APT 攻击新趋势与防御策略预防 APT 攻击的 11 大守则互联网连接的世界简直是一个网兜, 变得越来越精巧和巩固这种环境也给恶意软件生存提供了最佳的条件随着互联网的发展, 通过电子邮件或 SNS 传送新年贺卡请柬和简历表已不再是新鲜事但是, 您无意中打开的电子邮件和 SNS 也隐藏着

Size: px

Start display at page:

Download "APT 攻击新趋势与防御策略预防 APT 攻击的 11 大守则互联网连接的世界简直是一个网兜, 变得越来越精巧和巩固这种环境也给恶意软件生存提供了最佳的条件随着互联网的发展, 通过电子邮件或 SNS 传送新年贺卡请柬和简历表已不再是新鲜事但是, 您无意中打开的电子邮件和 SNS 也隐藏着"

町段
5 years ago
Views:

1 (Vol.16) 预防 APT 攻击的 11 大守则

APT 攻击新趋势与防御策略预防 APT 攻击的 11 大守则互联网连接的世界简直是一个网兜, 变得越来越精巧和巩固这种环境也给恶意软件生存提供了最佳的条件随着互联网的发展, 通过电子邮件或 SNS 传送新年贺卡请柬和简历表已不再是新鲜事但是, 您无意中打开的电子邮件和 SNS 也隐藏着意想不到的恶意代码的威胁就这样, 恶意程序乘机进入你的电脑了尤其, 针对特定企业或机关

2 APT 攻击新趋势与防御策略预防 APT 攻击的 11 大守则互联网连接的世界简直是一个网兜, 变得越来越精巧和巩固这种环境也给恶意软件生存提供了最佳的条件随着互联网的发展, 通过电子邮件或 SNS 传送新年贺卡请柬和简历表已不再是新鲜事但是, 您无意中打开的电子邮件和 SNS 也隐藏着意想不到的恶意代码的威胁就这样, 恶意程序乘机进入你的电脑了尤其, 针对特定企业或机关社会基础设施等的攻击, 其破坏力已超出想象对于网络安全略有知识的人对 APT 早已司空见惯下面, 让我们再一次盘点一下 2014 年目前的 APT 情况和相应的防御策略有哪些 APT 定义 2004 年 6 月, 韩国发生了针对政府和企业的 PeepViewer 木马病毒传播事件据韩国国家情报院称, 此次病毒感染了 6 个公共机关的 64 台计算机和民间企业的 52 台计算机该木马病毒通过电子邮件发送专题讨论会.MDB 的附件并试图感染对象的计算机此次事件被称为针对政府和一般企业窃取机密的韩国首次的 APT 攻击事件之后, 韩国大举出现 APT 攻击事件是从 2011 年开始典型的 APT 攻击事件是,2011 年 4 月发生的韩国农协遭到外部攻击后导致计算机网络瘫痪的事件攻击者首先感染了外协企业职员的手提电脑后, 通过该手提电脑入侵到内部系统攻击者通过 P2P 程序发布恶意代码后, 长达 7 个月的时间持续不断地监视并伺机发起攻击同年 7 月, 韩国 SKCommunications 公司遭到黑客攻击, 导致 3500 万客户的个人信息外泄, 规模之大震惊了全韩国该攻击使用了先是入侵到免费软件更新服务器, 将正常文件变换为恶意代码, 然后再发布的方式攻击者仅在 8 天的时间内就获得了数据库管理员权限, 并将数据库的数据压缩后盗走 2010 年, 伊朗的核电站的计算机系统被 Stuxnet 蠕虫攻击该病毒利用了 MS Windows 的已知的三个漏洞和两个零日漏洞 2011 年发生的 Duqu 和 2012 年发生的 Flame 都是收集伊朗核电站有关情报为目的入侵事件 2

2010 年 1 月, 发生了被称为极光行动 (Aurora) 的一场网络攻击遭受攻击的除了 Google 外, 还有 34 个尖端 IT 企业该攻击利用微软的 IE 零日漏洞, 通过电子邮件和即时信息程序传播了恶意网址 2011 年 3 月, 发生了试图窃取 EMC/RSA 的 OPT(One Time Password) 产品机密情报的事件为了选定攻击对象,

DarkComet RAT 恶意代码生成器制作恶意代码主要感染了叙利亚以色列沙特阿拉伯和黎巴嫩等国家的计算机 2013 年,APT 攻击更加猖狂 1 月, 发生了被称为红色十月行动 (Operation Red October) 的病毒攻击东欧及中亚国家机关的黑客事件该病毒针对政府和研究机关等试图发起精湛的攻击 2 月, 纽约时报和华尔街日报等美国主要新闻单位指出, 曾经有黑客试图攻击,

3 2010 年 1 月, 发生了被称为极光行动 (Aurora) 的一场网络攻击遭受攻击的除了 Google 外, 还有 34 个尖端 IT 企业该攻击利用微软的 IE 零日漏洞, 通过电子邮件和即时信息程序传播了恶意网址 2011 年 3 月, 发生了试图窃取 EMC/RSA 的 OPT(One Time Password) 产品机密情报的事件为了选定攻击对象, 通过社交网络确保了内部职员的个人信息从这点来看, 该事件也被称为 APT 入侵事件通过电子邮件传播了嵌入 Adobe Flash Play 的零日漏洞的恶意文件, 并通过社会工程学手法试图感染内部职员的计算机 2012 年 2 月,CNN 暴露叙利亚政府为监视反政府人事传播了恶意代码该病毒通过电子邮件附件虚假 Youtube 网页和 Skype 传播, 并利用公开在地下组织的 DarkComet RAT 恶意代码生成器制作恶意代码主要感染了叙利亚以色列沙特阿拉伯和黎巴嫩等国家的计算机 2013 年,APT 攻击更加猖狂 1 月, 发生了被称为红色十月行动 (Operation Red October) 的病毒攻击东欧及中亚国家机关的黑客事件该病毒针对政府和研究机关等试图发起精湛的攻击 2 月, 纽约时报和华尔街日报等美国主要新闻单位指出, 曾经有黑客试图攻击, 并报道其背后是中国的 APT 1, 引起了争议 3 月, 发生了印度的黑客集团 Operation Hangover 攻击了临近国家的政府机关的事件 4 月, 发表了国际黑客集团 Winniti 攻击了韩国美国和日本等全世界 30 多个国家的网络游戏公司 6 月, 发生了 Traveler 病毒攻击 40 多个国家的 350 个机关的事件 9 月, 针对韩国和日本的主要政府机关和企业为对象试图攻击的小规模的网络佣兵 Icefog 和雇凶黑客集团 Hidden Lynx 的实体被爆 12 月, 报道中国黑客组织 Ke3chang 攻击欧盟 5 国外交部长官的计算机的事件 3

并且攻击对象范围也越来越广泛过去,APT 攻击的主要目标是政府和军事机关但是现在, 范围扩大到民间企业, 其中包括拥有高附加值数据的尖端企业

4 1 APT 攻击形式的特征攻击对象的扩大随着互联网和计算机的发展, 政府机关和各企业纷纷导入了办公自动化系统因此, 不仅是所有的业务, 就连机密文件也以电子文档形式保存到文件服务器这种环境造成了 APT 攻击的有利机会 APT 攻击目的变得更加多样化, 并且攻击对象范围也越来越广泛过去,APT 攻击的主要目标是政府和军事机关但是现在, 范围扩大到民间企业, 其中包括拥有高附加值数据的尖端企业在韩国和日本, 尤其是金融机关新闻社和网络游戏公司成为了 APT 攻击的主要目标年 3 月 20 日, 韩国发生了多家银行和电视台遭遇具有典型 APT 特征攻击事件 4

5 高级攻击技术网络和 SNS 的发展给攻击者提供了一个容易收集攻击对象个人信息的环境利用收集的个人信息开发专门针对攻击对象的社会工程学手法, 并应用 EMC/RSA 入侵事件也是一个利用社会工程学手法的 APT 攻击, 将招聘有关的信息伪装后发送给内部职员另外, 恶意代码制作和漏洞开发技术的发展对于迂回安全产品检测和 APT 攻击的成功做出来巨大的贡献有时, 恶意代码将多个功能, 如自我更新 (self-update) 和安全软件失灵的功能组合到一起, 再进行攻击漏洞技术主要利用一般软件的已知漏洞或者零日漏洞目前为止,APT 攻击的主要手法是利用电子邮件的附件形式以前, 附件一般是可执行文件, 但是最近, 演变为电子文档形式在韩国, 利用免费软件自动更新功能和 P2P 程序攻击的事例越来越增加 5

攻击者在窃取内部数据后删除潜伏的痕迹, 从对象系统悠然退出为了响应安全威胁, 需要事先建立基于危机管理的企业安全策略另外, 为了缩小攻击面积和检测攻击的效率, 需要建立深层的响应

6 APT 攻击防御策略 APT 攻击方式 APT 攻击首先从定义攻击对象开始一旦定义攻击对象后制作或购买适合对象的恶意代码, 并分析攻击对象, 然后再试图感染对象的内部系统此时, 利用社会工程学手法发起针对性攻击一旦成功感染内部系统, 就确保了攻击据点感染内部系统成功后, 反向连接到 C&C 服务器通过 C&C 服务器远程控制并指使攻击命令攻击者在窃取内部数据后删除潜伏的痕迹, 从对象系统悠然退出为了响应安全威胁, 需要事先建立基于危机管理的企业安全策略另外, 为了缩小攻击面积和检测攻击的效率, 需要建立深层的响应 (Defense in Depth) 战略, 还要确保安全情报 (Security Intelligence) 来迅速响应新的安全威胁最近很多安全事件的始发从内部人员开始内部人员是企业系统安全的一大风险来源, 因此定期进行安全认知教育很重要 6

为了事前防止 APT 攻击, 必须遵守下面的内容 < 强化系统以预防 APT 攻击 > 1. 所有的操作系统和网络应用程序和有关服务必须维持最新的版本并应用安全补丁 2. 通过 WSUS(Windows Server Update Services) 发布和安装最新的安全补丁 3. 所有的系统安装防病毒软件, 并在管理服务器进行监控 4.

7 为了事前防止 APT 攻击, 必须遵守下面的内容 < 强化系统以预防 APT 攻击 > 1. 所有的操作系统和网络应用程序和有关服务必须维持最新的版本并应用安全补丁 2. 通过 WSUS(Windows Server Update Services) 发布和安装最新的安全补丁 3. 所有的系统安装防病毒软件, 并在管理服务器进行监控 4. 所有操作系统中, 不使用的用户帐户设置为非活性或者删除 5. 安装 HSM(Host Security Monitoring, HIPS) 并监控, 定期分析数据 6. 在终端服务器中, 删除公用帐户, 并删除保存的帐户信息和密码 7. 在终端服务器, 按业务创建个别帐户, 记录和管理帐户登录日志 8. 删除数据库的 xp_cmdshell Procedure, 并删除相关文件 xplog70.dll 9. 数据库信息要加密管理, 在网页服务器加密后传送到数据库 9. 网页服务器使用安全套接层协议 (Secure Socket Layer) 10. Windows 事件日志和 IIS 网页日志统一在日志管理服务器管理 < 控制网络以检测 APT 攻击 > 1. 在骨干交换机 (Backbone Switch), 双重配置白名单和黑名单策略 2. 在企业外部, 使用 IPSec VPN 或者 SSL VPN 访问企业内部 3. 连接 IPSec VPN 或者 SSL VPN 时, 记录其连接日志并管理 4. 按业务创建 VPN 用户帐户并赋予权限 5. 对企业内部出站的数据包进行过滤 6. 配置代理服务器, 使企业内部的所有 HTTP 通信必须通过代理进行 7. 在企业内部, 代替文件共享服务使用 SFTP 或者 SCP(Secure Copy) 小时运营和管理如网络入侵检测系统 (NIDS) 之类的网络安全监视 (Network Security Monitoring) 9. 保存并分析 NIDS 事件所有的会话数据和所有的包 10. 按业务领域分离网络后, 各业务领域安装防火墙 11. 系统网络及数据库等 IT 管理部门与一般的业务领域区分 7

http://www.ahn.com.cn http://global.ahnlab.com http://www.ahnlab.com 关于安博士 (AhnLab,Inc.

8 关于安博士 (AhnLab,Inc.) 安博士的尖端技术和服务不断满足当今世界日新月异的安全需求, 确保我们客户的业务连续性, 并致力于为所有客户打造一个安全的计算环境我们提供全方位的安全阵容, 包括经过证实的适用于桌面和服务器的世界级防病毒产品移动安全产品网上交易安全产品网络安全设备以及咨询服务安博士已经牢固地确立了其市场地位, 其销售伙伴遍布全球许多国家和地区北京市朝阳区酒仙桥甲 12 号电子城科技大厦 1206 室上海市闵行区万源路 2158 号 18 幢泓毅大厦 1201 室电话 : / v3site@ahn.com.cn 2014 AhnLab, Inc. All rights reserved.

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON