科来：抓住APT防护的短板

ZDNet至顶网软件频道消息： APT攻击无疑是这两年信息安全界最火的字眼。虽然用户和厂商不断部署更多创新的产品和技术解决方案，但有关APT攻击的热点话题一直未曾消退，反而有越演越烈之势。当今的网络攻击者们更是致力于寻找更具价值的目标，手法则越来越多样和隐蔽。

对APT攻击，科来总裁罗鹰表示，现在的攻击手段多种多样，利用各种系统漏洞或软件漏洞进行渗透的恶意代码，是关注较多的攻击手段。而将来利用或盗用合法的认证签名，利用浏览器漏洞和水坑攻击将替代邮件攻击将成为发展趋势，并且攻击者会更注重对虚拟机的逃逸技术，从而躲避安全厂商的动态检测技术。

传统的安全防御以特征检测为主，只有获得已知的攻击样本，提取到相应特征，才能有效进行检测。罗鹰认为，目前的防御系统普遍存在两个短板---一是对未知攻击的发现能力不足，二是缺乏全流量安全审计能力。

罗鹰表示利用0day漏洞进行的APT攻击，是非常难防御的未知攻击，虽然防御难度高，但业界公认的动态检测技术，则是一种有效的防御手段，可以通过执行样本来观察其所有行为，检测是否含有恶意的APT攻击代码。高级木马是会匹配目标主机环境的，只有环境匹配才可能诱导样本的木马行为；同时，高级木马又具备多种逃逸技术，甚至会通过是否具有人工动作判断是否为虚拟机，避免暴露自己。所以动态检测技术的优劣还在于防木马的逃逸检测能力，不被木马检测是关键。基于硬件指令模拟技术，则是一种更好的检测对抗技术，美国的安全厂商Fireeye的优势就在于此。

然而，对于APT防御，动态检测只是对抗恶意代码或样本的攻击阶段，对于攻击前和攻击后的行为分析，则需要有异常流量的检测技术和全流量审计的回查技术来配合。木马攻击成功后，潜伏下来后会通过隐蔽信道技术躲避检查，心跳数据非常少，甚至加密，混在大量的流量里，要辨别非常困难，犹如大海捞针。这需要有非常精确的应用和协议鉴别技术，通过建立异常行为模型可在一定程度上解决问题，也就是异常流量检测技术。罗鹰表示，无论攻击者如何隐藏，只要通过网络传输，必然会产生相应数据，所以全流量的安全审计是APT安全检测中必不可少的技术，其难点在于如何在大数据里快速过滤和回查数据。据了解，当前国内很多APT安全产品缺乏完善的全流量安全审计技术。APT的对抗技术上，也有基于白名单的可信安全平台，代表产品为Bit9，实现对终端软件的信誉鉴定，只有那些符合安全策略定义的软件才被认为可信和允许执行。然而其门槛较高，除了需要大规模的终端部署之外，还需要大量的服务器进行云计算。

在最后，罗鹰对当前APT防护手段做了对比和分析。美国Fireeye的特点是动态检测技术强大，采用硬件虚拟化技术，能有效的防止高级攻击对虚拟机的反检测，是目前最有效的APT动态检测技术，并且Fireeye通过收购实现了流量深度分析能力，方案上更加完善。而科来的技术特点类似于Fireeye，除了具备硬件虚拟化动态检测技术之外，科来一直专注于协议分析，在异常流量分析能力技术较强，并且具备全流量审计能力，对网络数据具有深度挖掘能力。同时其采用的私有云技术也更符合国内对安全管理的需求。

在网络空间日益被重视的今天，罗鹰认为APT攻击已经是国家网络空间对抗的一种手段。他表示国家网络空间对抗不可避免，美国为首的五只眼，以及联合更多国家的全球信息监控，会进一步推动全球各国重视网络空间对抗。APT攻击是其中的主要方式之一，我们需要借鉴美国在网络安全方面的投入和规划。但是，我们面对APT攻击防护起来难度要远高于美国，因为美国掌握了大量的网络资源和网络技术，如根域名服务器、操作系统、芯片、交换机、路由器等，我们要建立的防御体系，需要具备像Fireeye和Bit9那样有效的APT检测手段，同时具备对数据的追溯回查能力，做到对APT攻击的发现、追踪、取证和防御。