(tǒng)編寫的Stuxnet、Duqu病毒。
APT攻擊防御手段需持續(xù)改進
傳統(tǒng)的檢測手段在應對APT攻擊時已顯得力不從心。因為傳統(tǒng)的檢測手段主要針對已知的威脅，對于未知的漏洞利用、木馬程序、攻擊手法，無法進行檢測和定位，并且很多企業(yè)因為缺少專業(yè)的安全服務團隊，無法對檢測設備的告警信息進行關聯(lián)分析。目前，在APT攻擊的檢測和防御上，主要有如下幾種思路：
◆惡意代碼檢測：在互聯(lián)網(wǎng)入口點對Web、郵件、文件共享等可能攜帶的惡意代碼進行檢測。
◆數(shù)據(jù)防泄密：在主機上部署DLP產(chǎn)品，APT攻擊目標是有價值的數(shù)據(jù)信息，防止敏感信息的外傳也是防御APT攻擊的方法之一。
◆網(wǎng)絡入侵檢測：在網(wǎng)絡層對APT攻擊的行為進行檢測、分析，例如網(wǎng)絡入侵檢測類產(chǎn)品。
◆大數(shù)據(jù)分析：全面采集網(wǎng)絡中的各種數(shù)據(jù)(原始的網(wǎng)絡數(shù)據(jù)包、業(yè)務和安全日志)，形成大數(shù)據(jù)，采用大數(shù)據(jù)分析技術和智能分析算法來檢測APT，可以覆蓋APT攻擊的各個階段。
上述的防御方式各有各自的特點，惡意代碼檢測產(chǎn)品通常部署在互聯(lián)網(wǎng)入口點，可以在APT攻擊的初始階段對攻擊進行檢測、發(fā)現(xiàn)，例如可以抓取攜帶后門程序、異常代碼的word文件、pdf文件等等;網(wǎng)絡入侵檢測可以在網(wǎng)路層對APT攻擊行為進行檢測，如果攻擊者通過跳板對內網(wǎng)進行滲透攻擊，網(wǎng)絡入侵檢測系統(tǒng)可以進行預警、定位;數(shù)據(jù)防泄密可以防止APT攻擊者將計算機中的敏感數(shù)據(jù)外傳，可以有效降低攻擊行為所造成的損失;大數(shù)據(jù)分析的檢測比較全面，可以覆蓋APT攻擊的各個環(huán)節(jié)。
楊紅光認為，雖然每種防御方式針對APT攻擊的各個階段進行檢測，但是由于APT攻擊的復雜性、隱蔽性，不排除有漏報或誤報的可能，所以APT攻擊的檢測和防御產(chǎn)品同樣需要跟隨信息安全的發(fā)展動態(tài)，持續(xù)的進行改進。
他建議,在不能完全擋住APT攻擊的情況下，要將APT攻擊的危害降到最小，就需要做到以下幾點：
◆要有APT攻擊檢測和防御的手段，可以通過安全檢測產(chǎn)品，由專業(yè)的安全服務人員進行運維、分析，及時發(fā)現(xiàn)、處置攻擊事件。
◆要定期組織信息安全培訓，警惕攻擊者結合社會工程學進行欺騙攻擊。
◆要加強對重要信息資產(chǎn)的保護，從訪問控制、用戶權限、安全審計等等層面對控制措施和手段進行優(yōu)化和加強。
針對APT攻擊，啟明星辰為用戶提供了專業(yè)的安全產(chǎn)品以及專業(yè)的安全服務。啟明星辰依托惡意代碼檢測引擎、網(wǎng)絡入侵檢測引擎、蜜罐系統(tǒng)、Armin大數(shù)據(jù)分析系統(tǒng)等安全產(chǎn)品實現(xiàn)對用戶信息系統(tǒng)的安全監(jiān)測，然后由其安全服務團隊的專家對APT攻擊進行分析、跟蹤，幫助用戶及時處理APT攻擊事件。
分享文章：人機結合共御APT攻擊
URL標題：http://m.5511xx.com/article/cdgiosd.html
