遠端及時獵捕威脅 主動回應採取行動

2019-07-16
基於自家代理的EDR解決方案來打造並提供委外資安服務(MSS)的中芯數據,早在Gartner尚未定義託管式偵測及回應(MDR)市場分類之前,即已看重資安事件回應的重要性。借助CounterTack的技術與架構特性,不僅詳盡地記錄端點所有行為,並且蒐集至大數據分析平台以快速地回應資安威脅,正是中芯數據提供的意圖威脅即時鑑識服務較大的優勢。

 

中芯數據技術長吳耿宏舉例,假設內部用戶點選開啟附加檔案,同時在攻擊手法經常利用的資料夾內增添了檔案,該動作會被CounterTack監看程式所發現,一旦出現此狀況,當下立即進行分析,約30分鐘左右即可指出電腦名稱、用戶帳號、開啟的檔案、執行的惡意行為等資訊,隔天即可提供客戶完整的調查報告。

眾所皆知,資安防護不可能達到百分之百,即便導入建置各式防護技術,仍難以避免軟體、硬體、工作流程中潛藏漏洞,讓攻擊者得以繞過告警措施,成功地滲透進入。以往業界所談的資安事件回應,通常指的是回復正常運行與改善修正被攻擊者利用的漏洞,屬於被動地回應;中芯數據設計提供的意圖威脅即時鑑識服務,關鍵則在於化被動為主動,在駭客尚未滲透成功前,讓當下的控管措施發揮抵禦作用。

嚴密監控存取行為及時調查可疑行徑 

從許多實際發生的重大資安事件可發現,攻擊者主要採以APT手法逐步達到目的,這通常需要一段潛伏期,來尋找可達到最大利益的攻擊標的。每起攻擊活動中可能成為駭客標的的關鍵任務系統皆不同,以近兩年興起的物聯網為例,連網裝置通常是為了因應特殊應用自行設計硬體與軟體架構,通用型的防護機制恐無法抵禦攻擊,因此最普遍的做法常是選擇在網路層進行隔離。

事實上,資安防護部署模式本就要依據應用情境而有所不同。舉例來說,攻擊者若要滲透單一台網路監視器,勢必得先滲透進入內網,但既然都已經成功到達內網,攻佔監控伺服器的效益還要更高。因此雖然網路攝影機的作業系統無法安裝代理程式,但將EDR機制部署在伺服器系統,亦可達到相當功效。畢竟物聯網應用場域中的裝置,大多是基於嵌入式系統客製化開發,以符合應用場域所需,針對這類型的系統,駭客投入研究的成本,倒不如滲透到控管場域的網頁應用伺服器反而更具成本效益。

現階段多數的物聯網場域,大部分單一控管系統不會直接接取網路,因此可能的攻擊點首要是網路邊界,其次是可收取社交工程郵件的主機,這也正是既有資安廠商可發揮之處。「我們可以很有信心地說,只要採用MDR,要再次重演ATM吐鈔盜領事件可說微乎其微。」吳耿宏強調。或許監控服務未能在第一時間掌握針對性攻擊,但在即時蒐集端點資料並比對解析的監控服務下,勢必可及早發現惡意行為。擁有鑑識方面的知識,即代表有能力追蹤攻擊行為,只是過去作法是事件爆發後才蒐集日誌進行還原,意圖威脅即時鑑識服務則是隨時監看與調查惡意行為,兩者採用的技術細節皆一致,差別在事前攔阻與事後蒐集分析。

EDR蒐集與解析在地化情資 

目前許多台灣企業普遍採用的SOC服務,其中亦包含資安事件處理,亦即當企業發現內部遭受攻擊入侵,進而提出需求時,SOC服務供應商會派工程師到場支援,然而並非主動式回應。如今MDR概念興起,中芯數據的意圖威脅即時鑑識服務項目,雖然過去稱為內網威脅監控服務(APT SOC),表面上看都是SOC,但合約中定義的SLA等級卻是關鍵差異。

「MDR較以往資安監控服務更著重回應,發現企業端環境有異常行為活動時,可在30分鐘之內透過郵件通知,而不是等到惡意程式已經內部擴散之後,才進行補救與回復。畢竟對抗攻擊活動,必須要跟駭客搶時間,因為單純仰賴工具,根本無法達到百分之百的偵測率。」吳耿宏說。

因此MDR可說是MSS的演進,實際上,在Gartner尚未定義MDR市場時,中芯數據提供的資安服務即是從事件調查與回應切入,採用自家代理的CounterTack來提供服務。資安市場上最早基於EDR技術提供服務的可說是CrowdStrike,吳耿宏進一步指出,「但是就我在2014年就已接觸過多家原廠的經驗,CrowdStrike對台灣市場較不重視,況且蒐集的資料必須上傳到境外資料中心,多數企業至今仍無法接受,因此當時選擇引進另一家產品設計理念相似的CounterTack,建置成為資安服務的基礎平台,不僅客戶端蒐集的資料可保留在本地端,關鍵的情資分析,亦是由中芯數據自家的資安團隊來執行,可掌握更多在地化的情資幫助更多客戶。」

完整掌握端點活動大數據分析主動出擊

就技術層面來看,MDR較過去幾年市場上興起的資安事件回應(IR)並無差別,蒐集的資料與分析方法論皆一致,吳耿宏強調,關鍵在於IR服務為被動回應,MDR則為主動出擊。

隨著本土產業接連爆發的駭客攻擊事件,如今對於資安回應的要求更講究在短時間內得以發現,畢竟現階段各個產業都積極發展數位化商業模式,未來的資安情勢只會更加嚴峻。吳耿宏從實際採用的客戶觀察,就連資安業界公認通常只考量可用性的國內旅遊業者,如今也令人意外地開始採用意圖威脅即時鑑識服務,而且還是針對原本IT人員最排斥異動的伺服器系統上安裝代理程式,足以顯見本土資安思維正在往進步的方向發展。

中芯數據技術長吳耿宏認為,資安市場競爭日漸白熱化,為了達到銷售目的,廠商必須擴展自家方案的能力,但是卻脫離了初期設計可解決問題的範疇,當企業導入建置後逐漸發現不如預期,如此情況下,交給委外服務廠商代管不失為解決困境的方式。

採用意圖威脅即時鑑識服務的客戶在部署代理程式後,中芯數據便可隨時掌握其端點所有資料,彙整到大數據平台,運用自動化機制執行監看與處理,這也是得以在短時間內快速回應的重要關鍵。除非發現無法判讀的資安事件,才需要人力介入詳細調查,一旦再次出現,即可立即回應。

掌握端點詳盡活動行為,不僅有助於縮短資安事件回應效率,中芯數據接下來正在發展的是協同提供SOC服務的合作夥伴整合運行。吳耿宏不諱言,畢竟代理程式不可能做到支援所有作業系統版本,此時閘道端資安設備即可發揮作用,若經過分析後發現是從未出現過的攻擊手法,必須在防火牆中增添規則,即可攜手合作夥伴共同打造的聯防體系來執行,藉此降低可能造成的損害。

【專題報導】:MDR委外偵搜 阻敵於未遂


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!