CounterTack Dark Web ISO17025 DarkNet APT SOC 安碁資訊 ISMS 中華電信 數聯資安 資通安全 中芯數據 前瞻計畫 ISAC SOC eDC EDR ERT

緊盯資安最脆弱環節 專家解析主機異常活動

2017-10-16
資安委外服務並非只有典型的7╳24小時專業人力維運的資安監控中心(SOC)而已。針對常成為攻擊目標的端點環境,亦有業者專門打造了內網威脅監控(APT SOC)服務,透過代理程式蒐集取得執行程序、註冊機碼、檔案行為、記憶體、網路連線等活動資料,即時分析與偵測異常行為,一旦發現問題不僅立刻觸發告警,亦可由資安服務委外廠商(MSSP)提供遠端即時事件處理與鑑識。
過去的資安委外代管服務,中芯數據資深資安顧問吳耿宏不諱言,在台灣推廣狀況大多被拒於門外,但近兩年資安事件新聞持續不斷,尤其是2016年第一銀行ATM遭國際犯罪集團盜領案,不僅是APT攻擊的經典案例,且調查入侵活動後所取得的資訊,公開揭露還原整起攻擊程序,成為資安業界最佳教學案例,也讓APT攻擊的危害程度再度受到企業所關注。

「近來發現拜訪的企業已經不再排斥資安委外服務,也願意進行概念驗證。在實際安裝CounterTack程式後,多數環境確實可從中偵測發現威脅程式的軌跡,因此相信中芯數據的技術能量,開始採用內網威脅監控服務。」吳耿宏說。

還原攻擊活動真相 改善被利用的弱點

以往台灣企業發生資安攻擊事件後,都會盡力封鎖消息,避免外界得知損及企業形象,因而少有人知,直到第一銀行ATM盜領案在發生當下即驚動警察,加上媒體持續追蹤報導,才得以讓大眾深刻明白,原來現代的APT攻擊活動,完全能夠繞過多重資安防禦措施。吳耿宏觀察,發生資安事件後通報警察處理,或許可免費交由調查局以人力方式還原硬碟磁區的資料,追蹤到攻擊源頭與惡意程式,但多數企業仍舊會盡量避免驚動檢調,畢竟如此一來,受駭消息勢必得曝光,對於商譽損害將難以估量。


▲ 中芯數據提供內網威脅監控服務(APT SOC),可持續監控端點及主機的惡意程式行為,並提供客戶通報與即時回應服務。(資料來源:中芯數據)

由前述第一銀行案例來看,經過調查局數位鑑識結論是來自倫敦分行連線到總行的派送主機,跳板到多台ATM機器,過程中經過多重控管環節與關卡,卻沒有偵測發現任何惡意程式,才讓盜領案活動成功。調查局之所以能夠還原整起事件的真相,即代表攻擊活動的行徑實際上可透過推論、追蹤,查探到最初期被滲透成功的環節,這也是數位鑑識主要的意義,在於釐清整起事件的來龍去脈、攻擊活動的執行策略,以便事後調整防禦措施,或改善脆弱點,才有能力防範二次攻擊,而非只是逕行阻斷或刪除惡意程式,根本無法幫助提升資安防護能力。

「若能夠透過工具機制協助,在主機被滲透入侵成功的當下立即啟動鑑識功能,即可降低事件實際發生的機率,近年來資安界興起的EDR(Endpoint Detection and Response)市場,即是為了輔助鑑識調查所設計的工具。」吳耿宏說。

EDR輔助資安專家 提升事件調查效率

▲中芯數據資深資安顧問吳耿宏強調,EDR蒐集端點日誌、分析指出可疑行為的主要目的,是為了輔助專業資安人員執行鑑識,取得攻擊入侵活動指標,才能用以防範類似事件再次上演。
為避免資安事件消息公諸於世,受駭企業就得投資經費請資安服務廠商來執行調查與處理,這也是近兩年資安服務業興盛的原因之一。弔詭的是,資安事件已造成損失的情況下,還必須請業界的資安專家執行實作,以人天計價方式通常所費不貲,對於採預算制度為主的本土公司而言,這筆額外花費取得的方式難度不低。

因此,中芯數據所設計的內網威脅監控服務,搭配自動化工具協助,也就是屬於EDR市場領域的CounterTack於端點環境持續不斷地蒐集,包含執行程序狀態、註冊機碼的異動、檔案執行活動、網路存取行為等資料,進而基於惡意程式特有的指標執行比對,判定為異常行為的同時亦觸發執行追蹤機制,以確保攻擊活動所有資訊不致被消滅,最後才由資安專家人工判讀分析後的資訊,如此一來,才可提升事件調查的效率、縮減服務費用。

承接資安委外服務專案的廠商,可能必須調查成千上萬台電腦數量的環境,勢必得運用工具協助,也就是先行大量部署EDR工具,並且定義惡意程式指標條件,一旦發現立即提出警報,再由資安專家解讀資訊判斷威脅性。

此外,多數事件回應與處理通常是一次性的服務,在大規模端點環境中,必須完整掌握所有遭受感染的主機,才不致出現遺漏,讓類似的資安事件重複地發生。事實上,即便是資安專家也無法保證惡意程式已完全被清除,仍舊必須持續地監看與分析行為模式是否出現異常,此時部署EDR工具即可發揮功效,依據入侵指標辨識,一旦發現立即執行鑑識。

統整端點資料 增添資安監控可視性

既然現代攻擊活動執行的惡意程式,有能力繞過各種資安防禦措施,若7╳24小時資安監控中心的專家,僅能就SIEM平台所蒐集取得的設備日誌進行分析,勢必會有盲點,必須也要具備蒐集端點系統資料的能力,例如採用EDR來執行,才能以全面性的視野深入探查資安防禦措施無法偵測的攻擊活動。

「現階段資安市場上的EDR產品範圍相當廣泛,我們評估輔助工具時鎖定的要點是能夠錄下所有端點活動,至於事件分析條件,我們可以自行定義,畢竟惡意程式為了免於被偵測發現,手法會經常改變,須具備可隨之調整定義的機制。」吳耿宏說。

實際上,運用系統與軟體的弱點執行滲透攻擊的攔截率相當高,因為攻擊手法已被完整解析,資安防禦措施只要快速跟進,即可協助大多數客戶辨識,因此,攻擊活動主流手法是採用社交工程郵件誘騙使用者點選檔案,如此一來,惡意程式即可運行。若端點具備EDR工具持續搜集資料,並整合到SIEM平台供資安人員監看,藉此及早發現或許可免於釀成更大危害。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!