企業(yè)高級威脅攻擊的典型特征與影響
隨著移動通信、云計算、大數(shù)據(jù)以及物聯(lián)網(wǎng)技術(shù)的發(fā)展，新一代網(wǎng)絡(luò)攻擊技術(shù)也在持續(xù)演進，0day、無文件攻擊等使今天的網(wǎng)絡(luò)攻擊變得更加隱蔽;不斷更新的變種使木馬、病毒、蠕蟲等惡意文件難以識別和檢測;而網(wǎng)絡(luò)攻擊即服務(wù)使高級攻擊的門檻變得更低。
傳統(tǒng)的安全防護能力正在不斷減弱，勒索服務(wù)、供應(yīng)鏈攻擊成了當今網(wǎng)絡(luò)安全威脅的新常態(tài)。高級威脅攻擊就像一把高懸在頭頂?shù)?ldquo;達摩克利斯之劍 ”，讓很多企業(yè)在數(shù)字化轉(zhuǎn)型中感到不安。
圖 1 企業(yè)面臨的高級威脅攻擊
為了幫助我國企業(yè)用戶更好地應(yīng)對高級威脅挑戰(zhàn)，安全牛日前開展了《2021企業(yè)高級威脅防護能力構(gòu)建指南》專項報告研究。通過對近百家國內(nèi)企業(yè)用戶的現(xiàn)場訪談和問卷調(diào)研，安全牛研究團隊認為：以APT為代表的高級威脅攻擊已經(jīng)開始對我國企業(yè)用戶產(chǎn)生較大影響，需要企業(yè)安全管理者對此給予足夠的重視并做好應(yīng)對準備。
主要原因包括：
第一，今天的攻擊者已經(jīng)具備較全面的情報收集能力和智能大數(shù)據(jù)分析能力，可以更有針對性的選用攻擊工具和方法;
第二，目前的高級威脅攻擊會使用系統(tǒng)化的攻擊工具，其特點表現(xiàn)為樣本多變、持久化、對抗性強、橫向移動&權(quán)限提升、網(wǎng)絡(luò)連接。
圖 2 攻擊技術(shù)特點
我們對企業(yè)級高級威脅攻擊的主要特點進行了梳理和總結(jié)：
- 在樣本變化方面，由PE文件逐漸向腳本文件轉(zhuǎn)化，落盤文件向無文件轉(zhuǎn)化;
- 在持久化攻擊方面，入侵者通過某種手段拿到服務(wù)器的控制權(quán)之后，通過在服務(wù)器上放置一些后門(腳本、進程、連接之類)，來方便他以后持久性的入侵;
- 在對抗性方面，攻擊者會定制化的進行惡意代碼目錄和文件名的偽裝，或使用一定密鑰長度的加密算法繞過安全設(shè)備檢查，甚至檢測主機環(huán)境信息修改文件創(chuàng)建時間，使攻擊行為不易被發(fā)現(xiàn)，甚至發(fā)現(xiàn)了也沒有有效的處置措施;
- 在橫向移動&權(quán)限提升方面，通過橫向移動，攻擊者可以拿到域控權(quán)限，進而控制域環(huán)境下的全部機器，獲得敏感資源的訪問權(quán)限;
- 在網(wǎng)絡(luò)連接方面，內(nèi)網(wǎng)主機一旦被攻破，攻擊者就會下發(fā)木馬類工具并試圖建立C&C的反向連接，用于后期的信息收集。
調(diào)研發(fā)現(xiàn)，針對企業(yè)的高級攻擊技術(shù)手段具有較為明顯的時間性特征。2016年之前的高級威脅攻擊檢測主要集中于高級躲避技術(shù)、高級持續(xù)性威脅、僵尸網(wǎng)絡(luò)、特洛伊木馬(RAT)、主動威脅和惡意文檔。同時期典型的高級威脅攻擊技術(shù)還包括郵件釣魚、水坑攻擊等。而2017年以后，針對應(yīng)用的攻擊越發(fā)明顯，定向勒索、郵件釣魚手段的使用只增不減。同時，利用社會熱點事件、供應(yīng)鏈和遠程辦公、內(nèi)存馬攻擊、無文件攻擊等手段逐漸成為新安全熱點。
圖 3高級威脅典型的攻擊技術(shù)
本次報告中，我們還對企業(yè)遭受高級威脅攻擊時的影響進行了調(diào)查，結(jié)果顯示：目前企業(yè)在應(yīng)對高級威脅的防護能力方面普遍不足，并且防護意識薄弱;在防護失效情況下，高級威脅攻擊所產(chǎn)生的影響通常非常嚴重并且不可逆。由于高級威脅攻擊的目的性和針對性特別強，因此其攻擊目的一旦達成，受害企業(yè)不僅會遭受經(jīng)濟上的直接損失，還會間接影響到企業(yè)未來發(fā)展，甚至危害到我國相關(guān)行業(yè)的整體發(fā)展與利益實現(xiàn)。
圖4 高級威脅的影響
我國企業(yè)正處于數(shù)字化轉(zhuǎn)型的關(guān)鍵時期，當日常業(yè)務(wù)全面數(shù)字化以后，需要對高級威脅攻擊有更好的認知和應(yīng)對準備。安全牛將在后續(xù)研究中，繼續(xù)解讀企業(yè)在應(yīng)對高級威脅攻擊時面臨的挑戰(zhàn)，研究高級威脅攻擊防護能力如何構(gòu)建，探索提供相關(guān)領(lǐng)域的最佳實踐經(jīng)驗。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
