將此篇文章跟 Facebook 上的朋友分享將此篇文章跟 Plurk 上的朋友分享將此篇文章跟 Twitter 上的朋友分享列印轉寄
2017/11/16

挾代理程式及技術優勢 端點偵測回應方案擴大防線

EDR跨足次世代防毒 挺進端點保護平台市場

洪羿漣
自從外部攻擊威脅的動機轉向以獲利為目的之後,國際間重大資安事故便每年翻新,在台灣最重視資安治理的金融業也屢受波及。繼去年(2016)第一銀行發生史上頭一遭ATM系統入侵盜領案件之後,日前遠東銀行的國際匯款系統SWIFT驚傳遭駭客入侵盜轉,再次震撼金融業。
其實類似的手法近年來也曾攻擊孟加拉、越南、菲律賓等銀行,尤以2013年孟加拉央行被盜轉超過台幣20億元最受注目。發動攻擊的駭客組織顯然對環球銀行金融電信協會的SWIFT系統環境、銀行業通用的標準作業程序已相當嫻熟,只要利用社交工程郵件、水坑式攻擊等手法,讓使用者點選執行內嵌攻擊程式碼的檔案或連結,進而成功滲透入侵端點,建立灘頭堡之後,經過一段時間的潛伏、橫向移動,蒐集與分析企業或組織的工作流程、控管措施等資訊,並且掌握目標(例如SWIFT系統)位址與合法登入權限,以便於在攻擊活動的最後階段,成功執行帳戶盜轉、竊取機敏資料等目的。

無檔案式攻擊當道 迴避既有資安偵測

儘管滲透入侵手法經常利用人性弱點發動,往往防不勝防,但若能在釀成資安事故前,也就是攻擊潛伏、橫向擴散階段得以及時發現,同樣有機會破壞整起攻擊活動,降低可能帶來的損害風險。然而近兩年的新型態無檔案(Fileless)攻擊手法持續增加,使得現有以特徵碼為基礎的偵測機制難以奏效,達友科技副總經理林皇興觀察,近期攻擊活動中大約近六成採用的是無檔案攻擊,幾乎已是APT攻擊主流手法。

林皇興引述Carbon Black統計報告指出,就全球現行的攻擊手法來看,47%為惡意程式發動,典型的即為勒索軟體;53%則是不具備惡意程式,也就是無檔案攻擊,像是記憶體、巨集、PowerShell、遠端登入等皆屬於此類。特別是在攻擊活動中,利用Windows作業系統內建PowerShell執行擴散感染的比重逐年提高,2015年底統計已超過38%,可基於正常的指令呼叫程式碼執行攻擊行為。

以往各家端點防護機制相當強調啟發式引擎偵測,為因應攻擊程式快速變種,以及重新加殼偽裝成為防護措施無法辨識的未知型檔案,於是資安方案供應商開始採納沙箱技術模擬分析輔助判斷,問題是仍舊需要實體檔案才得以執行,若遭遇的是無檔案攻擊,啟發式引擎與沙箱技術偵測皆無從發現。


▲次世代防毒藉由蒐集、監控與分析技術,提升端點可視性以釐清入侵管道、防護機制運行效能,解決被入侵後只重灌系統無法堵絕後患的問題。(資料來源:達友科技)


林皇興進一步說明,傳統防毒引擎設計的防護模式,主要是以惡意程式為核心偵測邏輯,常見採以病毒特徵碼或啟發式技術來偵測,若無檔案本體,則除非執行記憶體鑑識,才可從中查探到攻擊活動。例如夾帶Word檔案的釣魚郵件,當使用者點選開啟時跳出視窗,要求點選確認解密才可閱覽內容,實際上卻是在背景執行惡意巨集指令,保護措施根本無法察覺。這種無檔案式的攻擊雖然不是全新手法,由於技術門檻較高以往並不常見,如今卻已是普遍採用,顯然可知駭客工具的設計已更易用精良,操作者可能無需高深技術即可發動。

EDR輔助事件調查與 鑑識改善資安品質

欲解決層出不窮的資安事件,唯有還原真相以釐清攻擊者所採用的策略、技術和活動程序(TTP),才得以有效補強工作流程、防禦體系中可被利用的弱點,防止類似事故再發生。如此一來,勢必得由專業資安專家運用端點偵測與回應(EDR)工具執行事件調查與鑑識軌跡。

FireEye大中華區首席技術顧問蕭松瀛說明,EDR與過去對於端點防護的觀念不同,並非在偵測發現惡意程式的第一時間立即攔阻,EDR的設計概念,關鍵在於要阻斷惡意執行之前,必須先行掌握Malware造成的影響,例如變更的註冊機碼、新增的檔案、啟用的網路連接埠、執行過的指令等,諸如此類運行的細節資訊,就如同進行數位鑑識,從記憶體中傾印(Dump)所有程式碼運行資訊進行行為模式分析;另一方面,EDR工具亦必須具備企業環境搜尋機制,蕭松瀛強調,當資安事件經過分析與調查,取得入侵感染途徑與行為資訊之後,還必須藉由搜尋機制,清查內網中所有端點環境,才得以掌握事件影響範圍。

擁有厚實駭客攻防技術的安創資訊技術長胡辰澔亦指出,實際測試過多種現代攻擊模式發現,確實有許多可迴避既有偵測防禦措施的方法,在攻擊與防禦雙方技術能力不對等的現況下,端點入侵活動最終演變成資安事件機率自然增加,除非在那之前能經過調查與鑑識,還原整起活動細節,進而修正弱點或漏洞。 但問題是多數企業或組織的資安都是由IT維運人員兼管,即使在用戶端電腦上發現惡意程式,往往因為不具備資安事件調查的相關知識與經驗,無法拆解惡意程式行為,以及釐清導致問題發生的根本原因,才會僅直接刪除惡意程式或重新安裝作業系統,導致被攻擊者利用的弱點始終未被消弭與控制。「就我長期協助執行資安分析與調查的經驗,端點工具必須可達到鑑識等級,讓不懂資安攻防技術的IT人員也可看得懂問題癥結。」胡辰澔說。

延伸擴展次世代防毒 完整保護端點安全

就EDR架構來看,企業內部通常須建置統一控管伺服器,蒐集來自端點所產生的行為資訊,並介接外部雲端威脅情資,以便分析潛在威脅。至於蒐集方式大致分為兩種,一種像是Scanner(惡意程式掃描),透過遠端派送到端點執行資料搜集後自動清除,可設定排程定期執行;另一種是在端點上部署輕量級代理程式進行持續性記錄。

林皇興說明,選用惡意程式掃描方式的考量大多是避免端點存在過多常駐程式,當運行效能變慢時,即可排除是EDR程式造成;只是採用定期掃描模式,若惡意程式尚未被觸發執行活動,則無法取得資訊。欲達到持續性記錄,勢必須透過常駐型代理程式蒐集所有資訊。既然已在端點部署代理程式,原本設計只用於事後調查與鑑識的EDR方案,也逐漸擴展事前偵測、事中攔阻的能力,例如Carbon Black、Cylance、SentinelOne、FireEye等,以系統環境的行為分析技術,建構非特徵碼檢測的次世代防毒(NGAV),加入捍衛端點安全的行列。

這篇文章讓你覺得滿意不滿意
送出
相關文章
確保數位工作環境安全 降低潛在資安風險
引導式處置資安事件 聯合限縮威脅擴散
降低事件調查與回應門檻 完整提升產業防禦力
端點防護擴展延伸 逐步落實全視野願景
行為辨識技術 端點防護生力軍
留言
顯示暱稱:
留言內容:
送出