內容目錄
0 引 言
1 外部攻擊模式與薄弱點利用要點分析
·偵察跟蹤階段
·武器構建階段
·突防利用與安裝植入階段
·通信控制與達成目標階段
2 構建數據驅動的自適應安全防護體系 ·預測階段·安全防護階段·安全檢測階段·安全響應階段
3 結 語
00
引 言
隨著APT 攻擊事件的日益增多，其組織化、潛伏性、持續性、利用0day 漏洞的攻擊特點，導致大多數企業采用的傳統的基于防火墻、IPS 等邊界防護以及病毒惡意特征代碼檢測等靜態安全防護體系已經越來越不能適應外部攻擊者和攻擊手段的變化，也越來越不能適應更加開放、邊界更加模糊、日益復雜而又漏洞百出的各類系統和應用程序的發展趨勢。
基于攻擊能力隨著時代的變化而顯著提升，改進、重構已經相對滯后的攻擊防御體系已勢在必行。
本文依據對典型APT 攻擊事件過程的分析，提煉出的被攻擊者安全防護體系的薄弱環節，并依據業界最新提出的PPDR 安全防護體系建設理論，結合作者多年工作實際經驗，闡述了傳統信息安全防護體系的未來建設發展的目標與方法，實現從靜態特征檢測到動態異常檢測的轉變、從邊界防護向全網防護的轉變、從被動防御到充分利用威脅情報進行主動防護的轉變。
01
外部攻擊模式與薄弱點利用要點分析
根據近幾年比較著名的APT 攻擊事件的分析，黑客攻擊的過程主要分為以下幾個階段：
偵察跟蹤階段
主要是發現確認目標，收集目標網絡、服務狀態、相關人員電子郵件、社交信任關系，確定入侵可能的渠道。例如臺灣第一銀行ATM 吐鈔事件中，惡意代碼是來自第一銀行英國倫敦分行電腦主機和2 個存儲電話錄音的硬盤，而并非臺灣總行直接被入侵。這表明，黑客通過前期偵察準確的定位倫敦分行作為入侵的初始目標，并了解其內部網絡互聯互通的情況。
武器構建階段
主要是創建用于攻擊的武器，比如郵件中的惡意代碼附件、假冒網站或網站掛馬、遠程控制通信服務器等。臺灣第一銀行ATM 事件中，黑客創建的惡意代碼主要包括控制ATM 吐鈔的程序、讀取ATM 系統和卡夾信息的程序、清除痕跡的程序以及與黑客后臺遠程通信的程序。
突防利用與安裝植入階段
主要是利用系統或網絡漏洞、管理機制漏洞、人性弱點等將惡意代碼投遞到內部目標，獲得對系統的控制權。臺灣第一銀行事件中，就是利用倫敦分行作為突破口，將惡意代碼植入。
通信控制與達成目標階段
主要是與外部黑客遠程控制服務器進行連接，周期性的確認其存活狀態，接受指令完成數據竊取、信息收集、破壞等最終任務。臺灣第一銀行事件中，黑客通過遠程命令操控，將惡意代碼植入了ATM 版本升級的主機服務器，并利用ATM 升級的契機，將惡意代碼下發至第一銀行各ATM，最后在指定時間下達了吐鈔指令。
根據以上作案過程的分析，有以下幾個主要的薄弱點環節：
1. 傳統的邊界隔離措施無法對抗精準的APT 攻擊
傳統的邊界隔離主要是依靠防火墻、路由器ACL 等對不同安全等級的網絡區域進行劃分，比如生產、辦公、測試、開發、互聯網、第三方等。
一方面，由于客觀上總是存在外部接入內部的網絡渠道，而且隨著互聯網的發展，內外部互聯互通信息的需求越來越多，攻擊者總能找到入侵內部的一條可以用的通道，可能是郵件、貌似正常的web 網頁數據上傳、第三方數據傳輸通道、企業各分支機構管理不善開了例外的終端等等；
另一方面，到目前為止，已經開通的防火墻和ACL 策略由于管理不善、信息更新滯后等原因，也可能存在少量未及時調整和刪除的冗余策略、范圍過大策略等邊界收緊不到位的情況。因此，基于防火墻和路由器的邊界隔離措施面對信息收集能力和針對性很強的APT 攻擊者，是無能為力的。
2. 傳統的基于特征碼的惡意代碼監測存在滯后性和局限性
一是類似IPS、WAF 和防病毒這樣的防護工具，屬于對已知固定惡意代碼進行特征識別的一種靜態分析方法，無法有效應對惡意代碼變形、加殼等隱蔽手段；
二是APT攻擊通常利用看似合法的輸入和非明顯惡意特征但非常針對性的程序代碼。因此，在事發之前，我們不可能提前識別出全部的惡意代碼特征，這種傳統的基于惡意代碼靜態監測的方式存在較大不足。
3. 突破邊界后的內部網絡防護能力不足
由于傳統的防御體系側重于互聯網、第三方等邊界的網絡安全防護，對于突破邊界后在內網埋伏、感染、操控內部服務器及數據的惡意行為識別和監測缺乏有效手段。
例如臺灣第一銀行事件中，惡意代碼從倫敦分行傳播至ATM 軟件分發服務器，并進一步感染ATM 目標服務器，在整個內部轉播路徑以及目標ATM 服務器安裝了異常代碼文件都沒有被發現。
4. 單打獨斗式的防御，無法面對有組織有計劃的針對性攻擊
面對近幾年陸續發現的多起swift 事件，其幕后黑手直指臭名昭著的Lazarus 黑客組織。如此專業化組織嚴密的黑客組織，僅靠企業自身進行防護顯得力不從心。
如何快速提前獲取0day 攻擊惡意代碼特征與文件路徑、黑客遠程控制服務器IP 地址、釣魚郵件地址、假冒網站異常威脅情報，并及時與內部防護系統聯動，成為企業安全防護的重要保障關鍵能力之一。
5. 缺乏海量數據的關聯分析和可視化分析能力
從一系列安全事件來看，從植入沒有明顯惡意特征的代碼到分行服務器、到利用軟件升級契機下發ATM 升級軟件、再到黑客復用現有的網絡端口進行外部遠程控制通信，單獨看每一個步驟可能無法準確判斷單個行為是否是惡意攻擊，但是如果將整個路徑上的行為串起來看是很有可能發現異常行為的。
例如建立一種基于外部連接的異常分析模型，當發現ATM管理服務器與外部通訊時，分析通訊的進程、相關程序文件的安裝時間、來源以及傳播路徑，并檢查下游ATM 設備通訊流量情況，并通過可視化手段可以直觀的還原出，ATM 設備通過內部管理服務器作為跳板與外部進行異常連接的情況。
當然，這一方面需要大量的信息安全日志數據作為支撐，包括內外網邊界及關鍵路徑上的網絡流量情況、服務器設備的異常行為檢測情況、惡意遠程通訊IP 地址等外部威脅情報等，另一方面需要有實時快速處理海量數據和建模關聯分析的能力，以及可視化展現能力，畢竟可疑事件最終還是需要人工準確判斷。
以上關鍵環節的薄弱點正是我們目前靜態的、被動式防御體系的薄弱點，傳統的安全防護體系已經逐漸不能適應外部攻擊防護的需要。以下結合業界研究分析及實踐情況，就如何構建新一代安全防護體系談幾點思路。
02
構建數據驅動的自適應安全防護體系
正如剛才描述的靜態被動式安全防護體系弱點，新一代信息安全防護體系應該朝著如下的四個方向進行轉變：
1. 由被動監控向主動預防轉變。2. 由邊界安全向全網安全轉變。3. 由靜態特征識別向動態異常分析轉變。4. 由系統安全向業務驅動安全為轉變。
最終，信息安全的所有問題本質上將轉變為大數據分析問題。
傳統的應急式安全響應中心將轉變為持續安全響應中心。為了實現這個目標，我們將從以前以Policy 策略、Protect 防護、Detect 檢測、Response 響應四個階段組成的PPDR 安全防護體系，轉變為以Gartner 最新提出的并獲得業界主流安全企業和研究機構認可的PPDR 安全防護體系。
即以Predict 預測、Protect 防護、Detect 檢測、Response 響應四個階段組成的新PPDR 閉環安全防護模型，并且在不同階段引入威脅情報、大數據分析、機器學習、云防護等新技術和服務，從而真正構建一個能進行持續性威脅響應、智能化、協同化的自適應安全防護體系。
預測階段
該階段的目標是獲得一種攻擊“預測能力”，可從外部威脅情報中學習，以主動鎖定對現有系統和信息具有威脅的新型攻擊，并對漏洞劃定優先級和定位。
該情報將反饋到防護階段和檢測功能，從而構成整個威脅處理流程的閉環。這里面有兩個關鍵要素：一是威脅情報本身；二是對威脅情報的利用。
所謂威脅情報，是指一組基于證據的描述威脅的關聯信息，包括威脅相關的環境信息、手法機制、指標、影響以及行動建議等。可進一步分為基礎數據、技術情報、戰術情報、戰略情報4 個層次。
基礎數據, 例如PE 可執行程序樣本、netflow 網絡流數據、終端日志、DNS 與whois 記錄等；
技術情報, 例如惡意遠程控制服務器地址、惡意網站、電話、釣魚郵件地址、惡意代碼HASH 值、修改的特定注冊表項、系統漏洞、異常賬號、洗錢手法等；
戰術情報, 包括已發現的外部攻擊者和目標信息、攻擊手段和過程、可能造成的攻擊影響、應急響應建議等；
戰略情報, 主要指社會、政治、經濟和文化動機、歷史攻擊軌跡和目標趨勢、攻擊重點、攻擊組織的技術能力評估等。
利用這些情報成為后續防護、檢查和響應的基礎，我們可以與現有防護系統充分結合，自下而上在網絡、系統、終端、應用、業務各個層面進行外部攻擊的有效預防。
例如，可以將惡意遠程控制服務器地址納入網絡流分析檢測工具中，及時阻斷可疑的外部連接情況；將互聯網上已檢測到的惡意代碼特征、異常行為模式等同步到IPS、HIDS、沙箱工具；通過App等提示并攔截客戶對假冒網站的訪問；根據外部攻擊的手法和目標等情報信息，主動調整DDoS和WAF 的防護策略等等。
相關資料顯示，65%的企業和政府機構計劃使用外部威脅情報服務增強安全檢測和防護能力。威脅情報的引入，是從被動式防護專向主動式預防的重要基石。
安全防護階段
該階段的目標是通過一系列安全策略集、產品和服務可以用于防御攻擊。
這個方面的關鍵目標是通過減少被攻擊面來提升攻擊門檻，并在受影響前攔截攻擊動作，主要分為加固與隔離、漏洞與補丁管理、轉移攻擊等三個方面。
加固與隔離方面，大部分企業在系統、網絡及終端方面進行了大量的投入和系統建設，包括使用防火墻、VLAN 等對不同網絡安全區域進行隔離和訪問策略控制，終端的802.1x 準入控制與隔離，各類系統、網絡設備的安全補丁以及安全配置加固。
但是在應用方面特別是web應用和移動app 安全加固方面還做的不夠，包括沒有限制用戶輸入字符串的長度、使用了SQL語句拼接且沒有主動過濾非法字符、未安裝限制頻繁撞庫的驗證碼控件、未在后臺限制頻繁交易次數等。
這些加固控制措施都是必須結合應用自身特點進行設置，并非簡單通過IPS、DDoS、WAF 等防護設備就能阻擋此類利用正常應用對外服務渠道和業務邏輯發起的外部攻擊。
因此，應進一步加大對應用安全加固問題的重視，如應用安全代碼檢測和應用安全設計應該放在更重要的位置，特別是對逐漸引入的生物特征識別與認證技術、物聯網技術的安全性研究，作為從系統安全到業務驅動安全轉變的重要支撐。
漏洞與補丁管理方面，盡管大多數企業都引入了漏洞掃描工具，并建立了漏洞發現、分析、補丁修復的完整工作機制，但漏洞與補丁管理最容易在兩個方面產生疏漏，一是漏洞情報獲取的滯后，二是設備資產梳理不清。非常容易導致信息安全的木桶效應，即一塊短板導致整個防線崩潰。
漏洞情報獲取的時效性提升可以納入到前面說講的威脅情報收集工作中，盡可能從外部更快速的渠道獲取并以可機讀的方式與防護系統聯動；設備資產清單梳理方面，資產的梳理范圍和顆粒度劃分、以及信息采集的自動化程度是制約設備資產請安管理工作取得實質性成效的重要因素。
然而現實中，大多數企業都不重視物聯網設備如視頻監控、自助機具等如今可以被入侵或當作攻擊肉雞的聯網設備清單，缺少Struts2、Open SSL 等組件分布情況快速收集的能力等。
轉移攻擊方面，簡單來說，該功能可是企業在黑客攻防中獲得時間上的非對稱優勢，通過蜜罐、系統鏡像與隱藏等多種技術使攻擊者難以定位真正的系統核心以及可利用漏洞，以及隱藏、混淆系統接口和系統信息。
此項技術對于研究攻擊者手法、檢測防護系統不足甚至刻畫黑客的攻擊畫像等都十分有利，但考慮到該類技術的應用場景復雜性，引入時應考慮更加全面充分。
安全檢測階段
該階段的主要目標是及時發現各類外部直接的或潛伏的攻擊。在這個階段是傳統安全防護體系中，各個企業投入最大且最為依賴的部分，因此也是構建數據驅動的自適應安全防護架構最需要做出改變的階段。
一是從傳統的只重視邊界流量（如互聯網與第三方入口的IPS）的安全檢測，發展為全流量檢測或至少具備任一網絡關鍵路徑流量的檢測能力，因為攻擊者不可避免地會繞過傳統的攔截和預防機制，一旦進入內部傳統的檢測防護機制就難以發現。
二是從靜態的基于特征碼的檢測，如目前的IPS、防病毒、WAF 等，發展到基于異常的動態檢測，正如前面提到的，很多APT 攻擊者利用的是0day 漏洞或者利用經過多態和變形的惡意代碼進行攻擊，無法被傳統基于特征碼的檢測手段發現，但通過異常行為分析是有可能發現的。
目前業界主要通過進入沙箱檢測技術，將網絡、終端、郵件等系統中獲取到的可執行文件等在沙箱環境運行，并觀察相關進程創建或調用、文件或資源訪問行為、注冊表修改等是否存在異常。
然而，沙箱逃逸技術的蓬勃發展（即通過主動識別沙箱環境而不執行相關代碼、利用時間差埋伏一段時間再啟動等），使得對于異常的分析不能完全依賴于沙箱，而是通過異常流量檢測、機器學習、關聯分析等大數據分析手段進行自適應安全檢測。
三是加大云平臺的安全監測能力。隨著Iaas、Paas 等云平臺的不斷擴充，越來越多的企業核心業務正逐漸從傳統的服務器遷移至私有云或混合云。除了云平臺帶來的擴展靈活性、高可用性、運維便捷性外，也會帶來新的安全挑戰。
虛擬化層hypervisor 的安全漏洞與安全控制問題，如虛擬機逃逸問題，會產生一鍋端的較大風險；安全設備和安全防護手段的虛擬化軟件化將帶來攻擊面的擴大。
云上應用的數據高度集中，用戶及權限管理方面管控不嚴格也存在客戶信息泄露風險；系統、網絡和存儲資源復用，既給數據有效隔離和保護帶來挑戰，也存在安全風險傳導的隱患；原有實體網絡之間的網絡邊界、實體設備之間的物理邊界已經模糊，不同安全等級的網絡區域整合到了一個網絡區域中，給網絡邊界防護帶來挑戰；不同安全級別的信息系統使用云平臺上同樣的資源，對安全分級保護和安全管理增加難度和復雜度。
但反過來云平臺也會給安全防護帶來積極的一面，如網絡隔離的靈活多樣和更精細的顆粒度；全局網絡流量的鏡像抓取與檢測更加容易；安全防護設備虛擬化后的靈活定制能力等。
因此，我們可以通過幾個方面綜合提升云平臺的安全檢測能力進而降低整個云平臺的安全風險。
首先，實現云平臺跨虛擬機內部的全流量采集與監測，例如目前有很多針對openstack 的流量監控方案；
其次，通過軟件定義安全的方式，充分利用安全防護設備的軟件化虛擬化，實現個性化流量監測策略，例如針對不同的web 應用業務實現不同的WAF 策略，而無需像以往一樣受限與固定硬件設備的一些掣肘；
再次，實現不同安全防護設備的云化集中監測能力，云平臺自身的特性和云計算的強大能力使得各類安全檢測設備云化后，安全日志等安全檢測信息的整合集中與關聯能力更容易獲得。
四是從系統安全檢測發展到重視應用和業務層面安全問題的檢測能力。對于資金欺詐、撞庫洗庫、惡意頻繁交易等業務層面的安全檢測能力也應該得到進一步加強，主要包括：
1. 外部威脅情報引入與反欺詐系統的聯動，例如惡意釣魚網站、惡意IP等；2. 反欺詐系統監控變量、模型與規則的豐富，例如生物認證信息、移動終端位置信息、更加豐富的移動和固定終端的設備指紋信息等；3. 基于機器學習的異常流量檢測和反欺詐交易行為檢測。
綜上所述，持續而嚴密的異常動態安全檢測是自適應安全架構的核心，全網流量檢測、沙箱技術、大數據分析能力、面向業務安全的檢測技術等，共同構成了我們構建下一代信息安全防護體系的核心能力建設目標。
安全響應階段
該階段的目標是一旦外部攻擊被識別，將迅速阻斷攻擊、隔離被感染系統和賬戶，防止進一步破壞系統或擴散。
常用的隔離能力包括，終端隔離、網絡層IP 封禁與隔離、系統進程、賬戶凍結、應用層阻斷和主動拒絕響應等。這些響應措施在新一代數據驅動的自適應安全防護體系中最重要的目標是能夠跟基于大數據的安全檢測系統進行有效對接，自動根據檢測結果進行觸發或者提示人工判斷后自動觸發。
因此，在建立下一代安全防護體系過程中，必須把響應階段與安全檢測階段一體化考慮。同時，在做好自身的響應準備時還要充分考慮外部服務商、合作方的共同應急響應或風險傳導控制。
一是一些應用攻擊的影響控制需要應用系統側采取驗證碼控件、后臺交易頻率限制、輸入過濾等措施進行真正有效的應急處理，但通常這類措施受限與供應商或內部開發團隊的影響上線周期過長，因此要提前建立快速響應機制。
二是使用CDN 服務情況下面臨外部攻擊時，惡意攻擊的阻斷和地址封禁等需要CDN廠商同步實施，但其封禁時效性以及CDN 自身入侵防護能力可能存在不足。如何第一時間從CDN 獲取詳細信息、如何在CDN 側響應過慢時主動切換CDN 或者切回源站、如何考核督促CDN 等都是需要高度重視的問題。
三是系統層面快速阻斷與隔離手段通常較網絡隔離與封禁等使用的較少，例如進程中止與隔離、文件鎖定與隔離、用戶會話中斷與用戶鎖定等。
四是回溯能力不足，一方面需要構建大數據分析平臺，還原和展現事件發生前后關鍵路徑上所發生的一切，利用運營商、安全廠商、BAT 等互聯網大數據威脅情報進行溯源和快速響應。
03
結 語
本文結合日益突出的APT 攻擊問題，針對性的提出了目前傳統靜態防御技術體系和應急式威脅響應防護機制的不足，并按照PPDR 模型，簡要描述了構建下一代數據驅動的安全防護體系建設四個階段（安全預測、安全防護、安全檢測、安全響應）的建設目標、內容和關鍵技術思路，打造一個內外聯動的、預防為主的、具有整體威脅感知和快速響應處理能力的持續信息安全響應平臺。
作者簡介 >>>
金海旻，博士，高級工程師，主要從事應用密碼學、網絡攻防與數據庫安全相關研究。
顧駿，本科，高級工程師，主要從事國內外信息安全管理體系理論與實踐、企業級病毒防護體系、身份認證技術與應用、金融IC 卡技術等相關研究。金晶，本科，高級工程師，主要從事信息安全審計與取證技術、數據安全相關技術、ZOS 大型主機安全技術等相關研究。
選自《信息安全與通信保密》2017年第1期（為便于排版，已省去原文參考文獻）
網絡強國建設的思想庫
安全產業發展的情報站
創新企業騰飛的動力源
