終端設(shè)備和網(wǎng)絡(luò)事件“自動(dòng)化響應(yīng)”到底有多么棘手?

責(zé)任編輯:editor005

作者:Alpha_h4ck

2017-05-09 14:46:33

摘自:黑客與極客

很多企業(yè)都部署了自動(dòng)化系統(tǒng)來(lái)預(yù)防、檢測(cè)或調(diào)查安全威脅事件,但是實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)和終端設(shè)備的事件響應(yīng)以及威脅緩解的自動(dòng)化仍是目前一個(gè)非常棘手的問題

很多企業(yè)都部署了自動(dòng)化系統(tǒng)來(lái)預(yù)防、檢測(cè)或調(diào)查安全威脅事件,但是實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)和終端設(shè)備的事件響應(yīng)以及威脅緩解的自動(dòng)化仍是目前一個(gè)非常棘手的問題。

1.png

  實(shí)現(xiàn)事件響應(yīng)的自動(dòng)化

這里所謂的事件響應(yīng)及威脅緩解自動(dòng)化,指的是自動(dòng)恢復(fù)終端設(shè)備的系統(tǒng)、將設(shè)備從企業(yè)網(wǎng)絡(luò)中自動(dòng)隔離、或是停止特定的網(wǎng)絡(luò)進(jìn)程以快速有效地對(duì)攻擊事件進(jìn)行響應(yīng)。這種自動(dòng)化的應(yīng)急響應(yīng)機(jī)制在未來(lái)是非常有潛力的,但是在它能夠得到廣泛采用之前,我們還有很多棘手的問題需要去解決。

首先,企業(yè)還需要積累安全自動(dòng)化工具的使用經(jīng)驗(yàn),并深入理解這些工具的運(yùn)行機(jī)制,這樣他們才能清楚這些工具的優(yōu)勢(shì)與劣勢(shì)。但是如果想要實(shí)現(xiàn)完整的自動(dòng)化事件響應(yīng),可能還需要三到五年的時(shí)間才能變?yōu)楝F(xiàn)實(shí)。

實(shí)際上,有些安全研究人員已經(jīng)在這個(gè)方面進(jìn)行過許多嘗試了。如果每一次遇到的都是相同的威脅指標(biāo),那么安全分析師從自動(dòng)化工具或機(jī)器學(xué)習(xí)算法那里所得到的操作建議都會(huì)是相同的,然后我們只需要點(diǎn)擊“確認(rèn)”按鈕再進(jìn)行下一步操作就可以了。但是如果同樣的操作我們要進(jìn)行500次或1000次的話,那么我們完全可以將這個(gè)過程自動(dòng)化實(shí)現(xiàn),這樣就可以讓安全分析人員將注意力放在一些更加困難或復(fù)雜的事件上了。

2.png

而企業(yè)同樣可以在不使用機(jī)器學(xué)習(xí)系統(tǒng)的情況下實(shí)現(xiàn)這種事件響應(yīng)的自動(dòng)化,但前提是他們必須有自己公司的事件響應(yīng)規(guī)范化流程,也就一種能夠指導(dǎo)技術(shù)人員完成事件響應(yīng)的手冊(cè)。我們只需要拿出這份手冊(cè),選擇一款安全自動(dòng)化工具,然后通過測(cè)試來(lái)確定手冊(cè)中有多少事件響應(yīng)的步驟是否可以自動(dòng)化完成的。這是一種非常有效的方法,這樣我們就可以確定一款工具是否真的適用于我們的企業(yè)環(huán)境,以及它可以給我們提供多大的幫助。哪怕它只能實(shí)現(xiàn)部分操作步驟的自動(dòng)化,那也可以提高我們的工作效率。

比如說(shuō)你企業(yè)的終端設(shè)備感染了惡意軟件,而根據(jù)響應(yīng)手冊(cè)的內(nèi)容,你需要進(jìn)行50步操作才可以清除這個(gè)惡意軟件,這肯定會(huì)消耗你大量的時(shí)間。但是,如果其中80%的步驟可以自動(dòng)化完成的話,那么你可以想象一下這將會(huì)給你的安全團(tuán)隊(duì)節(jié)省下多少的時(shí)間?如果你能做到的話,自動(dòng)化所帶來(lái)的價(jià)值將是不可估量的。

3.png

投資公司Scale Venture Partners的高管Ariel Tseitlin表示,他現(xiàn)在在決定投資哪一家安全初創(chuàng)企業(yè)之前,主要考慮的是這家公司是否已經(jīng)準(zhǔn)備好去接受并實(shí)現(xiàn)自動(dòng)化事件響應(yīng)技術(shù)。他認(rèn)為,就安全成熟度這一點(diǎn)來(lái)看,不同的企業(yè)所處的階段是不一樣的。如果你從來(lái)沒考慮過事件響應(yīng)這個(gè)過程,那么討論自動(dòng)化想必就為時(shí)尚早了。首先你要做的就是整理出企業(yè)所面臨的風(fēng)險(xiǎn)和威脅,以及你的安全控制方法,然后你才可以去考慮具體的事件響應(yīng)步驟。但是當(dāng)你已經(jīng)考慮周全之后,自動(dòng)化肯定是部署事件響應(yīng)方案的最有效方法。

清理終端設(shè)備

自動(dòng)化在終端設(shè)備上最早的使用是對(duì)惡意文件進(jìn)行刪除或隔離以避免其對(duì)設(shè)備造成損害?,F(xiàn)在,幾乎每一臺(tái)PC上都安裝了某種形式的反病毒產(chǎn)品,而且很多企業(yè)也采用了基于行為的惡意軟件檢測(cè)方案來(lái)發(fā)現(xiàn)新的威脅。

如果想要與惡意軟件進(jìn)行斗爭(zhēng),手動(dòng)響應(yīng)肯定是來(lái)不及的,因?yàn)閻阂廛浖梢栽诙虝r(shí)間內(nèi)迅速損壞我們的設(shè)備,甚至還可以擴(kuò)散感染同一網(wǎng)絡(luò)系統(tǒng)中的其他設(shè)備。但是,如果用戶點(diǎn)擊了一條惡意鏈接或打開了一個(gè)惡意文件,而此時(shí)他所感染的惡意軟件又能夠躲避所有反病毒產(chǎn)品的檢測(cè),那我們?cè)撛趺崔k呢?

常見的處理步驟就是保存設(shè)備系統(tǒng)的副本以便之后對(duì)其進(jìn)行取證分析,擦除設(shè)備數(shù)據(jù),然后用備份文件將系統(tǒng)恢復(fù)至之前干凈的狀態(tài)。完成這些操作之后,用戶應(yīng)該去接受一些反釣魚培訓(xùn),以避免同樣的事情再次發(fā)生。

其實(shí),某些企業(yè)實(shí)現(xiàn)這種自動(dòng)化處理過程要輕松得多。有些企業(yè)采用了完整的虛擬桌面系統(tǒng),從本質(zhì)上來(lái)說(shuō),他們所使用的桌面系統(tǒng)永遠(yuǎn)是新的,因?yàn)槲锢碓O(shè)備只是用于托管虛擬桌面的主機(jī)而已。同樣的,如果一家企業(yè)的員工使用的是類似Office365這樣的云平臺(tái)工作,并且將所有的工作文檔都存儲(chǔ)在云端或公司服務(wù)器中,那么恢復(fù)系統(tǒng)也是非常簡(jiǎn)單的。

無(wú)論是上述哪一種情況,丟失有價(jià)值文件的風(fēng)險(xiǎn)都是非常小的,就算員工一不小心感染了惡意軟件,我們也能最大程度地降低它們所帶來(lái)的損失。

但是對(duì)于那些重度腦力工作者來(lái)說(shuō),這個(gè)方案也許就不可行了。比如說(shuō)某個(gè)在營(yíng)銷部門工作的人,他每天都要處理新的廣告文案或PPT演示文件,而很多資料都保存在本地計(jì)算機(jī)中。這也就意味著,當(dāng)他每天上班時(shí)面對(duì)的都是一臺(tái)新的設(shè)備,這將給他們帶來(lái)多大的不便,因此很多企業(yè)一直都不愿意采取這種方法。

隔離威脅

另一種常用的自動(dòng)化緩解方案就是將受感染的設(shè)備從網(wǎng)絡(luò)系統(tǒng)中隔離出來(lái)。你可以不擦除設(shè)備中的數(shù)據(jù),而且它們也不會(huì)進(jìn)一步感染網(wǎng)絡(luò)系統(tǒng)中其他的主機(jī)設(shè)備。但如果你想做到這一點(diǎn),那么就不只是采取終端保護(hù)技術(shù)那么簡(jiǎn)單了。

隔離設(shè)備需要涉及到網(wǎng)絡(luò)訪問控制,如果你在受感染設(shè)備與企業(yè)網(wǎng)絡(luò)之間部署了網(wǎng)絡(luò)訪問控制系統(tǒng),那么當(dāng)你的設(shè)備受感染之后,它會(huì)自動(dòng)將該設(shè)備從網(wǎng)絡(luò)中隔離出去。

5.png

但是對(duì)于一個(gè)大型組織而言,這種系統(tǒng)的部署過程很可能非常的困難,因?yàn)樨?fù)責(zé)設(shè)置網(wǎng)絡(luò)的是一個(gè)部門,而負(fù)責(zé)管理終端設(shè)備的又是另一個(gè)部門。這就需要合作了,但部門之間的合作并沒有我們想象的那么簡(jiǎn)單。

除此之外,我們還要確定到底有多少設(shè)備需要進(jìn)行隔離。如果我只用隔離一個(gè)系統(tǒng),那就很簡(jiǎn)單了。但是如果我現(xiàn)在需要處理一大堆的系統(tǒng),那么情況就非常復(fù)雜了。

智能網(wǎng)絡(luò)

現(xiàn)在,市場(chǎng)給我們提供了大量能夠檢測(cè)網(wǎng)絡(luò)可疑活動(dòng)的工具。當(dāng)你發(fā)現(xiàn)企業(yè)營(yíng)銷部門有人在進(jìn)行網(wǎng)絡(luò)掃描,而這按理來(lái)說(shuō)是不應(yīng)該發(fā)生的,那么你就需要隔離這個(gè)系統(tǒng)?;蛘哒f(shuō),當(dāng)你發(fā)現(xiàn)有系統(tǒng)正在與公司的命令控制服務(wù)器進(jìn)行非法的信息傳輸,那么你可以從系統(tǒng)層或網(wǎng)絡(luò)層切斷它們的鏈接。這是很常見的處理方法,很多公司也正在這樣做。

但是我們所面對(duì)的網(wǎng)絡(luò)攻擊越復(fù)雜,自動(dòng)化響應(yīng)也就會(huì)越困難。雖然困難,但這并不意味著網(wǎng)絡(luò)廠商沒有進(jìn)行過嘗試。如果你參加了上一屆RSA大會(huì),那么你就會(huì)發(fā)現(xiàn)很多網(wǎng)絡(luò)安全廠商都在展示自己的自動(dòng)化產(chǎn)品,有的產(chǎn)品可以自動(dòng)化檢測(cè)網(wǎng)絡(luò)攻擊的發(fā)生,而有的則能夠自動(dòng)化響應(yīng)這些攻擊,但是安全專家們意見的分歧就在于這種事件響應(yīng)的自動(dòng)化實(shí)現(xiàn)到底是不是一個(gè)好主意。

6.png

有些人擔(dān)心,在沒有人類參與的情況下采取行動(dòng),尤其是當(dāng)一個(gè)系統(tǒng)沒有得到100%確認(rèn)時(shí)貿(mào)然采取措施的話,這樣不僅會(huì)妨礙企業(yè)的正常運(yùn)轉(zhuǎn),而且還有可能造成意想不到的后果。但也有其他的人認(rèn)為,攻擊者的行動(dòng)實(shí)在是太快了,所以我們需要自動(dòng)化工具來(lái)幫助我們抵御網(wǎng)絡(luò)攻擊。有的公司還表示,如果自動(dòng)化工具的誤報(bào)率(假陽(yáng)性)過高,那么他們寧愿將警報(bào)信息交給安全分析師來(lái)進(jìn)行手動(dòng)響應(yīng)。

但幸運(yùn)的是,由于科學(xué)技術(shù)的不斷進(jìn)步,我們的安全分析專家所能處理和監(jiān)控的內(nèi)容相比幾年前已經(jīng)提升了很多,這無(wú)疑是一個(gè)好消息。但壞消息就是,我們無(wú)法確定自己是否能夠跟得上攻擊者創(chuàng)新的腳步。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)