蝴蝶是美麗的, 你可知美麗的蝴蝶翅膀也會(huì)帶來(lái)意外的效應(yīng)?一只南美洲亞馬遜河流域熱帶雨林中的蝴蝶，偶爾扇動(dòng)幾下翅膀，可以在兩周以后引起美國(guó)德克薩斯州的一場(chǎng)龍卷風(fēng)。是的，看似毫不相干的輕輕揮揮手, 卻有可能引起巨大反應(yīng)。自然界如此，安全界亦如此，在所有讓全球震動(dòng)的APT攻擊事件中，起因都是那些毫不起眼的一個(gè)個(gè)鏈接，通過(guò)輕輕一個(gè)鼠標(biāo)點(diǎn)擊，為黑客打開了勝利之門。手滑帶來(lái)的結(jié)果卻遠(yuǎn)超這個(gè)自然界的蝴蝶效應(yīng)。
一個(gè)個(gè)看似平常的鏈接背后，說(shuō)不定就隱藏著一個(gè)黑客大鱷。在APT攻擊中，有超過(guò)90%的惡意代碼是依靠WEB形式傳輸，而基于WEB流量承載惡意代碼的攻擊形式中，目前最大的風(fēng)險(xiǎn)在于精確釣魚網(wǎng)站攻擊和水坑攻擊。實(shí)現(xiàn)對(duì)WEB流量的檢測(cè)，尤其是對(duì)其中的“0-Day”漏洞的惡意代碼的檢測(cè)，其實(shí)就是控制住了WEB流量中“0-Day”漏洞的翅膀，這是防護(hù)APT攻擊的一個(gè)關(guān)鍵的制高點(diǎn)。
主動(dòng)出擊，定制化的精準(zhǔn)釣魚網(wǎng)站
此釣魚已經(jīng)不是幾年前的釣魚了。釣魚人已經(jīng)不遵循“愿者上鉤“的原則，上鉤者必須是自己看好的才會(huì)收線。攻擊者前期會(huì)通過(guò)正常的URL吸引對(duì)方，利用URL相關(guān)參數(shù)，收集用戶使用的操作系統(tǒng)、瀏覽器和版本等信息。并利用一些基本的技術(shù)，準(zhǔn)確判斷用戶端應(yīng)用環(huán)境，特別是安全防護(hù)軟件和一些常見的本地應(yīng)用，實(shí)現(xiàn)對(duì)用戶環(huán)境精確收集，為指導(dǎo)定制化精確攻擊和繞開常規(guī)檢測(cè)打下基礎(chǔ)。
定制化的精準(zhǔn)釣魚就是在前期精確的用戶信息收集基礎(chǔ)上，實(shí)施的一種釣魚攻擊，比普遍撒網(wǎng)式的釣魚更聚焦、更定制化。通過(guò)發(fā)送鏈接給用戶，只有在被攻擊者名單中的人才能看到這個(gè)釣魚網(wǎng)頁(yè)，甚至名單中不同的人看到不同的內(nèi)容，而不在名單中的其他人看到的則是正常的網(wǎng)站或者是一個(gè)現(xiàn)實(shí)錯(cuò)誤的網(wǎng)頁(yè)。也就是說(shuō)如果你不在名單之列，就看不到釣魚網(wǎng)頁(yè)。依靠這些定制化的釣魚網(wǎng)頁(yè)，你能想象到攻擊者一邊收線，一邊唱到：“釣?zāi)悖災(zāi)?，釣的就是?rdquo;。
靜默守候，精確的水坑式攻擊
所謂“水坑攻擊”，是指黑客通過(guò)分析被攻擊者的網(wǎng)絡(luò)活動(dòng)規(guī)律，尋找被攻擊者經(jīng)常訪問(wèn)的網(wǎng)站的弱點(diǎn)，先攻下該網(wǎng)站并植入攻擊代碼，等待被攻擊者來(lái)訪時(shí)實(shí)施攻擊。這種攻擊行為類似《動(dòng)物世界》紀(jì)錄片中的一種情節(jié)：捕食者埋伏在水里或者水坑周圍，等其他動(dòng)物前來(lái)喝水時(shí)發(fā)起攻擊獵取食物。
水坑也同樣不是幾年前的水坑。除出現(xiàn)的單漏洞多水坑的新攻擊方法外，目前也出現(xiàn)精確式的水坑攻擊。安全人員認(rèn)為，這種新型手段就是對(duì)特定人群進(jìn)行攻擊的全新手段。這種手段被稱為路過(guò)登錄(Drive-by-login)。在路過(guò)登錄攻擊中，黑客在用戶可能登錄的網(wǎng)站中嵌入惡意代碼。這些惡意代碼被用于向特定目標(biāo)注入惡意軟件，而并非所有網(wǎng)頁(yè)訪問(wèn)者。路過(guò)登錄攻擊是非常危險(xiǎn)的，因?yàn)閷?shí)施攻擊并不需要任何社會(huì)工程學(xué)，同時(shí)很難被偵測(cè)到，因?yàn)樗鼈冎幌蛱囟ㄓ脩敉斗艕阂廛浖Ｂ愤^(guò)式登錄攻擊意味著今后沒有網(wǎng)站會(huì)是百分百安全的。任何網(wǎng)站，不論它的大小和功能，都有可能成為復(fù)雜的針對(duì)性入侵的受害者。
華為Firehunter沙箱，WEB "0-Day"威脅的終結(jié)者
對(duì)APT攻擊防御而言，越早在攻擊鏈中實(shí)現(xiàn)有效的檢測(cè)和攔截，APT攻擊造成的損失就越小。在華為前期客戶的實(shí)施和測(cè)試過(guò)程中，有些客戶的互聯(lián)網(wǎng)出口，基于WEB的流量高端95%以上，只有對(duì)這些WEB流量進(jìn)行有效攔截，才能真正實(shí)現(xiàn)占領(lǐng)APT檢測(cè)的制高點(diǎn)。華為Firehunter沙箱，是全球僅有兩家可以檢測(cè)WEB流量中“0-Day”漏洞代碼的安全產(chǎn)品。華為沙箱在檢測(cè)WEB流量時(shí)，先采用靜態(tài)檢測(cè)模式，采用了指令流檢測(cè)和信息熵檢測(cè)模式，實(shí)現(xiàn)對(duì)web網(wǎng)頁(yè)的惡意代碼進(jìn)行檢測(cè)。對(duì)于未能檢測(cè)到惡意代碼的情況，通過(guò)提取調(diào)用的系統(tǒng)API方法、屬性、函數(shù)名稱、插件列表、DOM節(jié)點(diǎn)列表等信息多重判斷頁(yè)面的惡意與否，對(duì)于可疑的頁(yè)面，則將頁(yè)面送到WEB重量級(jí)沙箱中進(jìn)行檢測(cè)。重量級(jí)沙箱系統(tǒng)是針對(duì)可疑頁(yè)面檢測(cè)定制的用于檢測(cè)WEB頁(yè)面的檢測(cè)環(huán)境，通過(guò)監(jiān)視WEB重量級(jí)沙箱內(nèi)IE訪問(wèn)可疑頁(yè)面的整個(gè)過(guò)程，獲取到IE進(jìn)程在訪問(wèn)可疑頁(yè)面過(guò)程中對(duì)操作系統(tǒng)的所有行為，送惡意行為識(shí)別模塊進(jìn)行惡意識(shí)別。華為沙箱采用“動(dòng)靜”結(jié)合的技術(shù)模式，能高效地檢測(cè)WEB流量，有效地保護(hù)企業(yè)安全。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。