【白皮书】内部扩散阶段 - 攻击者如何深入您的网络？_CN_141008_Elina

Size: px

Start display at page:

Download "【白皮书】内部扩散阶段 - 攻击者如何深入您的网络？_CN_141008_Elina"

桥斡罗
7 years ago
Views:

1 趋势科技当前环境下的安全性内部扩散阶段攻击者如何深入您的网络

2 法律声明本文提供的信息仅作常规信息和教育之用不得且不应被解释为构成法律意见本文所包含的信息可能不适用于所有情况, 且可能无法反映最新情况如果没有基于特定事实和情况提出的法律意见, 不得依靠本文所包含的任何内容或将其作为行动依据, 此处的所有内容不作其他解释趋势科技保留随时修改本文档内容的权利, 恕不另行通知将任何材料翻译成其他语言仅为提供方便不保证也不暗示翻译的准确性如果出现任何涉及翻译准确性的问题, 请参考文档的原始语言官方版本翻译中出现的任何不符之处或差异都不具约束力, 并且不具任何法律效力虽然趋势科技会在合理的情形下, 提供本文的最新准确信息, 但我们不就其准确性流通性或完整性作任何担保或发表任何声明您同意自行承担关于浏览或使用和信赖本文档及其内容的风险趋势科技不作任何明示或暗示的担保对于因浏览使用或无法使用, 或与使用本文档相关, 或内容中的任何错误或遗漏造成的任何后果损失或损害, 包括直接的间接的特殊的继发的利润损失或特殊损失, 趋势科技或参与创建制造或提供本文档的任何相关方均不承担任何责任使用此信息即表示接受按原样使用

3 鉴于高级持续性威胁 (APT) 对机密数据造成的风险程度, 企业将其视为首要威胁 APT 活动对组织或业务的影响包括导致数据或知识产权失窃企业声誉受损以及 / 或遭受阴谋破坏 1 针对性攻击的各个阶段在 APT 活动中, 攻击者首先获得目标组织的数据, 例如其网络环境和组织结构的数据之后, 所收集的数据用于社交网络活动, 以便攻击者进入网络攻击者利用已受控制的电子邮件账号或者知名的网络邮件账号发送与目标环境背景相关的电子邮件这样做是为了欺骗员工打开电子邮件, 而这些电子邮件可能带有漏洞和恶意附件或链接一旦攻击者能够进入网络, 他们会与被感染计算机建立通信并努力维持这种通信状况接着, 攻击者需要从能够访问到有价值信息的网络获取登录凭据, 从而获得更多的权限但是请注意, 攻击者也可能通过普通的用户账号来收集信息 ( 例如, 在桌面上找到的文件共享驱动器的网络访问等 ) 一旦被发现, 这些目标数据将会随时被泄漏在网络上获得持久性横向移动通常涉及有关侦查凭据盗窃以及渗透其他计算机的活动 APT 攻击不是一次性过程攻击者会继续寻找新的目标来扩大对目标组织的控制范围他们也会根据收集的信息改变计划并采用不同的技术和工具 Spencer Hsieh 威胁研究员当与被感染的系统和 C&C 命令和控制 ) 服务器建立通信后, 攻击者需要维持对整个网络持续的访问为此, 他们必须在网络内横向移动, 并通过使用不同的工具获得更高的权限这反过来会使攻击者能够访问服务器, 而服务器又包含称之为公司核心信息的有价值信息 2 除服务器外, 攻击者还对端点系统感兴趣例如,Microsoft Word Microsoft Excel 和 Microsoft PowerPoint 等各类形式的机密文件都存储在个人电脑中随着攻击者不断深入网络内部, 他们的行动和方法也变得越来越难以检测, 尤其是当他们使用通常由 IT 管理员使用的 Windows 功能和工具时此外, 获得管理权限也使得攻击者的活动变得难以察觉甚至无法跟踪 annotations-from-the-labs/ inside-the-network-time-for-persistence

4 越来越深入网络侦查为了在受攻击的网络内横向移动并保持持续访问而不被发现, 攻击者还获取网络层次结构服务器中使用的服务以及操作系统等信息攻击者还会透过主机名反查机制来轻易辩识特定的目标资产, 并利用这些情报信息来判断下一步有利的行动方向这一活动中使用的一些工具包括 Netstat, 它是一个命令行工具, 可以透过目前有效的网络连结和开放端口来获取可供下一步连接的网络信息这些网络连接信息提供了被感染计算器上正在运行的服务信息与其所链接的更内部服务器端口扫描工具会检查打开的网络端口, 这样, 攻击者便可以在被感染的系统和自己的系统之间建立连接诸如 ZXPortMap 和 ZXProxy aka AProxy 等端口转发工具可用来创建隧道连接以绕开防火墙防护 3 盗取凭证一旦攻击者确定了其他需要访问的领地后, 下一步便是收集登录凭据破解和盗窃密码为访问这些领地, 攻击者使用按键记录软件 ARP 欺骗和挂钩工具等来取得凭证挂钩工具基本上是执行与密码认证相关的挂钩功能, 而 ARP 欺骗工具通过欺骗的 ARP 来监听网络数据包中两个或两个以上系统之间的对话以窃取凭据 Pwdump 是另一种用于从 Windows 注册表中获取密码哈希的工具使用的其他工具还有 Windows Credential Editor (WCE) Mapiget Lslsass Gsecdump 和 CacheDump 3

5 Pass The Hash 攻击者也可以使用名为 pass the hash 的技术, 该技术使用哈希而非明文密码来验证并获得更高的访问权限他们还可以使用暴力攻击, 即仅通过一组预定义的密码来猜测密码利用收集到的信息, 攻击者就可以移动到网络内的新领地并扩大控制范围由于 IT 管理员只检查失败的登录并不跟踪成功的登录, 所以这些活动可能未被 IT 管理员察觉侵入其他电脑使用偷窃的凭证, 攻击者现在可以远程访问桌面这里的桌面访问方式是 IT 支持人员经常采用的方式因此, 很难将远程访问与正在进行的攻击相关联此外, 攻击者还可能会收集登录系统服务器和交换机的域凭据远程控制工具使攻击者可以访问网络内的其他桌面并执行操作, 如在其他系统上执行程序计划任务管理数据收集等用于此目的工具和技术包括远程桌面工具 PsExec 以及 Windows Management Instrumentation WMI 请注意, 这些工具不是攻击者在横向移动中采用的唯一机制图 1:APT 攻击的六个阶段

6 构建智能威胁网横向移动很难被检测到, 而其相关活动却可以通过监控工具和强大的深度防御策略来检测企业需要建立外部和本地威胁情报, 这有助于确定指标和与 APT 相关的活动 IT 管理员还必须设定其网络基础建设的运作基线, 此运作基线可以用来帮助确定网络环境是否已受到侵害若存在与上述讨论的工具有着相同功能的工具, 我们也应调查其在网络中的使用情况此外, 将这些登录讯息集中储存在一个固定位置也是方便找出未经授权访问的可靠方式由于黑名单和传统的基于 AV 签名的解决方案在这个特殊阶段将不能减轻针对性攻击的风险, 因此, 企业需要强大的安全技术来提供实时的本地和全球情报 4 这样可以帮助 IT 管理员了解他们所处理的攻击的性质通过收集与分析事件全球性网络安全事件的情报, 也可以为威胁情报计划提供支持, 使 IT 管理员能够实施补救和抑制计划这些补救计划应该包括可确定任何恶意内容和通信的高级威胁检测还应包括检测可指示高级恶意软件和攻击者活动的行为威胁跟踪和分析以及包括提供实时查看威胁和深度分析的操作如果已经在适当位置安装了监控工具, 那么了解其网络情况的精明的 IT 管理员或团队就有可能会检测到横向移动 Jim Gogolinski 高级威胁研究员企业需要定制化智能防御战略, 这是一种高级威胁防护平台, 用于在网络范围内执行监控以检测标准安全防御检测不到的零日攻击恶意程序恶意通信和攻击者行为高级威胁防护平台内含多种扫瞄引擎和可定制沙盒, 可以更清楚的反映组织的真实环境, 并利于确定是否已遭到攻击沙盒的虚拟环境可以有效阻止鱼叉式网络钓鱼和社交工程攻击, 这些攻击都是针对性攻击初期阶段会使用的方法 4 custom-defense-against-targeted- attacks.pdf

7 趋势科技 ( 中国 ) 有限公司趋势科技 ( 中国 ) 有限公司 (TYO:4704;TSE:4704) 是云安全领域的全球领军企业, 利用其互联网内容安全和威胁管理解决方案, 为企业和消费者打造了一个可安全交换数字信息的世界趋势科技是服务器安全领域的开拓者, 在该领域有 20 余年的经验, 可提供顶级的客户端服务器以及基于云的安全解决方案, 满足客户和合作伙伴的需求更快速地阻止新威胁并保护物理虚拟化以及云环境中的数据我们的产品和服务由行业领先的趋势科技云安全智能防护网络云计算安全基础架构提供支持, 可以阻止互联网上出现的任何威胁全球有超过 1,000 名威胁情报专家为这些产品和服务提供支持 TRENDLABS SM TrendLabs 是一个地域覆盖广泛的跨国性研究开发和支持中心, 致力于 7x24 小时威胁监视攻击预防以及及时无缝的解决方案交付 TrendLabs 在全球实验室中部署 1,000 多名威胁专家和支持工程师, 提供 24 小时服务, 帮助趋势科技不断监控全球威胁情况, 提供实时数据以检测预先制止和消除威胁, 通过研究和分析技术来应对新的威胁, 实时响应目标威胁, 并帮助全球客户减少损失降低成本且确保业务连续性 2013 趋势科技 ( 中国 ) 有限公司保留所有权利 Trend Micro 和 Trend Micro t 球徽标是趋势科技 ( 中国 ) 有限公司 /Trend Micro Incorporated 的商标或注册商标所有其他产品或公司名称可能是其各自所有者的商标或注册商标

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON