Palo Alto Networks Check Point Symantec McAfee 聯合防禦 情資分享 縱深防禦 達友科技 資安

情資分享平台為基礎 建構聯合防禦陣線

2018-02-07
在IT基礎架構中,端點保護與閘道端防禦始終是最關鍵的資安建置,藉此建立縱深防禦,提高攻擊入侵的門檻。近年來隨著駭客攻擊以金錢為主要目的,利之所趨因而大量蜂起,所運用的惡意程式不僅變種頻繁也更刁鑽,可順利繞過偵測措施以免在橫向活動階段觸發警鈴,都讓現有資安保護機制備受挑戰。
欲及早辨識與阻止惡意程式的活動行為,「基於情資分享平台建構聯合防禦體系」已是資安業界一致發展方向。原本各司其職的端點與閘道端解決方案供應商,陸續透過併購方式拓展產品線,提供由端點、閘道、雲端所組成的整合式平台,藉此降低資安風險。

發展預防性資安基礎設施

現代企業面對全球化市場競爭,數位轉型已是大勢所趨。Palo Alto Networks亞太暨日本區行銷總監KP Unnikrishnan指出,不管是企業、政府,甚至是個人,都有機會運用新興科技來增加生產力,但駭客攻擊同樣也在轉型,利用逐年倍增的連網裝置建立自動化攻擊;根據Palo Alto Networks內部統計,2017年相較於2016年,網路攻擊增長量高達40%,導致12億筆資料外洩,也造就了網路犯罪產業已達到數兆美元規模,甚至比毒品交易更加有利可圖,短期已難遏止,正在發展新商業模式的企業勢必得有所因應。

許多企業的資安或IT決策者遭遇資安問題時,通常是導入新產品技術來解決,KP Unnikrishnan認為,實際上並非有效的方法,畢竟現在行動工作者居多,存取的IT環境除了資料中心,同時也有G Suite、Office 365等各式雲端服務,必須要建立整合性的平台,全面地掌握組織內所有工作環節的資訊,藉此達到可視化,進而在聯合防禦體系中建立自動化措施,來預防遭受攻擊。

過去十多年來的資安意識,大多只關注網路或網站遭受攻擊,因此直覺就以建置新世代防火牆來防制,但如今從國際間發生的重大資安事件可發現,傳統資安思維已不足以對抗新型態威脅,應用程式或行動App可能存在漏洞遭受攻擊,網頁內容也可能被植入惡意程式碼,已非由單一解決方案得以涵蓋的範疇,因此國際資安廠商也在進化,在事後修復的過程中同時快速解析出特徵,將未知攻擊轉換成可明確阻擋的已知攻擊,藉此建立「預防性」的防禦基礎設施。

同時,接下來的趨勢是要以整合性的架構,來對抗新型態攻擊,無法僅仰賴單一技術供應商來防制。因此解決方案供應商除了提供相關技術與工具,另一方面也正在逐步開放API,讓第三方的廠商介接,或客戶自行開發App時得以內建防禦機制,才得以透過團結的力量共同預防攻擊。

擴展資安防線 單一廠商方案整合度較高

針對台灣資安環境現況,長期身為代理商的達友科技副總經理林皇興觀察,本土企業具備了在實際應用環境建立縱深防禦的觀念後,近年來多數客戶期待進一步借助雲端、終端、閘道端彼此之間的整合能力,以降低新型態資安威脅風險。現階段則更多需求在於IT環境的可視化能力,希望藉由蒐集不同環節產出的資料,從中分析威脅資訊,輔助聯合防線的建構。


▲企業現階段面臨的新興資安威脅,傳統單點式防禦機制已無法發揮原有效益,同時人工處理的環節過多,也讓入侵者有進行攻擊活動的可趁之機。(資料來源:McAfee)

「其實聯防本就是資安市場發展方向之一,只是以往大都是基於單一廠商提供的方案才得以建構,而且偏重於閘道端資安設備彼此之間的整合,較少連結到端點。自從雲端運算興起後,不同領域的資安廠商開始陸續透過雲端執行進階偵測,例如運用沙箱模擬分析產生出惡意指標。發展至近年,也開始擴展成為端點與閘道端的聯合防線。」林皇興說。

就賽門鐵克而言,賽門鐵克首席技術顧問張士龍說明,主要是基於情資中心,藉此分享提供所有防護設備,讓不同管道的措施皆可發揮作用。他進一步提到,閘道端、郵件、網站等防禦管道所產生的情資,必須建立分享機制,過去常見透過API介接整合,卻往往會遇到各家廠商開放程度不一致,使得情資資料不夠完整,因此實務上通常採用單一廠商提供的方案。例如賽門鐵克在情資分享方面,APT方案中有區分不同模組,包含端點、閘道、網路偵測機制,所產生的情資會相互分享,只要在其中一個管道取得攻擊樣本建立特徵碼,即可透過聯防防堵。

開放API、專屬協定 以情資為基礎建立聯防

情資分享可說是聯合防禦的重要基礎,許多國際級資安廠商原本設立於內部的研究實驗部門,在新型態威脅推波助瀾下反而成為關注的焦點,甚至轉型開始向外提供服務。從技術的角度來看,林皇興認為,廠商們設計的偵測技術不同,產生的結果與研究分析成果也不一樣,即便透過開放API建立接口,欲直接整合或交換情資確實有難度。

對此,近年來國際資安業界已發展出共通的格式,如今的情資平台可基於STIX、TAXII標準XML來描述,以實現跨技術平台資訊的整合與交換,甚至有些廠商已經把API開放原始碼放到GitHub社群,將有助於推動實作整合應用,提升惡意攻擊行為的辨識率。

強調以情資交換為基礎,而非僅以自家產品彼此整合建構聯合防禦陣線的McAfee,早在三年前即已不再採API介接,改為透過DXL(Data Exchange Layer)通訊協定來進行入侵指標(Indicators of Compromise,IOC)的交換。McAfee台灣區總經理沈志明說明,當沙箱模擬分析取得IOC之後,可直接餵入內部自建威脅情資平台TIE(Threat Intelligence Exchange),除了介接雲端GTI(Global Threat Intelligence)信譽與分類服務,同時可藉由DXL與第三方廠商技術平台建立協同合作,彼此交換最新種子(Feed),再發布通知到各個資安設備,即可藉此快速地建立新型態惡意程式的辨識能力,並且執行自調適政策阻斷執行。

「DXL通訊協定本身就是為了情資的交換而設計,解決異質技術平台溝通的效率。這是我們近年來落實的部分,並非是未來應用場景,而是實務上已經在運行的架構。」沈志明強調。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!