一场美国大片引发的关于内网威胁检测的思考

在探讨内网威胁之前,先让我们来看场电影!

2016年的热映电影《谍影重重5》是在后斯诺登时代体现网络攻击与防御的一部教科书式的影片。在影片的最开始有一段网络入侵与防御的情节,讲述的是某国中央情报局CIA受到攻击,攻击者目标直指加密文件服务器,以盗取机密文件为目的。在紧要时刻,CIA的安全专家们迅速做出了反应,通过轨迹回溯机制锁定了黑客所在的具体物理位置,并控制了当地电网控制系统,最后切断了攻击者发起攻击地点的电源供应,终结了他的攻击。

1

在这个情节中,被攻击者采用的响应措施,其实是釜底抽薪的策略,这确实有些令人意外。在机密文件被窃取这样的紧急时刻,去控制当地的电力系统来切断攻击者所在位置的电源供应,这其实面临很大的风险。因为如果入侵电力控制系统没有成功,或者耗时很长,都可能导致更多的数据被盗取,造成的损失会更大。那么问题来了,电影中的CIA安全专家们为什么会采取断电的方式阻止攻击者呢?当然除了美国大片万年不变的宗旨——“最帅最帅我最帅”之外,就是当地的电力控制系统很可能早已被入侵或者远程控制,只要激活远程控制代码,就可以让电力控制系统发出关闭电力供应的指令。

2

 

那么由此引出了另一个问题:当地的电力控制系统已经被入侵并被注入了远程控制代码,只是自己没有发现,这很可能是以前已经遭遇了所谓的APT攻击(高级持续性威胁攻击)。电力控制系统通常都是单独隔离的网络,很难直接从外网实现入侵,那么这种APT类型的攻击是如何实现的呢?事实上攻击者往往是先通过感染内部的某台主机,然后再逐步入侵更重要的主机,获得更高的访问权限,这就是所谓的“城池常常被内部所攻破”的原理。

我们这里就先探讨一下,这种从内部发起的感染或者入侵行为,如何被发现并进行防御和控制。首先来看一下,在内部网络中发生APT类型攻击的步骤:

3

1、攻击者利用系统的后门或者其它方式感染内网终端,将恶意代码带入到企业网络中;

2、恶意代码在被感染终端上自动运行,进行端口扫描和寻找存在的漏洞,并不断尝试进行破解和入侵有漏洞的主机;

3、成功入侵到某些主机,并获得比之前更高的访问权限;

4、并重复执行类似的动作,试图侵入保存更重要信息的主机系统;

5、攻击者侵入重要的信息系统,可以进行数据盗取或者发出各种控制指令。

由于这种来自内网的渗透式的攻击,采用了网络嗅探的方式,通过扫描主机开发的 TCP 或 UCP 端口,寻找主机应用或服务上可能存在的漏洞,然后尝试进行入侵和获取应用或主机的访问权限,所以这种攻击具备了极大的隐蔽性,即使成功的侵入了存储机密数据或关键应用的服务器,也很难被发现。

当然,所有的端口扫描或者异常访问的网络行为,必须通过网络基础架构,包括交换机、路由器或防火墙等网络设备,那么必然在网络上存在着流量行为,如果能够将这些流量行为进行监控、记录和分析,从其中发现异常行为的蛛丝马迹,再进一步就可以做到对威胁和攻击的隔离或者拦截。

启明星辰 FlowEye产品解决方案

 

通过在内部网络中部署网络行为的采集器(简称为 流量探针),将内部网络中的所有访问行为进行记录,并进行集中的统计和分析,再基于专有的安全算法和大数据分析,检测出威胁事件并进行告警。

 

下图介绍了 FlowEye实现内网异常行为检测的实现原理:

4

 

 

在上图中,所有的网络流量都镜像到FlowEye的流量探针上,完成对网络中用户、设备和流量的实时状态进行感知,并提供快速的检测。由 FlowEye集中数据中心通过大数据和专用安全算法,分析隐藏在大量访问记录中的异常行为。

 

在这个过程中,假如发生了内网威胁类型攻击时,FlowEye流量探针会收集并记录访问行为,然后发送到 FlowEye集中数据中心,FlowEye集中数据中心整合多台FlowEye流量探针的流行为记录信息,并通过与资产管理系统进行联动,将流行为中相关的资产信息进行补全,然后与系统的安全基线进行分析,生成一个威胁指数值用来判定事件的严重程度。当威胁指数达到设定的阈值,系统会随之产生报警事件,并在告警事件中提供相应的资产信息,从而让用户快速感知到内网安全威胁。

 

启明星辰FlowEye——用户心目中最有价值的入侵分析安全产品!

 

上一篇:洲际酒店遭遇黑客攻击:用户信息遭泄露

下一篇:赛可达发布2017最新全球中文PC杀毒软件查杀能力横评报告