網(wǎng)絡(luò)威脅就像感冒或者其他什么感染性病毒，誰(shuí)也無(wú)法避免。但這是生活的一部分，它們就在那里，伺機(jī)給你來(lái)上一下，讓你的生活變得有那么點(diǎn)點(diǎn)艱難。
同時(shí)，你又不能以犧牲業(yè)務(wù)發(fā)展的方式全情投入到防范潛在風(fēng)險(xiǎn)上。你必須在不干擾現(xiàn)有業(yè)務(wù)，不妨礙未來(lái)發(fā)展的前提下保護(hù)好自己。這意味著，你得采取成熟的風(fēng)險(xiǎn)管理方法，明智地分配預(yù)算，讓自己的IT團(tuán)隊(duì)有余力支持新工作方式的同時(shí)還能為公司提供最大限度的防護(hù)。
了解攻擊鏈
在打算與風(fēng)險(xiǎn)共存之前，你得先了解面對(duì)的風(fēng)險(xiǎn)到底是什么樣子的，描繪出風(fēng)險(xiǎn)演變成攻擊的可能路線圖。老牌安防公司洛克希德向軍方尋求答案，借鑒了軍方“殺傷鏈”的概念，也就是最初用于描述運(yùn)動(dòng)攻擊結(jié)構(gòu)的概念。
由Websense、石軟(Stonesoft)與雷神(Raytheon)新組成的安全公司Forcepoint描述的“殺傷鏈”(Kill Chain)則與洛克希德略有不同：
Forcepoint 七步殺傷鏈
1. 偵察：攻擊前期，惡意行為人將收集盡可能多的情報(bào)，摸清目標(biāo)網(wǎng)絡(luò)和組織架構(gòu)情況 -->
2. 誘騙：洛克希德描述為“武器化”，但Forcepoint認(rèn)為這一階段的特征在于誘餌的創(chuàng)建，比如電子郵件、社交媒體帖子，或者其他貌似合法鏈接的發(fā)布內(nèi)容 -->
3. 重定向：洛克希德的殺傷鏈中稱這一步為“投放”。Forcepoint則強(qiáng)調(diào)，放出的誘餌會(huì)將用戶重定向到包含了漏洞利用鏈接的頁(yè)面上去 -->
4. 漏洞利用：這一階段，漏洞利用工具包將被用于掃描目標(biāo)系統(tǒng)的弱點(diǎn)，謀取進(jìn)入目標(biāo)系統(tǒng)的權(quán)限。網(wǎng)絡(luò)釣魚攻擊者可能會(huì)獲取到用戶憑證。惡意攻擊載荷也許會(huì)勾取到未打補(bǔ)丁軟件產(chǎn)品中的某個(gè)漏洞 -->
5. 安裝/釋放文件：漏洞利用工具包找到系統(tǒng)弱點(diǎn)，釋放惡意軟件，感染系統(tǒng)，然后搜尋可提取的數(shù)據(jù) -->
6. 命令與控制：惡意載荷回連攻擊者，創(chuàng)建控制信道，讓攻擊者得以借由控制信道操縱惡意軟件，執(zhí)行最終命令 -->
7. 在目標(biāo)上的動(dòng)作：索錢環(huán)節(jié)。攻擊者可利用惡意軟件在目標(biāo)系統(tǒng)里為所欲為，包括盜取數(shù)據(jù)、偷取知識(shí)產(chǎn)權(quán)，或者竊取內(nèi)部資源等等。
區(qū)分不同種類的攻擊
將第二階段描述為誘騙，并采取靈活的應(yīng)對(duì)措施，可以解決洛克希德模型中一個(gè)廣受詬病的問(wèn)題點(diǎn)——只注意到惡意軟件而排除了網(wǎng)絡(luò)釣魚攻擊。不是所有的威脅都會(huì)走完所有步驟，而且攻擊階段有可能會(huì)循環(huán)往復(fù)，大大延伸了殺傷鏈7步過(guò)程的內(nèi)容。這些步驟為網(wǎng)絡(luò)罪犯提供了成百上千種在相當(dāng)長(zhǎng)的時(shí)期內(nèi)創(chuàng)建執(zhí)行APT的方法。
安全從業(yè)人員想保護(hù)自家公司不受威脅侵害，就得從漫天方法中找出針對(duì)性的那幾個(gè)，跟大海撈針，還是撈一把針，也差不多了。他們必須識(shí)別不同類型的攻擊，在必要的地方區(qū)分開(kāi)來(lái)，或者找出單個(gè)來(lái)看不顯眼，但結(jié)合上下文就昭示著大事件的那些小事件之間的聯(lián)系。
想弄清當(dāng)前狀態(tài)，工具是必需的。事件關(guān)聯(lián)引擎這種好工具是必備品，但它還得用在尋找正確的事件上。
高級(jí)安全團(tuán)隊(duì)能走得更為深入，將工具層當(dāng)做其他統(tǒng)計(jì)分析工具的數(shù)據(jù)源，對(duì)網(wǎng)絡(luò)正常行為進(jìn)行建模。這將有助于安全團(tuán)隊(duì)更容易地檢測(cè)異常行為。但這不是一蹴而就的事，模型成熟度是需要訓(xùn)練的。
通觀全局，事無(wú)巨細(xì)全盤了解，有時(shí)候是難以完成的任務(wù)?？傆行┑胤绞怯^察不到的，總有些小事件無(wú)法關(guān)聯(lián)到一起。
安全團(tuán)隊(duì)的預(yù)算優(yōu)先權(quán)
如果同時(shí)關(guān)注所有事件是不可能完成任務(wù)，那么搞個(gè)分診臺(tái)可能是最經(jīng)濟(jì)有效的長(zhǎng)遠(yuǎn)之計(jì)。有頭腦的公司會(huì)給自己跨越攻擊和技術(shù)的網(wǎng)絡(luò)安全運(yùn)營(yíng)設(shè)定優(yōu)先級(jí)，好鋼用在刀刃上。也就是弄個(gè)鏡頭來(lái)幫自己聚焦到真正重要的事務(wù)上。
先從將你的安全活動(dòng)框進(jìn)一個(gè)實(shí)際的安全模型中開(kāi)始，讓它們符合一個(gè)真正專注于IT安全的框架。美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究所(NIST)安全框架是首選。還有一些政府工具和私人實(shí)踐操作可以幫助公司企業(yè)將其他專業(yè)領(lǐng)域的框架映射到NIST中。這里說(shuō)的其他框架包括：從風(fēng)險(xiǎn)管理角度出發(fā)的COSO，國(guó)際信息系統(tǒng)審計(jì)協(xié)會(huì)ISACA用來(lái)進(jìn)行IT管控的COBIT，存儲(chǔ)信用卡數(shù)據(jù)的PCI-DSS，美國(guó)醫(yī)療業(yè)務(wù)的HIPPAA，美國(guó)聯(lián)邦政府安全評(píng)估和檢測(cè)標(biāo)準(zhǔn)方法FedRAMP。
所有這些都需要外部控制器接口(PCI)映射到NIST框架中。PCI能耦合所有第三方要求和內(nèi)部業(yè)務(wù)需求，讓你可以明確地選擇放置安全控制的地方。這一做法的重點(diǎn)在于理解該怎樣審慎而明智地將你的安全工具預(yù)算發(fā)揮最大效益。一個(gè)好的風(fēng)險(xiǎn)評(píng)估，結(jié)合對(duì)安全工具特點(diǎn)的理解，能幫助首席信息安全官(CISO)理順安全支出的優(yōu)先級(jí)。
但長(zhǎng)期來(lái)看，只做到這些或許還不足夠。攻擊者數(shù)量永遠(yuǎn)比防御者多，資金支持也更雄厚。這是一場(chǎng)越來(lái)越難以贏得的貓鼠游戲。依靠各款單項(xiàng)最佳產(chǎn)品的組合會(huì)引發(fā)警報(bào)和網(wǎng)絡(luò)噪聲的大爆發(fā)，只會(huì)增加復(fù)雜性而不是讓你的安全態(tài)勢(shì)更明朗。在非?，F(xiàn)實(shí)的意義上，安全行業(yè)目前處于一種只見(jiàn)樹(shù)木不見(jiàn)森林的境地，不能及時(shí)提供可靠、可行的數(shù)據(jù)供IT人士更快地抓住威脅。一些網(wǎng)絡(luò)防御提供商已經(jīng)意識(shí)到了這一點(diǎn)，正在轉(zhuǎn)向用更全面的方法來(lái)更快更準(zhǔn)確地從噪音中分離出真正的威脅來(lái)。
在一些低風(fēng)險(xiǎn)的領(lǐng)域，可用為期1年的員工培訓(xùn)對(duì)付過(guò)去，然后再推出技術(shù)解決方案進(jìn)行強(qiáng)化，提供更多的防護(hù)。
利用自動(dòng)化分析打磨直覺(jué)判斷
人的因素是很重要的。工具可以提供合適的數(shù)據(jù)，但如何解釋它們?nèi)匀恍枰翡J的眼光。團(tuán)隊(duì)中有那么一兩個(gè)很棒的分析師簡(jiǎn)直價(jià)值千金。隨著安全實(shí)踐不斷進(jìn)化發(fā)展，分析師將會(huì)更多地利用自動(dòng)化和分析補(bǔ)完他們的直覺(jué)。
但要達(dá)到這么復(fù)雜的水平，外部威脅數(shù)據(jù)和內(nèi)部工具的結(jié)合不能少。我們將見(jiàn)證更多的信息共享。美國(guó)的ISACS已經(jīng)讓信息安全威脅共享變得更容易了。自動(dòng)化、結(jié)構(gòu)化的信息共享也正在興起——采用Facebook家威脅交換(ThreatExchange)這樣的API(應(yīng)用編程接口)驅(qū)動(dòng)的服務(wù)，以及描述新興 安全事件的分類法和協(xié)議(STIX/IODEF/RID)。還有VERIS事件記錄語(yǔ)言——能讓我們?cè)谑掳l(fā)后吸取經(jīng)驗(yàn)教訓(xùn)的語(yǔ)言。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開(kāi)微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。