將此篇文章跟 Facebook 上的朋友分享將此篇文章跟 Plurk 上的朋友分享將此篇文章跟 Twitter 上的朋友分享列印轉寄
2017/8/4

以威脅為中心建立快速遏制架構 情資分析能力拉開差距

網路行為分析加持 強化威脅偵測與回應

洪羿漣
針對資安產品的發展,思科主要是以自家擅長的網路技術為基礎,蒐集來自設備節點中產生的NetFlow資料,如此其實已可掌握各式行為資訊,再搭配端點部署AMP方案,可進一步以威脅為中心,勾勒出整起攻擊活動於事前、事中、事後的完整資訊。如此一來,再建立回應機制,才能發揮綜效。
看好資安防護措施對現代企業營運業務的重要性提升,近年來思科對於網路安全的發展可說不遺餘力。自2013年收購Sourcefire取得NGFW/NGIPS領域的Firepower產品線,以及AMP(Advanced Malware Protection)端點防護,為因應惡意程式的快速變種、低調隱匿難以偵測,又於2014年收購ThreatGRID技術,取得最新惡意程式威脅情資,以及動態惡意程式分析(沙箱)功能,可直接部署於企業內部或雲端,強化思科AMP偵測未知型攻擊能力。

針對資安產品的發展,思科台灣技術長馮志良指出,主要是以自家擅長的網路技術為基礎,蒐集來自設備節點中產生的NetFlow資料,其實已可掌握各式行為資訊,再搭配端點部署AMP方案,可進一步以威脅為中心,勾勒出整起攻擊活動於事前、事中、事後的完整資訊。如此一來,再建立回應機制,才能發揮綜效。

自主研發軟硬整合 功能全開仍維持效能

目前思科提供的NGFW系列產品線包含Firepower 2100/4100/9000不同機種,主要提供應用程式可視化與管控(AVC)、入侵防禦偵測(NGIPS)、URL過濾,以及AMP for Networks。設備型號是依據吞吐量與容量(Capacity)來區分,9000系列主要是針對大型資料中心或服務供應商所設計;年初才問市的2100系列, 吞吐量的設計從最小的1.9Gbps至8.5Gbps皆具備,讓企業可依據應用場域規模建置合適的防禦力。

「過去的資安產品線皆依據功能別區分,但企業端需要的不僅是提高資安保護等級,同時還必須簡化管理程序,於是解決方案供應商逐漸把不同產品線的技術整合到單一設備平台,市場有人稱為UTM,思科的定義則是NGFW。」馮志良說。但不論是NGFW或UTM,同樣會面臨到設備功能啟用過多而影響效能的限制,尤其是相當仰仗處理器運算能力的入侵防禦偵測,開啟後常會影響用戶存取體驗。


▲思科Stealthwatch系統蒐集網路設備產生的NetFlow v9最新版本的封包資料,非抽樣式地持續性監看,提高可視性精準度與控管機制有效性。


為了達到在不喪失效能的前提下提升防禦能力,思科新推出的Firepower 2100系列在硬體架構的設計方面,不僅由自家UCS伺服器部門所打造,「更特別的是,搭載自主研發的ASIC晶片中,包含思科幾十年來在網通領域所累積的智慧。」馮志良強調。

隨著商用處理器運算能力呈倍數增長,如今已被專屬設備製造商普遍採用,儘管UCS伺服器同樣是基於x86平台來設計自家硬體,但效能表現在市場上卻較為突出,馮志良認為,即是由於UCS研發團隊具備硬體架構的設計能力,整合自主研發的ASIC,讓網路封包的I/O得以優化,提升整體運行效能。

此外,Firepower系列亦內建網路處理單元(NPU)晶片分工運行。當封包從I/O進入後,大致分工是由x86處理器運算Layer 4到Layer 7的封包,搭配進階威脅偵測引擎(Advanced Threat Engine)執行判別,至於Layer 2/3與SSL加速,則是NPU來處理執行更有效率。

他進一步提到,市場上多數的設備供應商,可能有自主研發韌體架構的能量,卻不具備硬體製造能力,須協同第三方合作夥伴之力進行整合。思科的解決方案,軟體與硬體皆為自家技術,才有能力研發出足以解決效能運算瓶頸的運行模式。

外部情資研究與網路行為分析辨別異常

為了快速回應高風險行為,在資安事故發生前先行攔阻,藉此降低可能的危害,整合大數據分析已是不可或缺的關鍵。思科除了強化Firepower系列產品線,亦搭配Stealthwatch,蒐集來自路由器、交換器、防火牆等網路節點所產出的NetFlow v9、sFlow等格式資料,經過彙整與分析後觸發交換器與NGFW執行工作,以避免外部攻擊滲透入侵,或及早發現內部惡意竊取資料的行為。


▲思科台灣技術長馮志良(左)與思科台灣產品技術經理黃偉浩(右)指出,以NGFW為基礎,建立快速遏制威脅架構,才能利用不同網路節點偵測發現攻擊活動,進而達到立即處置,落實提升IT管理效率。


思科台灣產品技術經理黃偉浩說明,Stealthwatch是思科於2015年併購Lancope取得的解決方案,主要擅長網路行為分析技術,先透過學習模式建立使用者行為的典型基準點,若發現偏離常態,可先行通知IT管理者,甚至把分析後的結果遞送到身分識別服務引擎(ISE),基於pxGrid標準協定溝通,直接觸發Firepower、交換器等設備執行指令處置,以防範未知型攻擊。

這種事件驅動處置指令執行的機制,建構快速遏制威脅(Rapid Threat Containment),才能夠真正實現工作流程的自動化。但是在此之前,必須要先具備精準判斷的能力,思科Talos研究團隊所提供的情資,可說是支持事件判定的關鍵要素。「現階段IT領域中,最難尋、價碼最高的職務,當屬資料科學家,Talos研究團隊已網羅超過250名博士,專門在分析威脅情資。如此龐大的資安研究團隊,必須公司願意投入資源來支持,在業界實屬罕見。」馮志良說。

除了Talos研究團隊所產出的情資,思科亦透過Firepower Management Center管理平台內建的TID(Threat Intelligence Director)模組,協同第三方廠商共同組成安全技術聯盟,彼此可基於標準的STIX與TAXII檔案格式來交換情資。

檔案軌跡回溯 簡化感染修復程序

針對未知型檔案的判定,思科亦搭配提供收購取得的ThreatGRID沙箱技術,輔助AMP辨別。馮志良指出,AMP技術內建於思科所提供的網路安全設備與端點方案,本身不僅可解析網路連線行為資訊,亦可辨識傳遞的檔案,若是從未曾見過,則可傳送到沙箱環境模擬執行分析。

面對最新變種的惡意程式,防毒、NGFW等資安機制若無法判斷是否具威脅性,通常會直接予以放行,此時AMP端點防護會主動在系統背景執行記錄檔案的流向。一旦經過沙箱模擬分析的結果為惡意程式,並且通知防禦機制全面執行攔截時,AMP端點防護不僅可阻斷檔案執行程序,同時可藉由檔案軌跡(File Trajectory)機制回溯到感染前的狀態,藉此快速地掌握感染範圍,而且可有效率地處置。

這篇文章讓你覺得滿意不滿意
送出
相關文章
資安採購勁揚 NGFW稱王
防禦戰線持續向內延伸 就近攔阻威脅活動
威脅意識帶動資安預算 NGFW/UTM市場火熱
高性價比擊中甜蜜點 口碑服務打開市場空間
基於大數據分析威脅 觸發執行攔阻指令
留言
顯示暱稱:
留言內容:
送出
熱門點閱文章