美國FBI（聯(lián)邦調(diào)查局）一位高管曾說：世界上只有兩種企業(yè)，一種是知道自己已被黑客APT入侵的；另一種是還渾然未知的。
APT指高級持續(xù)性威脅（Advanced Persistent Threat），它的“高級”在于“用間諜打頭陣”。例如，谷歌遭受的著名的“極光行動”中，黑客研究了一位谷歌普通員工與好友的共同愛好，偽裝成其好友向其發(fā)送郵件，員工訪問郵件后中招，谷歌內(nèi)部終端被未知惡意程序滲透數(shù)月，竊取了大量信息。
“它潛伏下來，不做什么壞事，每天像正常‘員工’一樣來系統(tǒng)‘上班’，慢慢的傳統(tǒng)安全體系會認(rèn)為它并沒有攻擊的屬性。”亞信安全通用安全產(chǎn)品總經(jīng)理童寧解釋，APT的善偽裝、善潛伏、伺機(jī)而動，讓網(wǎng)絡(luò)安全的“老三樣”（防火墻、入侵檢測、殺毒軟件）防不勝防，迫切需要一種全新的網(wǎng)絡(luò)安全治理策略。為此，近日亞信安全發(fā)布安全高級威脅治理XDR戰(zhàn)略，將發(fā)現(xiàn)、響應(yīng)等能力組合起來，從監(jiān)測、發(fā)現(xiàn)、驗(yàn)傷、應(yīng)對、止損等多個(gè)節(jié)點(diǎn)上加強(qiáng)安全治理，打出安全“組合拳”，拆穿黑客中的間諜組織以及背后的主腦“黑手”。
攻擊手段“大集錦”，辨識黑客“門派”
現(xiàn)實(shí)中的案件發(fā)生后，警方會把周邊的攝像頭數(shù)據(jù)全部調(diào)出來，關(guān)聯(lián)一下，找到人物和時(shí)間線索，很快可以抓到罪犯。但是在虛擬的網(wǎng)絡(luò)環(huán)境里，人們看不到人，看到的只有程序、算法、文件等虛擬的字符串，如何鎖定黑客呢？
“不同的黑客有不同的‘招法’，就像我們在武俠故事里經(jīng)常看到的每一個(gè)派別都有自己的招法，其實(shí)在安全行業(yè)里面也是這樣，一個(gè)黑客是哪個(gè)組織的，可以通過看他的攻擊手法和特征來判斷。”亞信安全通用產(chǎn)品管理副總經(jīng)理劉政平說，因此針對黑客的行為去建立一些模型或者規(guī)則，可以對黑客的攻擊進(jìn)行分析判斷，這樣的研究被稱為IOC，即黑客攻擊行為的研究。因此，情報(bào)機(jī)制非常重要，“雖然黑客在暗、我們在明，但將他們的蛛絲馬跡綜合起來，將非常有助于對未知威脅的防范。”
一個(gè)企業(yè)對于威脅的偵測能力與其掌握的威脅情報(bào)體量和分析威脅情報(bào)的能力密切相關(guān)。這就好比一個(gè)人的知識廣度和分析能力決定了他的認(rèn)知能力。如何能夠?qū)τ谕{既不“風(fēng)聲鶴唳”，也不“馬虎大意”呢？
為了更準(zhǔn)確預(yù)測黑客試探背后的威脅，亞信安全形成了本地和云端威脅情報(bào)雙回路的體系。劉政平解釋，比如當(dāng)企業(yè)中有大量的網(wǎng)絡(luò)數(shù)據(jù)流，或者惡意文本，該體系可以據(jù)此通過威脅情報(bào)去檢索，看看這種東西有沒有在企業(yè)其他地方出現(xiàn)過、發(fā)生過，它的攻擊本質(zhì)是什么，如何預(yù)防。如果本地沒有匹配的威脅情報(bào)，將進(jìn)一步把這些異常表現(xiàn)放到云端威脅情報(bào)庫匹配，尋找蛛絲馬跡。“前者是基于我們幫助企業(yè)來做相關(guān)的知識庫和知識體系；后者是購買、共建的全球范圍情報(bào)體系。”劉政平說，這兩個(gè)體系互為補(bǔ)充、互通有無。當(dāng)本地威脅情報(bào)確認(rèn)后，會交給云端威脅情報(bào)共享給全球的其他用戶使用。其他用戶的本地情報(bào)也會參與組建威脅情報(bào)，共享共用。
練就“火眼金睛”，定性、定量查出真威脅
有安全人士慨嘆：有了APT，網(wǎng)絡(luò)的世界也不再是“非黑即白”了。
以往的病毒就是病毒，它們的特征會被集合進(jìn)病毒庫，列進(jìn)“黑名單”中。系統(tǒng)不斷更新病毒庫，就能不斷識別這些被通緝的“病毒”。“人們越來越認(rèn)識到，防范已知威脅遠(yuǎn)遠(yuǎn)不夠，未知威脅、高級威脅開始對我們的企業(yè)產(chǎn)生巨大的破壞。”亞信安全產(chǎn)品總監(jiān)白日說，例如，伊朗布什爾核電站遭到Stuxnet蠕蟲攻擊、烏克蘭電廠的勒索病毒爆發(fā)……這意味著殺毒軟件、身份認(rèn)證、防火墻的“防守打法”開始不奏效了。
2010年開始，包括機(jī)器學(xué)習(xí)、行為學(xué)習(xí)、大數(shù)據(jù)、關(guān)聯(lián)分析在內(nèi)的可預(yù)測技術(shù)開始幫助人們發(fā)現(xiàn)未知的可疑威脅。然而，單純地發(fā)現(xiàn)帶來的是“告警”無數(shù)的窘?jīng)r。
“就好像每天有無數(shù)的嫌犯進(jìn)入警察的視野，怎么分辨轉(zhuǎn)變成主要問題。”白日說，企業(yè)需要處理和響應(yīng)的威脅告警越來越多，相當(dāng)大部分需要人工進(jìn)行干預(yù)。企業(yè)的痛點(diǎn)是，人力不夠，不會處理。
“企業(yè)看到了告警，但看不懂威脅，不知道該如何判斷威脅是不是真實(shí)發(fā)生了，也不知道該怎么去確認(rèn)這個(gè)威脅的本質(zhì)，弄清威脅的攻擊者有什么意圖，隨后會產(chǎn)生什么樣的影響。”白日解釋，也就是說，大部分收到威脅告警的企業(yè)不知道下一步怎么去作定性和定量的分析，定性是弄清楚黑客的意圖，定量是弄清損失情況及被攻擊到哪一步。
“定性分析首先判斷告警是真還是假；其次判斷威脅的本質(zhì)是經(jīng)濟(jì)類的犯罪，還是民事類的犯罪，例如類似于加密DDoS軟件攻擊，還是一個(gè)惡意釣魚的攻擊，或挖礦攻擊等，通過攻擊模式判斷意圖。”白日解釋，深度威脅分析設(shè)備可以在沙箱的環(huán)境下，高效率地模擬運(yùn)行外部攻擊，判斷攻擊意圖。
定量分析通過網(wǎng)絡(luò)取證和主機(jī)取證的技術(shù)，把黑客的進(jìn)入路徑、留下的痕跡進(jìn)行追蹤和分析。白日解釋，就如同在小區(qū)的攝像頭上發(fā)現(xiàn)黑客進(jìn)入到小區(qū)之后怎么進(jìn)入到家里，又做了什么事情一樣，還原事件的經(jīng)過。通過進(jìn)行場景回溯，能夠得知網(wǎng)絡(luò)上的主機(jī)或者終端遭受哪些感染、破壞或竊取。
精密編排“預(yù)案”，迅速應(yīng)急處理
掌握了一切情報(bào)，并且還原了案件的發(fā)生，最終是為了實(shí)施“抓捕”。
“為了做到快速響應(yīng)必須有‘預(yù)案’，我們可以根據(jù)威脅的性質(zhì)，通過威脅響應(yīng)的腳本來執(zhí)行相關(guān)的響應(yīng)策略。”童寧解釋，例如接到了加密的勒索郵件攻擊，可以先到郵件服務(wù)器上把相關(guān)的郵件刪除，然后通過終端（電腦）來做進(jìn)一步的恢復(fù)處理，最后再在網(wǎng)關(guān)上建“防護(hù)網(wǎng)”防止類似的加密勒索郵件再次攻擊。
“預(yù)案”是為了告訴企業(yè)，在受到某類攻擊之后，按照一定的流程操作就可以把損失或影響減到最小，并且提高自身的防護(hù)能力。
“我們提出通過精密編排能力打造一套安全聯(lián)動運(yùn)維體系的理念。”白日表示，利用精密編排的聯(lián)動安全解決方案將安全產(chǎn)品以及安全流程連接和整合起來，通過全面收集的安全數(shù)據(jù)和告警，集成人工專家以及機(jī)器學(xué)習(xí)的力量來進(jìn)行事故分析。
為此，亞信安全提出將整個(gè)威脅發(fā)現(xiàn)、處理、響應(yīng)流程中的“準(zhǔn)備、發(fā)現(xiàn)、分析、遏制、消除、恢復(fù)、優(yōu)化”7個(gè)階段整合為XDR方案。
劉政平解釋：“X是指各種可能的場景，不管黑客在什么場景攻擊，工業(yè)還是車聯(lián)網(wǎng)，都要有相應(yīng)的應(yīng)對方式。D是指傳感器，在虛擬世界，不管是在云的架構(gòu)上，還是網(wǎng)絡(luò)架構(gòu)上，還是在終端層面，都要有不同的監(jiān)控機(jī)制和數(shù)據(jù)的還原機(jī)制。R是指響應(yīng)，通過精密編排，根據(jù)不同的業(yè)務(wù)特征、不同的攻擊來編排精準(zhǔn)的響應(yīng)，而且越來越傾向于自動化。”
什么樣的技術(shù)能讓響應(yīng)來得更快、更簡單？
童寧認(rèn)為，“紅客”經(jīng)驗(yàn)的積累和提煉，所形成的響應(yīng)預(yù)案將能夠推動APT治理能力的進(jìn)化。“XDR是一個(gè)開放的方案，需要未來更多的經(jīng)驗(yàn)、數(shù)據(jù)和技術(shù)的積累，目的是用融合力改變業(yè)內(nèi)分散片面的堆疊式的安全應(yīng)對‘招數(shù)’，形成‘組合拳’，應(yīng)對處心積慮的APT。”（記者 張佳星）