如何找到APT攻擊的「脈門」？

近段時間比特幣、以太幣等數字貨幣幣值出現了大幅降低，但並不意味著網路不法分子就會放棄這塊「肥肉」。

據國外媒體報道，普林斯頓大學的計算機科學教授Arvind Narayanan評估，比特幣挖礦每天耗掉5吉瓦的電力，接近全球耗電量的1%。然而，這其中並不包括隱形的「挖礦病毒」，作為吞噬PC資源的「大戶」，挖礦病毒通過控制PC的處理器、顯卡等硬體，執行高負載的挖礦計算腳本來進行挖礦。

挖礦病毒的風險還在於，其目的並非局限在竊取PC的計算能力方面，而是會利用自己善於隱匿的優勢，為威脅更大的APT攻擊預留了空間。

如何找到APT攻擊的「脈門」？

雷鋒網宅客頻道在不久前亞信安全舉辦的高級威脅治理10年暨XDR戰略發布會上和亞信安全通用產品管理副總經理劉政平聊了聊。

劉政平打趣自己看電影只看有外星人的，出差路上就在看X戰警，為什麼？因為外星人代表未知。

而APT實際上也代表了一種未知。

劉政平

時間倒回至2001年，紅色代碼病毒爆發，大批計算機宕機，程序員們徹夜重裝系統。此後，資料庫入侵事件層出不窮，利用漏洞進行蠕蟲化傳播的病毒種類愈發壯大，如振蕩波、衝擊波等等。

其中，被作為里程碑的就是間諜軟體的誕生。其開啟了黑產的商業模式，黑客攻擊開始從炫技走向利益。無論是網頁威脅、定向攻擊、移動端攻擊還是現在的勒索病毒攻擊，你會發現原來APT的威力那麼巨大，如果水利系統、發電系統、能源系統，包括飛機的飛控系統等被APT入侵，產生的威脅非常巨大。

除此之外，這些APT攻擊隱蔽性越來越強，甚至可以隱藏2-3年不被發現.

黑客們是很狡猾的，劉政平告訴雷鋒網，為了避免被人發現這些擁有資金和人才的黑產團伙會做測試，購買所有主流安全產品、安全技術都部署到自己的實驗室，測試發起的APT攻擊能不能被檢測到。

除了擁有隱身能力，還要有形態變化。大型的銀行、保險、券商大型企業受到的APT攻擊樣本都是不一樣的，黑產會做一級處理或是帶上「面紗」，總之攻擊形態不是一絲不變。

如此一來，企業安全運營中心（SoC平台）十分撓頭。一來新威脅層出不窮，無論漏洞類型還是攻擊路徑，都千奇百怪，防不勝防；其二，安全產品割裂，無整體能力；其三，依靠人力進行安全響應太過被動；其四，安全專家短缺，簡直是香餑餑；而最重要的，隨著數字化轉型帶來的業務基礎架構變化，包括整個IT架構的變化和出現的移動辦公、物聯網等，企業攻擊界面不斷擴大。

此時，重新設防已經擋不住這些威脅了，應該怎麼辦？

APT攻擊之防

遭遇強盜破門而入後最佳反應是什麼？第一，分析損失，第二，報警抓人。

對應到企業遭遇APT攻擊也是這兩步，第一步，內網出現安全事件後用最短時間針對威脅作出分析判斷。

在網路環境、虛擬化環境下，需要有事故檢測能力，結合黑客行為建立模型和規則，分析其常用手段。就像武俠小說里的江湖門派，每個門派都有自己的武功招式。黑客也是如此，可以根據其獨特的攻擊手法和特徵進行判斷。

「當然，更重要的是企業內部能不能建立情報機制。」劉政平說到。

如果安全廠商能幫政府以及一些大型行業用戶建立本身的情報機制，會大大提高抗APT的功能。未來雲的情報必不可少，這是場景化，行業化的走向。

第二步，需要有應急響應機制。不同場景的響應機制是不一樣的，比如商務寫字樓與廠房不一樣，更需要一個精密編排。

精密編排有三個要素，一個是預案，對於預案來說，需要覆蓋不同場景。不一樣的黑客攻擊手段預案是不一樣的，比如零日漏洞攻擊和DDoS攻擊的預案不一樣。

據劉政平透露，準備預案是有「套路」的，大概分「準備、發現、分析、遏制、消除、恢復、優化」7個階段，準備階段包括了針對每一種黑客攻擊類型的標準預案，自發現威脅數據之後，將數據集中到本地威脅情報和雲端威脅情報做分析，利用機器學習和專家團隊，通過分析黑客進攻的時間、路徑、工具等所有細節，其特徵提取出來，再進行遏制、清除、恢復和優化。整個套路類似航空飛機駕駛員面對緊急情況處理機制，必然有一個裝滿預案的黑匣子。

第二個要素是方法論。安全行業面臨一個很浮躁的問題，大家都在賣產品，不重視對知識的沉澱。在此期間可能也培養了很多人，但這些人的經驗沒有迭代起來。怎麼去迭代？把預案寫下來，不斷去優化它。

第三個要素是工具，一個非常好的工具可以加快分析的速度和方便性。

舉個栗子，企業出現APT攻擊時候，會觸發所有安全產品的相應告警。此時，怎麼把噪音去掉找到根源？這就像吃粽子，想要打開粽子需要找到整條線的根結點。對於安全系統來說要把所有行為數據記錄下來，這樣在發生攻擊後才能利用網路層、終端等的數據還原整個攻擊過程。

拿挖礦打個比方，最近挖礦事件在國內雲平台上，包括主機、數據中心大量出現。因為挖礦本身能掙錢，所以很多黑客會把它的挖礦病毒通過遠程方式種在雲主機裡面。比如向組織內部的員工大量發送精心偽造的垃圾郵件，這些垃圾郵件一般會在附件中植入挖礦相關的惡意代碼，並使用具有誘惑力的標題和內容誘惑員工下載並打開。一旦成功侵入，病毒往往會注入系統進程，並讀取挖礦配置信息進行挖礦。

這時如何找出這條「泥鰍」？

對於挖礦病毒來說，生存時間是衡量其銷量的最重要標準。為了達到這一目標，網路犯罪分子採取的戰術策略也在不斷演變，更多的是使用了免殺機制。在對抗挖礦病毒的過程中，持續的監察與發現能力至關重要。比如需要對主機資源佔用異常現象進行監控，提取相應數據。之後通過演算法生成威脅情報並判斷是否為挖礦行為，如果是就需要通過態勢感知系統調動工具協同響應，最後消除風險。

這整個過程就是亞信安全新一代高級威脅治理戰略的精髓，即基於SOAR模型的精密編排的自動化檢測及響應-XDR體系，對於時常需要查漏補漏的安全小哥們非常友好了。

「也就是，在不確定的網路安全世界裡，尋找一個確定性的方法，幫助用戶真正提升網路空間恢復補救的能力。」

從因為一名員工點擊了即時消息中的惡意鏈接，導致Google這個搜索引擎巨人被滲透，到伊朗布希爾核電站遭到Stuxnet 蠕蟲攻擊，再到Target 超市、eBay 、iCloud、索尼影視、Anthem、百貨公司Neiman Marcus……通過十年不斷的演化發展，APT已經成為最具攻擊性、隱蔽性、破壞性的網路威脅。

APT 攻擊將會像普通病毒攻擊一樣普遍。

此時對於安全廠商來說最重要的是什麼？可能需要技術上的改變與創新。

雷鋒網宅客頻道（微信號：letshome），專註先鋒科技，講述黑客背後的故事。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！