科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网软件频道应用软件科来:抓住APT防护的短板

科来:抓住APT防护的短板

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

科来的技术特点类似于Fireeye,除了具备硬件虚拟化动态检测技术之外,科来一直专注于协议分析,在异常流量分析能力技术较强,并且具备全流量审计能力,对网络数据具有深度挖掘能力。同时其采用的私有云技术也更符合国内对安全管理的需求。

来源:ZDNet软件频道 2014年9月16日

关键字: 科来软件 信息安全

  • 评论
  • 分享微博
  • 分享邮件

ZDNet至顶网软件频道消息: APT攻击无疑是这两年信息安全界最火的字眼。虽然用户和厂商不断部署更多创新的产品和技术解决方案,但有关APT攻击的热点话题一直未曾消退,反而有越演越烈之势。当今的网络攻击者们更是致力于寻找更具价值的目标,手法则越来越多样和隐蔽。

对APT攻击,科来总裁罗鹰表示,现在的攻击手段多种多样,利用各种系统漏洞或软件漏洞进行渗透的恶意代码,是关注较多的攻击手段。而将来利用或盗用合法的认证签名,利用浏览器漏洞和水坑攻击将替代邮件攻击将成为发展趋势,并且攻击者会更注重对虚拟机的逃逸技术,从而躲避安全厂商的动态检测技术。

传统的安全防御以特征检测为主,只有获得已知的攻击样本,提取到相应特征,才能有效进行检测。罗鹰认为,目前的防御系统普遍存在两个短板---一是对未知攻击的发现能力不足,二是缺乏全流量安全审计能力。

罗鹰表示利用0day漏洞进行的APT攻击,是非常难防御的未知攻击,虽然防御难度高,但业界公认的动态检测技术,则是一种有效的防御手段,可以通过执行样本来观察其所有行为,检测是否含有恶意的APT攻击代码。高级木马是会匹配目标主机环境的,只有环境匹配才可能诱导样本的木马行为;同时,高级木马又具备多种逃逸技术,甚至会通过是否具有人工动作判断是否为虚拟机,避免暴露自己。所以动态检测技术的优劣还在于防木马的逃逸检测能力,不被木马检测是关键。基于硬件指令模拟技术,则是一种更好的检测对抗技术,美国的安全厂商Fireeye的优势就在于此。

然而,对于APT防御,动态检测只是对抗恶意代码或样本的攻击阶段,对于攻击前和攻击后的行为分析,则需要有异常流量的检测技术和全流量审计的回查技术来配合。木马攻击成功后,潜伏下来后会通过隐蔽信道技术躲避检查,心跳数据非常少,甚至加密,混在大量的流量里,要辨别非常困难,犹如大海捞针。这需要有非常精确的应用和协议鉴别技术,通过建立异常行为模型可在一定程度上解决问题,也就是异常流量检测技术。罗鹰表示,无论攻击者如何隐藏,只要通过网络传输,必然会产生相应数据,所以全流量的安全审计是APT安全检测中必不可少的技术,其难点在于如何在大数据里快速过滤和回查数据。据了解,当前国内很多APT安全产品缺乏完善的全流量安全审计技术。APT的对抗技术上,也有基于白名单的可信安全平台,代表产品为Bit9,实现对终端软件的信誉鉴定,只有那些符合安全策略定义的软件才被认为可信和允许执行。然而其门槛较高,除了需要大规模的终端部署之外,还需要大量的服务器进行云计算。

在最后,罗鹰对当前APT防护手段做了对比和分析。美国Fireeye的特点是动态检测技术强大,采用硬件虚拟化技术,能有效的防止高级攻击对虚拟机的反检测,是目前最有效的APT动态检测技术,并且Fireeye通过收购实现了流量深度分析能力,方案上更加完善。而科来的技术特点类似于Fireeye,除了具备硬件虚拟化动态检测技术之外,科来一直专注于协议分析,在异常流量分析能力技术较强,并且具备全流量审计能力,对网络数据具有深度挖掘能力。同时其采用的私有云技术也更符合国内对安全管理的需求。

在网络空间日益被重视的今天,罗鹰认为APT攻击已经是国家网络空间对抗的一种手段。他表示国家网络空间对抗不可避免,美国为首的五只眼,以及联合更多国家的全球信息监控,会进一步推动全球各国重视网络空间对抗。APT攻击是其中的主要方式之一,我们需要借鉴美国在网络安全方面的投入和规划。但是,我们面对APT攻击防护起来难度要远高于美国,因为美国掌握了大量的网络资源和网络技术,如根域名服务器、操作系统、芯片、交换机、路由器等,我们要建立的防御体系,需要具备像Fireeye和Bit9那样有效的APT检测手段,同时具备对数据的追溯回查能力,做到对APT攻击的发现、追踪、取证和防御。


 

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章