APT防御之用沙盒斬?cái)郃PT的“生命鏈條”

責(zé)任編輯:editor004

2014-07-04 13:51:40

摘自:中關(guān)村在線

今天,APT(高級(jí)持續(xù)性威脅)攻擊已經(jīng)不再是新鮮話題,但卻仍是令整個(gè)安全業(yè)界頭疼的問題。步,攻擊者利用自制的攻擊工具(利用已知的和0day等未知的安全漏洞),在企業(yè)的某一臺(tái)服務(wù)器或PC上種下木馬病毒

今天,APT(高級(jí)持續(xù)性威脅)攻擊已經(jīng)不再是新鮮話題,但卻仍是令整個(gè)安全業(yè)界頭疼的問題。作為將眾多滲透技術(shù)整合在一起實(shí)現(xiàn)的隱秘性攻擊手法——APT攻擊憑借特征未知、隱蔽性強(qiáng),持續(xù)時(shí)間長等特性,令傳統(tǒng)的安全防護(hù)解決方案幾乎全部失效。那么誰又能有效阻擊APT攻擊呢?目前來看,沙盒(模擬一個(gè)虛擬用戶環(huán)境)無疑是最有效的方法之一,因?yàn)槠鋽財(cái)嗔薃PT攻擊的“生命鏈條”。

APT防御之用沙盒斬?cái)郃PT的“生命鏈條”

為何說沙盒可以斬?cái)郃PT攻擊的“生命鏈條”?在解答這一問題之前,我們先來看一個(gè)典型的APT攻擊過程,大約分為五步:

第一步,攻擊者會(huì)盜用一個(gè)企業(yè)的供應(yīng)商或者合作伙伴的賬號(hào),從而達(dá)到訪問企業(yè)內(nèi)網(wǎng)的目的;

第二步,攻擊者利用自制的攻擊工具(利用已知的和0day等未知的安全漏洞),在企業(yè)的某一臺(tái)服務(wù)器或PC上種下木馬病毒;

第三步,該木馬會(huì)在企業(yè)網(wǎng)絡(luò)中不斷滲透,尋找企業(yè)關(guān)鍵的數(shù)據(jù)庫,盜取包括企業(yè)核心數(shù)據(jù),員工ID、信用卡密碼、手機(jī)號(hào)等重要信息;

第四步,通過FTP、郵件、甚至是更加隱秘的方式,不斷地把這些數(shù)據(jù)發(fā)送給攻擊者;

第五步,整個(gè)攻擊過程大約持續(xù)數(shù)個(gè)月,甚至是半年/一年。

這五步相互關(guān)聯(lián),也就形成了APT攻擊的“生命鏈條”。而其中最關(guān)鍵的當(dāng)屬第二步,即攻擊者利用0day等未知漏洞攻陷企業(yè)服務(wù)器或PC,該攻擊方式隱蔽性強(qiáng),傳統(tǒng)的入侵防御系統(tǒng)、防病毒系統(tǒng)、以及web應(yīng)用防火墻等均無法感知;而當(dāng)攻擊者完成“突破”之后,還要經(jīng)歷滲透(包括提權(quán)與遷移),竊聽,偷數(shù)據(jù)等過程,即APT攻擊需要一定的持續(xù)時(shí)間。由此不難看出,如果能夠打破APT攻擊隱蔽性和持續(xù)性這兩個(gè)特性,也就能斬?cái)嗥?ldquo;生命鏈條”,即可有效阻止APT攻擊,而沙盒就具備這樣的能力。

沙盒,即為一些不可靠的程序提供試驗(yàn)而不影響系統(tǒng)運(yùn)行的環(huán)境,有時(shí)也被稱作沙箱。

對(duì)于基于0day的APT攻擊,傳統(tǒng)的基于簽名的檢測方式確實(shí)難以識(shí)別,而通過沙盒所打造的虛擬運(yùn)行環(huán)境,我們即可通過其“行為”來判斷一個(gè)文件、一個(gè)訪問等是惡意的還是善意的,從而有效阻止APT攻擊。舉例來說,當(dāng)一個(gè)文件在虛擬的沙箱中運(yùn)行時(shí),如果我們發(fā)現(xiàn)其修改了注冊(cè)表、刪除了文件,或是自身創(chuàng)造出了新的文件,亦或是試圖訪問惡意網(wǎng)站,并下載一些病毒和木馬等等,那么即可確定這個(gè)文件是惡意的,即使我們現(xiàn)在沒有其特征碼,也可以防御它。與此同時(shí),我們還可提取其“特征碼”,在第一時(shí)間封堵這一未知(0day)威脅。

此外,沙盒還可快速發(fā)現(xiàn)網(wǎng)絡(luò)中的安全隱患,比如有一臺(tái)服務(wù)器/PC中了木馬,其可快速找到這臺(tái)設(shè)備,并且處理它(或隔離它),從而打斷APT攻擊的持續(xù)性。

通過上述介紹我們不難看出,沙盒的確是目前阻擊APT攻擊的最有效方法之一,其通過“行為”識(shí)別,打破其隱蔽特性;通過快速發(fā)現(xiàn)安全隱患(將其隔離,修補(bǔ)漏洞),打破其持續(xù)特性,從而斬?cái)嗔薃PT攻擊的“生命鏈條”,讓企業(yè)的信息安全更有保證!

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)