科来:抓住APT防护的短板

日期: 2014-09-15 来源:TechTarget中国

APT攻击无疑是这两年信息安全界最火的字眼。虽然用户和厂商不断部署更多创新的产品和技术解决方案,但有关APT攻击的热点话题一直未曾消退,反而有越演越烈之势。当今的网络攻击者们更是致力于寻找更具价值的目标,手法则越来越多样和隐蔽。

对APT攻击,科来总裁罗鹰表示,现在的攻击手段多种多样,利用各种系统漏洞或软件漏洞进行渗透的恶意代码,是关注较多的攻击手段。而将来利用或盗用合法的认证签名,利用浏览器漏洞和水坑攻击将替代邮件攻击将成为发展趋势,并且攻击者会更注重对虚拟机的逃逸技术,从而躲避安全厂商的动态检测技术。

传统的安全防御以特征检测为主,只有获得已知的攻击样本,提取到相应特征,才能有效进行检测。罗鹰认为,目前的防御系统普遍存在两个短板—一是对未知攻击的发现能力不足,二是缺乏全流量安全审计能力。

罗鹰表示利用0day漏洞进行的APT攻击,是非常难防御的未知攻击,虽然防御难度高,但业界公认的动态检测技术,则是一种有效的防御手段,可以通过执行样本来观察其所有行为,检测是否含有恶意的APT攻击代码。高级木马是会匹配目标主机环境的,只有环境匹配才可能诱导样本的木马行为;同时,高级木马又具备多种逃逸技术,甚至会通过是否具有人工动作判断是否为虚拟机,避免暴露自己。所以动态检测技术的优劣还在于防木马的逃逸检测能力,不被木马检测是关键。基于硬件指令模拟技术,则是一种更好的检测对抗技术,美国的安全厂商Fireeye的优势就在于此。

然而,对于APT防御,动态检测只是对抗恶意代码或样本的攻击阶段,对于攻击前和攻击后的行为分析,则需要有异常流量的检测技术和全流量审计的回查技术来配合。木马攻击成功后,潜伏下来后会通过隐蔽信道技术躲避检查,心跳数据非常少,甚至加密,混在大量的流量里,要辨别非常困难,犹如大海捞针。这需要有非常精确的应用和协议鉴别技术,通过建立异常行为模型可在一定程度上解决问题,也就是异常流量检测技术。罗鹰表示,无论攻击者如何隐藏,只要通过网络传输,必然会产生相应数据,所以全流量的安全审计是APT安全检测中必不可少的技术,其难点在于如何在大数据里快速过滤和回查数据。据了解,当前国内很多APT安全产品缺乏完善的全流量安全审计技术。APT的对抗技术上,也有基于白名单的可信安全平台,代表产品为Bit9,实现对终端软件的信誉鉴定,只有那些符合安全策略定义的软件才被认为可信和允许执行。然而其门槛较高,除了需要大规模的终端部署之外,还需要大量的服务器进行云计算。

在最后,罗鹰对当前APT防护手段做了对比和分析。美国Fireeye的特点是动态检测技术强大,采用硬件虚拟化技术,能有效的防止高级攻击对虚拟机的反检测,是目前最有效的APT动态检测技术,并且Fireeye通过收购实现了流量深度分析能力,方案上更加完善。而科来的技术特点类似于Fireeye,除了具备硬件虚拟化动态检测技术之外,科来一直专注于协议分析,在异常流量分析能力技术较强,并且具备全流量审计能力,对网络数据具有深度挖掘能力。同时其采用的私有云技术也更符合国内对安全管理的需求。

在网络空间日益被重视的今天,罗鹰认为APT攻击已经是国家网络空间对抗的一种手段。他表示国家网络空间对抗不可避免,美国为首的五只眼,以及联合更多国家的全球信息监控,会进一步推动全球各国重视网络空间对抗。APT攻击是其中的主要方式之一,我们需要借鉴美国在网络安全方面的投入和规划。但是,我们面对APT攻击防护起来难度要远高于美国,因为美国掌握了大量的网络资源和网络技术,如根域名服务器、操作系统、芯片、交换机、路由器等,我们要建立的防御体系,需要具备像Fireeye和Bit9那样有效的APT检测手段,同时具备对数据的追溯回查能力,做到对APT攻击的发现、追踪、取证和防御。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

相关推荐

  • 科来:发现追踪取证防御 让APT自主可控

    近来,APT攻击已经成为业界关注和讨论的热点,根据Fireeye APT报告数据显示,2013年来自HTTP的APT攻击是来自邮件攻击的5倍,而且2014年将会有更多的APT是来自于HTTP。

  • 2011回顾:新环境下网络安全堪忧

    2011年逐渐接近尾声了,又到了我们总结过去、展望未来的时候。今年,安全业界依然是不平凡的一年,随着云计算、移动互联网等新技术的落地与广泛的应用,新的安全风险以及出现的更多的未知安全威胁让整个安全业界有些措手不及。