網(wǎng)絡(luò)攻擊防護體系發(fā)展趨勢與建設(shè)思路

①偵察跟蹤階段

主要是發(fā)現(xiàn)確認(rèn)目標(biāo)，收集目標(biāo)網(wǎng)絡(luò)、服務(wù)狀態(tài)、相關(guān)人員電子郵件、社交信任關(guān)系，確定入侵可能的渠道。

②武器構(gòu)建階段

主要是創(chuàng)建用于攻擊的武器，比如郵件中的惡意代碼附件、假冒網(wǎng)站或網(wǎng)站掛馬、遠程控制通信服務(wù)器等。

③突防利用與安裝植入階段

主要是利用系統(tǒng)或網(wǎng)絡(luò)漏洞、管理機制漏洞、人性弱點等將惡意代碼投遞到內(nèi)部目標(biāo)，獲得對系統(tǒng)的控制權(quán)。

④通信控制與達成目標(biāo)階段

主要是與外部黑客遠程控制服務(wù)器進行連接，周期性的確認(rèn)其存活狀態(tài)，接受指數(shù)據(jù)竊取、信息收集、破壞等最終任務(wù)。

黑客的攻擊成功主要還是基于我們目前靜態(tài)的、被動式防御體系的薄弱點，傳統(tǒng)的安全防護體系已經(jīng)逐漸不能適應(yīng)外部攻擊防護的需要。如何構(gòu)建新一代安全防護體系成了當(dāng)前的緊急工程。

二、構(gòu)建數(shù)據(jù)驅(qū)動的自適應(yīng)安全防護體系

預(yù)測階段

該階段的目標(biāo)是獲得一種攻擊“預(yù)測能力”，可從外部威脅情報中學(xué)習(xí)，以主動鎖定對現(xiàn)有系統(tǒng)和信息具有威脅的新型攻擊，并對漏洞劃定優(yōu)先級和定位。該情報將反饋到防護階段和檢測功能，從而構(gòu)成整個威脅處理流程的閉環(huán)。這里面有兩個關(guān)鍵要素：一是威脅情報本身；二是對威脅情報的利用。

所謂威脅情報，是指一組基于證據(jù)的描述威脅的關(guān)聯(lián)信息，包括威脅相關(guān)的環(huán)境信息、手法機制、指標(biāo)、影響以及行動建議等?？蛇M一步分為基礎(chǔ)數(shù)據(jù)、技術(shù)情報、戰(zhàn)術(shù)情報、戰(zhàn)略情報4 個層次。

基礎(chǔ)數(shù)據(jù), 例如PE 可執(zhí)行程序樣本、netflow 網(wǎng)絡(luò)流數(shù)據(jù)、終端日志、DNS 與whois 記錄等；

技術(shù)情報, 例如惡意遠程控制服務(wù)器地址、惡意網(wǎng)站、電話、釣魚郵件地址、惡意代碼HASH 值、修改的特定注冊表項、系統(tǒng)漏洞、異常賬號等；

戰(zhàn)術(shù)情報, 包括已發(fā)現(xiàn)的外部攻擊者和目標(biāo)信息、攻擊手段和過程、可能造成的攻擊影響、應(yīng)急響應(yīng)建議等；

戰(zhàn)略情報, 主要指社會、經(jīng)濟和文化動機、歷史攻擊軌跡和目標(biāo)趨勢、攻擊重點、攻擊組織的技術(shù)能力評估等。

利用這些情報成為后續(xù)防護、檢查和響應(yīng)的基礎(chǔ)，我們可以與現(xiàn)有防護系統(tǒng)充分結(jié)合，自下而上在網(wǎng)絡(luò)、系統(tǒng)、終端、應(yīng)用、業(yè)務(wù)各個層面進行外部攻擊的有效預(yù)防。

相關(guān)資料顯示，65%的企業(yè)和政府機構(gòu)計劃使用外部威脅情報服務(wù)增強安全檢測和防護能力。威脅情報的引入，是從被動式防護專向主動式預(yù)防的重要基石。

安全防護階段

該階段的目標(biāo)是通過一系列安全策略集、產(chǎn)品和服務(wù)可以用于防御攻擊。

這個方面的關(guān)鍵目標(biāo)是通過減少被攻擊面來提升攻擊門檻，并在受影響前攔截攻擊動作，主要分為加固與隔離、漏洞與補丁管理、轉(zhuǎn)移攻擊等三個方面。

加固與隔離方面，大部分企業(yè)在系統(tǒng)、網(wǎng)絡(luò)及終端方面進行了大量的投入和系統(tǒng)建設(shè)，包括使用防火墻、VLAN 等對不同網(wǎng)絡(luò)安全區(qū)域進行隔離和訪問策略控制，終端的802.1x 準(zhǔn)入控制與隔離，各類系統(tǒng)、網(wǎng)絡(luò)設(shè)備的安全補丁以及安全配置加固。

漏洞與補丁管理方面，盡管大多數(shù)企業(yè)都引入了漏洞掃描工具，并建立了漏洞發(fā)現(xiàn)、分析、補丁修復(fù)的完整工作機制，但漏洞與補丁管理最容易在兩個方面產(chǎn)生疏漏，一是漏洞情報獲取的滯后，二是設(shè)備資產(chǎn)梳理不清。非常容易導(dǎo)致信息安全的木桶效應(yīng)，即一塊短板導(dǎo)致整個防線崩潰。

轉(zhuǎn)移攻擊方面，簡單來說，該功能可是企業(yè)在黑客攻防中獲得時間上的非對稱優(yōu)勢，通過蜜罐、系統(tǒng)鏡像與隱藏等多種技術(shù)使攻擊者難以定位真正的系統(tǒng)核心以及可利用漏洞，以及隱藏、混淆系統(tǒng)接口和系統(tǒng)信息。

此項技術(shù)對于研究攻擊者手法、檢測防護系統(tǒng)不足甚至刻畫黑客的攻擊畫像等都十分有利，但考慮到該類技術(shù)的應(yīng)用場景復(fù)雜性，引入時應(yīng)考慮更加全面充分。

安全檢測階段

該階段的主要目標(biāo)是及時發(fā)現(xiàn)各類外部直接的或潛伏的攻擊。在這個階段是傳統(tǒng)安全防護體系中，各個企業(yè)投入大且最為依賴的部分，因此也是構(gòu)建數(shù)據(jù)驅(qū)動的自適應(yīng)安全防護架構(gòu)最需要做出改變的階段。

一是從傳統(tǒng)的只重視邊界流量（如互聯(lián)網(wǎng)與第三方入口的IPS）的安全檢測，發(fā)展為全流量檢測或至少具備任一網(wǎng)絡(luò)關(guān)鍵路徑流量的檢測能力，因為攻擊者不可避免地會繞過傳統(tǒng)的攔截和預(yù)防機制，一旦進入內(nèi)部傳統(tǒng)的檢測防護機制就難以發(fā)現(xiàn)。

二是從靜態(tài)的基于特征碼的檢測，如目前的IPS、防病毒、WAF 等，發(fā)展到基于異常的動態(tài)檢測，正如前面提到的，很多APT 攻擊者利用的是0day 漏洞或者利用經(jīng)過多態(tài)和變形的惡意代碼進行攻擊，無法被傳統(tǒng)基于特征碼的檢測手段發(fā)現(xiàn)，但通過異常行為分析是有可能發(fā)現(xiàn)的。

目前業(yè)界主要通過進入沙箱檢測技術(shù)，將網(wǎng)絡(luò)、終端、郵件等系統(tǒng)中獲取到的可執(zhí)行文件等在沙箱環(huán)境運行，并觀察相關(guān)進程創(chuàng)建或調(diào)用、文件或資源訪問行為、注冊表修改等是否存在異常。

安全響應(yīng)階段

該階段的目標(biāo)是一旦外部攻擊被識別，將迅速阻斷攻擊、隔離被感染系統(tǒng)和賬戶，防止進一步破壞系統(tǒng)或擴散。

常用的隔離能力包括，終端隔離、網(wǎng)絡(luò)層IP 封禁與隔離、系統(tǒng)進程、賬戶凍結(jié)、應(yīng)用層阻斷和主動拒絕響應(yīng)等。這些響應(yīng)措施在新一代數(shù)據(jù)驅(qū)動的自適應(yīng)安全防護體系中最重要的目標(biāo)是能夠跟基于大數(shù)據(jù)的安全檢測系統(tǒng)進行有效對接，自動根據(jù)檢測結(jié)果進行觸發(fā)或者提示人工判斷后自動觸發(fā)。

因此，在建立下一代安全防護體系過程中，必須把響應(yīng)階段與安全檢測階段一體化考慮。同時，在做好自身的響應(yīng)準(zhǔn)備時還要充分考慮外部服務(wù)商、合作方的共同應(yīng)急響應(yīng)或風(fēng)險傳導(dǎo)控制。