隨處辦公引爆資安風險 XDR雲端AI分析免警張

2021-08-31
在COVID-19疫情蔓延期間,企業IT忙著因應分流或居家辦公防疫措施,提供全體員工透過VPN服務遠端登入內網執行任務,協助各部門團隊運用雲端服務進行視訊會議以及協同工作,還得盡速回應伺服器軟體、防火牆、VPN等接連被揭露的新漏洞,安裝修補更新或先行以虛擬補丁方式防範滲透攻擊,對於IT部門而言,確保營運不中斷與控管資安風險可說是當務之急。

 

為了更進一步了解受到疫情衝擊的企業現況,近期國際資安大廠陸續發布調查報告,例如趨勢科技委託研究機構Osterman Research執行的「如何降低網路釣魚和勒索病毒的風險」白皮書,訪談130名北美中大型企業的網路資安人員,84%受訪者回答過去12個月內曾遭遇網路釣魚與勒索病毒威脅;Sophos最新的《2021年勒索軟體現況》報告更指出,超過54%的IT管理者認為網路攻擊過於先進,IT團隊無法自行處理。

另一份數據是Palo Alto Networks於今年(2021)年第一季,針對台灣300家企業IT決策者和業務領導者進行問卷調查,報告指出80%的台灣公司正在加速數位轉型的腳步,以因應COVID-19帶來的挑戰。此外,IT整體預算用於提升資安能力,40%著重於透過網路設備的升級,37%採用雲端解決方案,30%為端點解決方案。

Gartner定義的延伸式偵測及回應(XDR)架構,整合跨技術領域管道產生的日誌,經正規化後存放在資料湖(Data Lake),以機器學習演算分析提高資安維運效率。(資料來源:https://www.gartner.com/)

面對COVID-19疫情起伏不定、數位轉型計畫實施、外部攻擊威脅更加活躍,企業營運安全性備受挑戰,也驅動資安防護技術加速進化。過去IT基礎架構必備的防火牆與防毒軟體,相繼提出擴展式偵測及回應(eXtended Detection and Response,XDR)架構,例如Fortinet FortiXDR、Palo Alto Networks Cortex XDR、Sophos XDR、Trend Micro Vision One等,基於雲端原生開發分析平台,把原本各自獨立的端點、網路、雲端、郵件等跨領域技術產生的日誌,完整蒐集存放於Data Lake(資料湖),運用機器學習演算模型分析,降低資安維運門檻,讓IT人員得以藉此縮短異常行為平均偵測時間(MTTD)與平均回應時間(MTTR),即使疫情緩解後混合辦公成為常態,亦可提高資安風險控管能力。

端點防護方案持續演進邁向XDR 

隨著國際間政府組織、國際級大型企業、本土眾多高科技製造業接連遭受勒索軟體威脅,如今的資安控管能力逐漸成為顯學,市場上的技術方案進展速度也隨之加快。Palo Alto Networks台灣技術顧問總監蕭松瀛觀察,從端點的角度來看,過去防毒軟體逐年發展增添存取控管、資料外洩防護等機制,被Gartner重新定義稱為端點防護平台(EPP)產品。但自從進階持續性威脅(APT)攻擊手法開始被用來獲取非法利益,促使變種病毒成長速度加快,過往由企業提交病毒樣本給廠商研發提供特徵碼來防堵的作法,早已趕不上變種病毒的腳步。

從許多遭受APT攻擊的新聞事件中可發現,攻擊者已可成功繞過以特徵碼偵測為主的EPP、次世代防火牆、郵件安全等資安防護機制,在滲透成功後潛伏且伺機橫向移動,竊取高權限帳密以便於合法地把機敏資料遞送到中繼站。企業往往直到內部機敏資料在暗網上被販售,甚至是接到檢調單位通知,才驚覺資料早已外洩。

為了協助企業著手進行資安事件調查,資安廠商開始成立資安事件回應(Incident Response,IR)團隊提供服務,運用端點偵測與回應(EDR)工具進行鑑識,以更有效率地還原攻擊活動的軌跡,匡列出遭受感染的標的,讓內網環境得以「清零」,以免重複事件不斷發生。由此可發現,當EPP防禦機制無法攔阻攻擊活動,便需要有EDR工具輔助事後調查與回應處理,以及產出報告說明真相,兩種技術本就為互補,自然演進整合成以單一代理程式來提供端點防護。

不過EPP功能性較為單純,偵測到惡意程式可直接執行攔阻,但EDR則需要資安專業知識來判讀、解釋攻擊手法,並且提出採取行動的建議,以回應該攻擊活動。於是擁有EDR技術的廠商,開始提供託管式偵測及回應(MDR)服務,讓企業IT環境得以交由專業資安團隊持續監控,一旦發現異常行為,立即執行調查並且提出報告,商業模式類似企業熟知的基於SIEM(資安事件管理)平台提供之7×24小時SOC(資安監控中心)服務。

針對不傾向委由外部專家持續監控的企業,如今則可採用基於雲端原生開發的XDR平台,跨技術領域整合多種類資料型態,讓機器學習演算分析改善保護與檢測能力,把原本專業資安研究員手動調查與鑑識的操作流程,轉換為流程腳本式的Playbook自動化執行,不僅降低資安維運負擔,亦可弭平技能落差。

威脅偵測與事件回應再強化

依據Gartner的定義,降低資安維運複雜度、讓維運團隊得以運用機器學習演算輔助縮短學習曲線,可說是XDR架構的核心價值,其藉由特定供應商的威脅偵測與事件回應工具,可將多種類別的產品線統一由XDR平台執行控管。趨勢科技資深技術顧問吳宗霖認為,XDR必要功能包括資安事件分析、日誌彼此關聯與觸發告警、自動化執行回應或給予操作建議。

他進一步解釋,資安事件分析著重於將廣泛的資料來源彙整到統一平台,因此在XDR平台發展初期,勢必將以自家產品為主,才可讓非結構資料型態建立正規化存放在Data Lake。其次的日誌彼此關聯與觸發告警進而產出事件,之所以重要,吳宗霖以實際委託趨勢科技協助處理勒索軟體事件的企業為例,本已部署EDR輔助監控,並非未偵測發現異常活動,反而是自從部署完成後平均每天都有多達30個高風險事件,一段時間過後維運團隊已麻痺,難以再去關注告警資訊,才讓勒索軟體感染成功。對此,趨勢科技設計的XDR平台,稱為Vision One,內建威脅情資所撰寫的模型,即可解決告警疲勞的問題。

例如對知名的APT29駭客組織,Vision One已掌握其中繼站、惡意程式雜湊函式、慣用漏洞CVE編號等指標,因此可撰寫成演算模型,根據餵入的日誌運行關聯比對並且產出評分,若僅發現一筆中繼站連線評分屬於低風險,但若同時涵蓋CVE、雜湊函式,則立即跳升為高風險,此時才會發出告警。

針對惡意程式檔案,IT管理者可藉由Vision One平台圖形化介面操作取得該檔案,相當適用於COVID-19疫情衝擊下衍生混合辦公模式,員工的裝置不論在全球任何地區,IT管理者皆可藉此機制直接取得異常檔案樣本深入解析,若確認為惡意,同樣可透過Vision One平台自行定義雜湊函式,以便即時阻斷,降低釀成資安事件的機率。 

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!