APT攻击将更加普遍,您准备好应对之策了么

早在2013年之前,APT攻击虽然引起了媒体及安全界的重视,但总体上讲似乎只是非主流个案、甚至只算是新的概念或轮廓。2014年发生了多起由APT攻击导致的大型数据外泄事件,非主流开始转身主流。

随着黑客攻击团队的组织化、攻击技能的泛化,攻击目标的定向化、攻击工具的商品化,从2015年开始,APT攻击这一威胁变得更加猖獗,但是在国内,我们似乎并没有见到多少APT案例,为什么呢?昆明亭长朗然科技有限公司互联网安全观察员董志军说:由于其潜伏性,被正确认定的案例并不多,加之没有哪家组织愿意成为安全界的舆论中心、攻击焦点或反面典型,也没有哪家公司愿意被客户或合作伙伴捏住把柄,所以公开的案例更是少之又少。

不过,行业人士都明白,丑事没有上头条,并不表示就没有丑事。相反,近年来,市场对渗透测试人员的需求达到了前所未有的高度,这也带动了火热的安全人员招聘需求和白帽子黑客技能培训市场,可见在未来的几年,APT攻击仍将继续发酵。尽管很多政府机构和企业在安全上都投入了巨大的人力和物力,但APT攻击仍然会渗透进这些组织,并导致敏感数据泄露、生产系统损毁等重要信息安全事故。

为什么近几年APT案例越来越多呢?

一方面,大型机构几乎都已经建立了基础的网络安全防范架构和信息安全管理体系,要通过直接正面的入侵,容易暴露自己的行踪和源头,并且在目标引起警觉之后强化防范措施,进而让攻击的成本高且收获小,黑客绕道到较弱的防线是自然而然的选择。

另一方面,常规的技术类安全防范措施如防病毒、防火墙和补丁修复措施都已经可以防范大多数黑客入侵行为。单纯利用系统的弱点效率较低,黑客们便想到利用人性的弱点,利用社会工程学伎俩,假冒合法身份,再配之能够规避已有安全防范措施的自动化入侵代码生成器等新型技术手段……

APT攻击的动机何在?

APT攻击虽然复杂度较高,但是仍是黑客攻击的一种,所以动机这个问题其实很容易回答。让我们把眼光放在全球商业竞争和政治经济环境下来看,就会很清楚APT攻击的动机要么窃取价值连城的信息财产,要么长期潜伏进行间谍行为、破坏活动甚至恐怖袭击。

APT攻击有什么特点?

传统上,伪造电子邮件配之钓鱼网站或远程控制代码等等无疑是黑客们取得APT攻击成效的入口。攻击者除了会利用受害者的电子邮件账号来增加他们鱼叉式网络钓鱼攻击邮件的可信度之外,还会经过一定的研究分析,比如分析企业沟通文化和研究员工们的语言风格。网络犯罪分子可以精心制造出仿真性很高的社交工程诱饵,骗取足够多的员工点击网络链接或者打开邮件附件。

除了钓鱼邮件、诈骗电话这种经典的APT攻击入口,随着企业内部协作网络,以及社交媒体应用的普及,黑客们无疑将眼光转身更多的社交沟通管道。想在海量的社交沟通内容中有效侦测出恶意用心并对目标人员发起警示是很难的,另外道高一尺,魔高一丈,黑客们也会不断地探索灵活地规避这些侦测措施的方法。

为什么APT攻击将越来越普遍呢?

经过多年的苦心积累,黑客们要么已经获得了渗透工作的关键胜利,要么也是“万事具备,只欠东风”,只需等待针对目标系统的新的严重漏洞的发现。黑客们熟悉漏洞的发布渠道和流程,在漏洞被厂商或安全机构公布之前都可能已经开始尝试获取内情,更不用说对0day攻击程序争分夺秒的抢先利用。

数十来年,黑客们早已不无恶意的脚本小孩儿,也不再是单打独斗的理想主义剑客,而是有组织的犯罪团体,为大型机构效力的商业间谍,甚至有国家力量资助的地下暗黑集团。APT攻击显然需要团队作战,通常有强大的后盾——要么是政府、要么是商业组织。他们不仅具备强大的IT安全知识,同时也拥有跨行业跨应用的人才资源储备。经典的伊朗铀浓缩“震网”事件和2014年年底曝光的德国钢厂APT攻击事件无疑都显示出攻击团队力量之强大、配合之默契。

通过APT,入侵者不仅可以窃取机密信息和虚拟财产,还可以破坏生产作业流程比如破坏工控系统,这动机背后的利益是巨大的。当前的中国正处于调整结构和产业升级的关键时代,企业不管是在市场竞争和科技创新方面都会成为犯罪分子们的坚定目标。在可见的未来,APT攻击将更加普遍。

如何有效应对APT攻击呢?

如果说黑客与我们的核心系统和数据之间只有下一个0day漏洞的距离,那黑客们似乎早晚都会获胜的。这几年,严重漏洞如Heartbleed和ShellShock不断爆出,未来新的严重漏洞仍然会出现在人们的意料之外——特别是那些久经考验的被误认为不会再有什么安全问题的系统。

应对APT攻击考验的是一家企业机构的全面综合防范能力,特别是利用人性弱点的社会工程学攻击手段大行其道时,在林林总总的互联网应用呈现爆炸式增长、企业员工随时随地可以出入各类社交平台和移动应用、企业信息处于杂碎分散的共享状态下,想要在信息安全方面做到滴水不漏,让网络犯罪集团一无所获也实在是太理想主义了。不过,通过足够多的努力,总能截断绝大部分的信息外泄源头以及链条,比如通过政策制度、技术限制、人员教育等安全措施来提升综合应对APT攻击的防范能力。

APT虽然复杂多变,但是其组成要部件的技术入侵手段无疑都是常规性的,如网络踩点、扫描探测、溢出尝试、暴力猜解等等技术手段都会多少留下痕迹或造成异常。对关键网络和系统进行实时监控和日志分析,对可疑的入侵行为进行必要而快速的应急响应措施,可以在切断APT入侵链条的同时,强化戒备。尽管可能会存在很多误报和漏报的情况,自动化、智能化、可视化的威胁管理系统必不可少,除了建立威胁管理系统之外,仍然有大量日常运维工作可以进行,比如:不断优化侦测源头和效率、提高精准判断率、更新策略及特征设置、提升智能分析与关联分析能力、强化与其它安全流程如漏洞扫描、安全加固与应急响应等的有效互动。

在未来,由中国公司参与的全球商业竞争会越发激烈,APT攻击无疑将成为所有大型跨国公司所面对的重要威胁,考验综合防范能力的时候到了。

昆明亭长朗然科技有限公司在APT攻击防范方面扮演着什么样的角色呢?我们关注的更多的是针对人性弱点的社工攻击,这其实是任何安全技术手段都很难有效防范的。通过加强对员工的信息安全意识进行教育训练,我们可以在一个很大的层面强化终端人员的安全意识和终端安全,继而给APT入侵以强力的回击,让入侵团体很难利用海量的员工进行入侵渗透。

APT攻击将更普遍,您准备好应对之策了么?在各类系统安全漏洞的主动发现和及时修补方面,您做到足够了么?在终端用户,也就是众多员工层面的,您做足人员的信息安全意识教育了么?欢迎联系我们洽谈业务合作。

apt-attack-in-chip

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

开发者的安全意识

计算机安全,随着历史的进程,曾被称过系统安全、开发安全、软件安全、信息安全等等,最近被称为网络安全,是计算机系统的属性。系统构建者关注的主要属性是正确性,他们希望他们的系统表现如预期的情况一样。

如果我正在开发一个银行网站,我所关心的是,当客户从她的一个账户中转出一笔1000块钱的资金时,如果资金余额足够,那么1000块钱就能转出成功。如果我正在开发一个文字处理器,我关心的是,当一个文件被保存并重新加载时,我上次离开时保存的数据能够被成功开启……等等诸如此类。

安全的计算机系统是在较宽范围的环境下防止特定的不良行为。虽然正确性在很大程度上是关于系统应该做什么的,但安全性是关于不应该做什么的。即使有对手居心叵测地试图规避任何可能实施的保护措施。昆明亭长朗然科技有限公司IT安全专员董志军说:通常有三个经典的安全属性需要系统来努力满足。这些是广为人知的属性,这些属性的破坏会导致不良的行为。根据系统的不同,它们将具有这些属性的某些特别实例。

  • 第一个属性是保密性。如果攻击者能够操纵系统以窃取个人信息或公司秘密等信息资源,那么他就破坏了机密性。
  • 第二个属性是完整性。如果攻击者能够修改或破坏系统所保留的信息,或者能够滥用系统功能,那么他就破坏了系统的完整性。破坏行为包括损毁记录、修改系统日志、安装不受欢迎的程序如间谍软件等。
  • 最后一个属性是可用性。如果攻击者侵入一个系统,以便使系统拒绝对合法用户提供服务,被拒绝服务的例子包括线上购物或网络银行访问,那么攻击者就破坏了系统的可用性。

今天,很少有系统是绝对安全的,如同您可能在新闻中看到的的一样,安全漏洞不断涌现。例如,在2011年,美国RSA公司被入侵,我在稍后将详谈。入侵者能够窃取与RSA SecureID设备相关的敏感令牌。然后,这些令牌被用来侵入使用了SecureID的公司。2013年底,美国Adobe公司遭到入侵,被盗的不仅有源代码,还有客户记录。几乎在同一个时期,攻击者入侵了美国零售业者Target的销售终端,部分门店内的客户信用卡和借记卡资料被盗。董志军表示:即使在标榜言论自由媒体自由的美国,典型的安全事故案例也都是尽可能被捂着的,如上这些只是一些影响较大且被媒体披露的例子,其实只是冰山一角。

攻击者是如何侵入这些系统的呢?许多入侵行为首先是利用了相关系统中的漏洞(也称弱点)。一项漏洞就是一项缺陷,入侵者可以利用精心构建的交互来使系统运行的不安全。一般来说,缺陷是系统在设计或实施时就已经产生了,这就使得它在后期无法避免出现问题。换句话说,它的运行就不安全。

缺陷是设计中的欠缺,而错误是实施中的欠缺。一个漏洞是一个影响安全相关行为的缺陷,而不是简单的正确性。让我们说回到RSA在2011年被入侵的案例,这种入侵行为取决于Adobe Flash播放器的执行缺陷。Flash播放器本来应该顺利地拒绝格式错误的输入文件,但是事实上,它的这个缺陷让攻击者成功利用了一个精心构建的输入文件,该文件可以操纵程序来运行攻击者编定的代码。该输入文件可以嵌入到微软Excel电子表格中,以便在电子表格在被打开时自动调用Flash播放器。

在实际的攻击中,入侵者将这样的电子表格发送给目标公司的执行官。由于电子邮件被伪装成来自于同事,所以执行官被误导而开启了该文件。这种伪造电子邮件的方法被称为鱼叉式网络钓鱼攻击,这种攻击方式是很常见的。一但电子表格被打开,攻击者就能够在该执行官的机器上悄悄安装恶意软件,并从那里发起进一步的渗透攻击。这个例子突出了通过正确性和通过安全性两个不同的视角来查看软件时的重要区别。

从正确性的角度来说,Flash漏洞只是一个错误而已,除了非常简单的小程序之外,其它所有的软件不可避免会出现错误。软件公司通常在认可他们的软件有已知错误的情况下出售软件,因为要解决这些错误花费过于昂贵。相反,开发人员主要关心在通常情况下会出现的错误。剩下的错误,比如Flash漏洞,很少会出现,用户们也习惯于自己处理它们。如果做某些事情导致了软件的崩溃,用户们很快就会了解到,这不算什么大不了的事情,重试一下或者换种方式就好了。最终,只有当大量用户的遭遇到同样的错误时,软件公司才会解决这个问题。

另一方面,从安全性的角度来看,仅仅针对常规典型的用例来判断错误的重要性是不够的。开发者必须考虑非常规非典型的滥用情况,因为这正是入侵者所处心积虑的地方。

正常用户可能会跳过软件错误,然后导致软件崩溃,但是入侵者则会尝试让该崩溃情景重现,以便了解其为什么发生,然后操纵交互将该崩溃转化为利用方式。简而言之,为了确保系统达到其安全目标,我们必须努力消除错误和设计缺陷。我们必须仔细思考哪些安全属性是我们要牢牢掌握的,并确保我们在设计和实施时不会出现危害安全的缺陷。我们还必须设计系统,使得任何不可避免的缺陷都难以被入侵者恶意利用。

而软件特别是互联网创新的市场竞争那么激烈,时间就是效率,在争分夺秒增加系统功能的时候,别指望开发者或测试人员能主动解决危害安全的缺陷。昆明亭长朗然科技有限公司董志军表示:入侵者不断发现和利用这些缺陷,或者在找出缺陷之后立即在地下市场当天出售(零天漏洞)。要防范入侵者利用零天漏洞借助用户的失误造成破坏,提升用户安全意识是较为有效的途径。在上述RSA被入侵的案例中,如果执行官有足够的信息安全防范意识,不去开启被黑客伪造的电子表格,直接删除那封钓鱼邮件,则至少可以在Flash漏洞被厂商修复之前,保护住自己。

说到底,对安全管理者来讲,安全是一整套解决方案,立体防御、多重防御无疑是正确的安全战略;开发者的安全意识是软件产品和服务是否稳健与安全的关键;用户的信息安全防范意识,也是整体安全管理体系中的不可或缺的重要一环。

在针对用户的网络信息安全意识方面,昆明亭长朗然科技有限公司创作了几十部安全教程模块、互动小游戏,以及三百来部信息安全动画视频、宣传画和培训系统等等。有多种沟通方式和展示渠道来灵活地使用它们,学员也可以通过电脑、平板和智能手机随时随地参与信息安全学习。如果您有兴趣预览,欢迎您通过如下方式快速联系到我们。

昆明亭长朗然科技有限公司

电话:0871-67122372

手机:18206751343

微信:18206751343

邮箱:info@securemymind.com

QQ:1767022898