论文部分内容阅读
9月20日美国新兴安全厂商FireEye上市，首日股价即上涨80%，就是因为FireEye能够为企业提供针对APT的防护。目前，几个广为人知的APT都出于政治、军事等原因，而它离大多数企业是不是还很远呢？知名白帽黑客、绿盟科技高级研究员于旸（tombkeeper）认为，APT攻击实际上就是有目的、有资源、有耐心的入侵。做这种攻击的人或组织的目的非常明确，并会投入人力、资金甚至雇佣团队、购买漏洞和找不到的后门等相关的情报作为攻击之前的铺垫，同时具有足够的耐心，不会因为一两次攻击失败而放弃。
事实上，出于商业竞争、获得情报等原因，APT攻击一定会越来越多出现在企业中，未发现并不意味着不存在。曾最先发现著名的微软RPC漏洞的顶尖漏洞挖掘专家、南京翰海源公司CEO方兴（flashsky）认为，APT攻击一旦成功将给企业和组织造成巨大的损失并且难以被发现，同时很难彻底清除。谭晓生则向记者透露，360已经截获了两次针对360公司的APT攻击。
“对于攻击者的漏洞利用、未知木马、控制链路三个方面，我们已经可以进行分析并检测，但是我们缺乏的是全面的监控。”方兴指出，“针对APT攻击，我们认为应该建立多维度的全检测体系，这样才能有纵深、多维度通过云、端协同和大数据挖掘来感知威胁。比如当一个漏洞被检测出来之后，我们要分析并预测它如果成功攻击后的行为是什么样的，然后再监控网络上会不会产生这样的行为，这样才能为用户提供防护准备。基于深度内容的、沙箱行为的、针对木马植入的动作都可以形成一些检测点，一个APT攻击可能会逃过一两个检测点，但是所有检测点它不一定能全部逃过。”
周鸿祎介绍，目前国际上一个前沿的防护理念是：不关心具体的攻击行为和内容，而是将所有的数据进行采集并在云端建模，同时对网络进行全面的监控，如果监控采集的实际数据与原有的模型产生了偏离则进行告警，因为这种偏离多半意味着异常状况的发生。
据记者了解，360公司即将发布称为“360天眼威胁感知系统（TSS）”的APT与未知威胁纵深防御解决方案，它试图通过终端、边界等联动防御来打造企业内网的多层主动防御。当然，这一切都要基于对攻击行为的分析与预测，深入洞察攻击才能精准防御。正如于旸在本次大会的演讲主题：未知攻，焉知防？
事实上，出于商业竞争、获得情报等原因，APT攻击一定会越来越多出现在企业中，未发现并不意味着不存在。曾最先发现著名的微软RPC漏洞的顶尖漏洞挖掘专家、南京翰海源公司CEO方兴（flashsky）认为，APT攻击一旦成功将给企业和组织造成巨大的损失并且难以被发现，同时很难彻底清除。谭晓生则向记者透露，360已经截获了两次针对360公司的APT攻击。
“对于攻击者的漏洞利用、未知木马、控制链路三个方面，我们已经可以进行分析并检测，但是我们缺乏的是全面的监控。”方兴指出，“针对APT攻击，我们认为应该建立多维度的全检测体系，这样才能有纵深、多维度通过云、端协同和大数据挖掘来感知威胁。比如当一个漏洞被检测出来之后，我们要分析并预测它如果成功攻击后的行为是什么样的，然后再监控网络上会不会产生这样的行为，这样才能为用户提供防护准备。基于深度内容的、沙箱行为的、针对木马植入的动作都可以形成一些检测点，一个APT攻击可能会逃过一两个检测点，但是所有检测点它不一定能全部逃过。”
周鸿祎介绍，目前国际上一个前沿的防护理念是：不关心具体的攻击行为和内容，而是将所有的数据进行采集并在云端建模，同时对网络进行全面的监控，如果监控采集的实际数据与原有的模型产生了偏离则进行告警，因为这种偏离多半意味着异常状况的发生。
据记者了解，360公司即将发布称为“360天眼威胁感知系统（TSS）”的APT与未知威胁纵深防御解决方案，它试图通过终端、边界等联动防御来打造企业内网的多层主动防御。当然，这一切都要基于对攻击行为的分析与预测，深入洞察攻击才能精准防御。正如于旸在本次大会的演讲主题：未知攻，焉知防？