沙箱與CDR同時運行 風險評分裁定原始檔處置

2019-10-21
自從2015年發布R77.30版本就已內建CDR機制的Check Point SandBlast解決方案,如今已演進到R80.x,系統內部稱之為Threat Extraction(威脅萃取),並非獨立運行的功能,而是基於Threat Emulation(威脅模擬),也就是沙箱技術整合提供。

 

Check Point傳教士、技術長辦公室技術顧問楊敦凱指出,Check Point可說是資安領域中極少數把沙箱與CDR整合運行的廠商,這也正是優勢之一。相較之下,現階段以研發CDR為核心的技術供應商,大多搭配防毒引擎掃描輔助,並未具備沙箱技術,僅著重採取靜態式的判斷後再以CDR執行清除與重組檔案。

降低沙箱模擬檢測影響用戶端操作 

CDR運行的邏輯是在可支援的檔案格式下,不論內容有多複雜,只要檢查符合控管政策設定立即執行動作。但是Check Point設計名為威脅萃取的CDR實作,主要用意在於彌補沙箱技術模擬分析需花費時間執行,避免檔案延遲送達影響正常業務流程。

楊敦凱舉例,次世代防火牆搭配雲端沙箱機制,只要由外而內的流量中發現郵件包含附加檔案,皆須上傳到雲端沙箱模擬分析檢測,即便雲端平台擁有龐大運算資源,仍難免耽誤幾分鐘的檢測時間,此時有些廠商設計的機制是檔案先放行,讓終端用戶先收到以免影響工作。若雲端沙箱偵測到惡意攻擊指標,則主動通知地端次世代防火牆,萬一相同攻擊手法再次進入時即可直接阻斷。只是這種檢測模式,企業端至少必須承受一次資安事故風險,才可建立未來防範基礎。

Check Point研發的沙箱技術,背景模式的控管運作即如同前述,另有一種保留模式,則是在檔案拋送到沙箱時,次世代防火牆會先保留該Session,待沙箱分析完成後回報資訊,再依據控管政策來判定是否應該放行。此機制的挑戰在於無法避免產生延遲時間,若是單純郵件的發送與收取或許企業端還可接受,網頁應用服務則難以接受延遲時間。楊敦凱強調,「搭配威脅萃取(包含CDR)機制即是為了解決時間差的困擾。」

威脅模擬與威脅萃取同時運行 

威脅模擬與威脅萃取是SandBlast解決方案的兩個主要核心元件。前文提及的是網路流量經過閘道端的檢測,至於用戶自行下載的檔案,楊敦凱說明,端點環境會有IPS、防毒等引擎掃描,若未發現已知的特徵碼,威脅萃取仍會先執行CDR功能,讓用戶得以盡快收到檔案,與此同時也基於SandBlast Agent運行威脅模擬分析,經過不同層次的檢測技術。以處理器層級為例,駭客常會採用ROP(Return-Oriented Programming,返回導向語言)、JOP(Jump-Oriented Programming,跳轉導向語言)等規避技術企圖繞過作業系統安全框架,也就是會在Shell Code執行過程中,動態存取處理器預載在記憶體內的區塊,藉此產生出攻擊程式碼。

沙箱模擬機制會檢查諸如此類刁鑽的攻擊模式,尤其是較常被利用的PDF檔案,藉此提升攔截率。當用戶收到經過CDR處理過後的檔案,認為有必要取回原始檔時,必須先通過沙箱檢測確認無攻擊活動才允許放行。以郵件附加檔案為例,使用者收到郵件時,會在內文中加入提醒字串,說明附加檔案已經被清除掉的元件,畢竟CDR機制不會判斷檔案是否存在問題,只要符合政策設定立即處理,或是文件檔轉換成PDF格式,被清除掉的元件若確實有需要,使用者不用找IT人員協助,可直接點選郵件內文中加註的連結來取回原始檔案。「在郵件中加註說明,亦可達到提醒作用,讓使用者欲取回檔案之前,有機會再次確認寄件者的可信度。此外,使用者取回原始檔案的動作留存記錄,以便後續稽核。」

轉檔與清除政策提升CDR運行速度

為了提升CDR的運行速度,SandBlast提供轉檔與清除兩種執行政策可選用。楊敦凱指出,以最佳實踐案例來看,通常會建議Word檔案一律轉換成PDF,以確保格式不至於跑掉;若原始檔案為Excel、PDF、圖檔,則是採用清除模式,把可能被利用來發動攻擊的巨集、超連結、JavaScript等物件直接清除,經過重組後再給終端用戶。「同時正在沙箱環境模擬分析的檔案,平均大約2分鐘以內即可執行完成。」

他進一步說明,檔案拋到沙箱啟用的虛擬主機環境時,執行後預設會先在靜止的狀態下觀察60秒,若沒有任何異常,時間到後隨即放棄觀察,一旦發現異常會再觀察60秒,總計前後的平均時間大約2分鐘。此外,若模擬分析判定行為異常時,會自動再啟用一個新的虛擬主機,以不同的作業系統版本再次模擬執行,仍舊發現攻擊行為時才會判定為惡意程式,降低誤判的機率。

Check Point傳教士、技術長辦公室技術顧問楊敦凱強調,次世代防火牆設備的DPI技術拆解封包後,在處理Payload的最後一道機制中納入CDR功能即可,不用重新拆解封包取得檔案後再封裝,影響的效能不到5%。

平均得延遲2分鐘才收到檔案,有些客戶仍舊無法接受。楊敦凱指出,若排序過多等待處理的檔案,恐無法在2分鐘的平均時間內完成,SandBlast還有設計搭配的機制,可依據應用需求調整,運用預先定義政策停止運行來縮短等待時間。

自行定義例外清單可說是必要的功能項目,比方說高階主管的工作急迫性較高,即可列為排除名單。問題是APT攻擊通常針對高權限管理者,在設計例外清單時亦必須納入整體考量,確認可信任的主管機關、關係企業等單位來源所發送才可接收。「儘管在零信任網路環境中不應該存在例外,實務上卻仍有許多客戶希望有白名單機制,才得以符合應用需求。」楊敦凱說。

若是企業認為不必嚴謹到每個檔案都要通過嚴密檢查,希望能有必須執行CDR的憑據,可先把檔案送到沙箱,檢查完成後產生正常檔案信心程度指數,依據Check Point演算出風險的高中低層級分類,例如檔案執行行為包含寫入註冊機碼,但未必為惡意,Check Point會依據自家演算法針對不同執行行為給予評分,若為中度風險以上的檔案則予以CDR處理。

如此的做法要達到效果,楊敦凱提醒,企業必須非常了解業務屬性,以及能夠承受的風險,基於對Check Point提供的可信任資訊,只要是沙箱檢測為高風險等級的檔案直接予以刪除,對於中或低風險等級的檔案,則是經過CDR處理過後再遞送給用戶。「事實上,嚴謹的資安控管政策,應該是所有檔案都經過沙箱檢測搭配CDR處理,以免出現漏網之魚。落實的前提是客戶必須信任我們提供的分析數據,來判定控管政策的嚴謹程度,同時必須接受用戶收到檔案會有時間差的問題。」

【專題報導】:CDR檔案除污 力抗滲透危害


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!