预防、检测与溯源勒索软件解决方案白皮书

Size: px

Start display at page:

Download "预防、检测与溯源勒索软件解决方案白皮书"

于梅
5 years ago
Views:

1 预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思

2 为什么会爆发 WannaCry 勒索软件 2 瀚思解决方案 3 解决方案思路 3 事前预防 3 提高漏洞的警惕性 4 全量数据监控 4 全量数据采集和处理 4 异常行为监控 6 资产漏洞监控预警 8 事中检测及响应 9 攻击阶段事中检测 11 勒索软件传播阶段检测 11 活动和执行阶段检测 12 通信阶段检测 13 安装和控制阶段检测 13 勒索软件爆发阶段检测 14 事中自动化响应 15 事后分析及溯源 15 原始数据取证 15 告警分析 16 攻击阶段分析 18 方案价值 19

为什么会爆发 WannaCry 勒索软件此次 WannaCry 电脑勒索病毒事件的爆发, 是因为 2017 年 4 月 14 日, 第四批 NSA 相关网络攻击工具及文档被 Shadow Brokers 组织公布, 包含了涉及多个 Windows 系统服务 (SMB RDP IIS) 的远程命令执行工具, 其中就包括永恒之蓝攻击程序

3 为什么会爆发 WannaCry 勒索软件此次 WannaCry 电脑勒索病毒事件的爆发, 是因为 2017 年 4 月 14 日, 第四批 NSA 相关网络攻击工具及文档被 Shadow Brokers 组织公布, 包含了涉及多个 Windows 系统服务 (SMB RDP IIS) 的远程命令执行工具, 其中就包括永恒之蓝攻击程序泄露的攻击程序多达 17 种, 并且危害级别以及利用的漏洞均为最高级别不法分子利用这一恶意攻击程序作为勒索病毒的植入工具, 对全球暴露在公网的机器进行特定端口的扫描, 从而攻击了近百个国家及地区如图 1 所示为受勒索软件影响的电脑界面图 1 受影响的电脑界面截图预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 2

4 瀚思解决方案解决方案思路勒索软件影响范围广造成经济损失大, 备受社会各界关注对于企业而言, 任何形式的勒索软件最终都会造成企业一定程度的损失我们在应对这类事件发生的同时, 应提前做好事前的预防事中的检测事后的溯源利用企业自身的数据进行安全分析, 提升企业的防御能力瀚思通过部署大数据安全分析平台 ( HanSight Enterprise ), 对企业内部的全量的安全数据主机数据资产信息进行集中收集通过关联分析模型分析, 结合勒索软件的攻击特征进行检测, 尽早发现潜在的安全威胁, 快速锁定感染源将风险降低到最小以下方案根据 WannaCry 勒索软件事件结合 HanSight Enterprise, 从事前事中事后三个层面如何防御和检测勒索软件事件事前预防对于企业公共组织及政府单位而言, 无法做到预知黑客会利用何种漏洞来进行网络攻击, 而且对于 Nday 漏洞, 大多数主机并未及时更新相应的漏洞导致一旦一台主机因漏洞被感染了勒索蠕虫病毒, 则会在企业内部大规模的扩散, 传播速度非常快, 并且影响范围非常广那么我们在面临此类漏洞利用的勒索软件爆发事件应如何做到事前预防呢? 总结为以下三点 : 提高漏洞的警惕性, 保持漏洞更新, 避免 Nday 漏洞利用事件发生提升企业安全监控的能力, 对异常行为进行监控, 防止未能修复漏洞或 0day 情况下的恶意事件发生可疑风险的提醒, 当发现异常的行为或可疑的行为, 通过流程及时的提醒企业员工如何避免风险详细方案如下预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 3

5 提高漏洞的警惕性保持企业内部公共环境互联网环境下的主机服务器的漏洞更新情况为最新状态对漏洞的发布更新时刻保持警惕尽量避免 Nday 漏洞未更新的情况出现从根源上避免因漏洞未修复造成的恶意事件发生, 做到事件预防保持 IDS IPS NGFW AV 等安全监测类设备的特征检测库为最新状态 ; 定期 ( 一周或两周 ) 对关键服务器进行漏洞扫描, 确保服务器漏洞更新为最新状态 ; 定期 ( 每周 ) 对企业内部的终端主机进行漏洞扫描, 对未更新漏洞的主机进行一次提醒两次通报三次阻断网络, 确保上网主机的漏洞情况保持最新 ; 订阅国家漏洞信息发布平台, 时刻关注最新漏洞发布情况 ; 全量数据监控与此同时, 对于未及时修复的主机或系统出现的 0day 漏洞, 我们还应对企业内部各个系统关键的服务端口进行持续的监控, 对企业内部异常的网络行为事件发生趋势进行监控, 做到防患于未然那么企业如何做到对内部关键系统的监控以及异常行为的监控, 从而提升安全事件的监控能力呢? 总结以下几点 : 首先对企业内部全量的数据源进行采集, 通过收集数据并对其进行解析和挖掘, 利用企业自身数据来实现安全事件的监控其次建立异常行为的监控模型, 主要分为对关键协议端口的监控, 对异常行为的监控, 对异常网络流量的监控, 以及对事件发生趋势的监控最后建立对全网漏洞情况的监控预警, 定期对未更新漏洞的主机进行告警全量数据采集和处理通过瀚思大数据安全分析平台 ( HanSight Enterprise ) 对企业内部的网络设备 ( 路由器交换机 ) 安全设备( 防火墙 IDS IPS 漏扫行为管理) 主机/ 服务器 (Windows Linux) 应用系统等产生的日志数据进行集中的采集和存储数据采集和存储 HanSight Enterprise 支持 syslog DB 文件 FTP kafka 等采集方式对企业内部的数据进行集中收集如图 2 所示预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 4

图 2 数据支持的采集方式同时 HanSight Enterprise 基于大数据 Elasticsearch 分布式架构, 能够实现对全量原始日志的留存, 留存时间长达 6 个月以上进而能够对历史数据进行分析和挖掘数据预处理将企业内部的各类格式种类的数据采集上来以后,HanSight Enterprise

6 图 2 数据支持的采集方式同时 HanSight Enterprise 基于大数据 Elasticsearch 分布式架构, 能够实现对全量原始日志的留存, 留存时间长达 6 个月以上进而能够对历史数据进行分析和挖掘数据预处理将企业内部的各类格式种类的数据采集上来以后,HanSight Enterprise 通过正则键值对等解析方式对全量原始日志进行标准化的解析, 同时提供可视化的配置界面对数据进行快速化解析及处理屏蔽厂商间日志格式的差异化, 让企业内部的数据可读可理解便于快速进一步的针对性监控和挖掘如图 3 所示图 3 数据的解析方式预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 5

平台在解析数据的同时能够对数据进行丰富化 (Enrichment), 根据解析的源地址目的地址进行字段的补全补全源地址的国家城市等信息, 补全目的地址的资产国家城市等信息如图 4 所示图 4 数据的补全通过补全丰富化能够对数据的监控数据的分析提供更多的参考信息异常行为监控这次的勒索蠕虫迅速感染全球大量主机的原因是利用了基于 445 端口传播扩散的 SMB 漏洞

7 平台在解析数据的同时能够对数据进行丰富化 (Enrichment), 根据解析的源地址目的地址进行字段的补全补全源地址的国家城市等信息, 补全目的地址的资产国家城市等信息如图 4 所示图 4 数据的补全通过补全丰富化能够对数据的监控数据的分析提供更多的参考信息异常行为监控这次的勒索蠕虫迅速感染全球大量主机的原因是利用了基于 445 端口传播扩散的 SMB 漏洞 MS17-010, 攻击传播的特点可以归纳为境内或境外众多 IP 地址对目标 IP 的 445 端口发起大量的访问行为, 实施漏洞攻击成功植入病毒并且执行后, 该病毒会生成随机 IP, 并自动向生成的 IP 利用 445 端口发起攻击, 在内网中大量的传播和扩散协议及端口监控 HanSight Enterprise 通过建立异常行为的监控模型, 针对特殊协议及端口如 SMB 445 RDP 3389 等进行访问活动的持续监控, 建立个人仪表盘对 5 分钟 ( 或一段时间 ) 内访问的目的端口排名访问源 IP 分布, 使用协议分析等进行监控一旦发现某些端口源 IP 协议等异常增大或偏离其他信息较大的, 就需要我们进一步分析并对其进行监控的预警如图 5 所示预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 6

全网访问的源 IP TOP10 监控 ( 实时 ) 图 5 个人工作台监控事件趋势监控 HanSight Enterprise 能够对各类安全事件进行趋势的监控,

8 1. 访问目的端口的统计监控 ( 实时 ) 2. 访问协议的统计监控 ( 实时 ) 3. 访问的源 IP 及分布国家的 TOP10 统计监控 ( 实时 ) 4. 访问关键业务端口 ( 如 445) 的源 IP 及分布国家的 TOP10 统计监控 ( 实时 ) 5. 全网访问的源 IP TOP10 监控 ( 实时 ) 图 5 个人工作台监控事件趋势监控 HanSight Enterprise 能够对各类安全事件进行趋势的监控, 如端口扫描时间的趋势, 当出现在某段时间该事件的趋势出现明显的高峰时, 则有可能存在一定的安全威胁, 进而对该安全事件进行预警如图 6 所示图 6 事件趋势监控预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 7

9 异常流量监控 HanSight Enterprise 通过对企业内部全流量的镜像采集, 对流量进行 DPI 识别及解析建立针对流量的监控模型, 实现对企业内部流量的监控建立针对特定端口特定协议特定资产的流量监控, 当出现明显的波峰或异于常态的流量峰值时参考以往的监控结果, 判定异常流量的发生从而预防可疑的安全事件发生如图 7 所示图 7 流量监控资产漏洞监控预警 HanSight Enterprise 通过对数据的预处理, 补全资产相关信息进而对关键资产进行安全监控监控资产被访问的端口状态访问 IP 状态及分布事件发生的趋势以及资产面临的漏洞情况分析预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 8

10 事中检测及响应根据勒索软件攻击传播的特征以及攻击的手段,Endgame 公司对该病毒进行了逆向分析, 详细拆分了 WannaCry 勒索软件及永恒之蓝的攻击过程和感染过程如图 8 所示, 从其行为特征分析大致可分为 5 个攻击阶段 : 最初的感染和传播准备活动和执行匿名通信病毒的安装控制病毒大规模爆发该病毒在不同的阶段均有不同的网络行为, 瀚思通过收集网络边界的安全设备网络核心的网络设备终端的主机等日志信息, 对其各个阶段的行为进行关联分析并建立安全模型利用洛克希德马丁的 Kill Chain 攻击链模型对蠕虫病毒的攻击行为进行还原, 从而起到事中检测的作用帮助企业在第一时间进行勒索软件的检测和响应预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 9

12 攻击阶段事中检测勒索软件传播阶段检测行为特征据统计, 全球共有上千万台服务器直接暴露在公网上, 涵盖了金融政府教育等众多行业以 WannaCry 勒索软件为例, 该病毒通过对暴露在公网的服务器进行端口扫描, 利用 Windows SMBv1 的漏洞 MS17-010, 通过 445 端口对未修复该漏洞的服务器或主机进行勒索软件的植入, 进而感染主机并实施下一步动作在该阶段我们可以看到的异常行为特征就是来自公网地址对目标 IP 固定端口的大量扫描和访问关联分析检测 HanSight Enterprise 通过收集边界安全设备, 对边界安全设备的访问日志告警日志进行关联分析, 建立关联分析模型, 如图 9 所示 : 图 9 传播阶段的检测模型建立预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 11

1. 定义该行为的特征及类型 2. 根据病毒的活动特征, 我们根据采集数据源中的告警日志或网络连接日志对全量的数据进行检索, 找出网络扫描类的事件 3. 同时根据特定端口以及协议的特征对日志进行分析 4. 当满足上述条件的事件在 1 分钟内发生了 50 次以上, 则怀疑进行特定端口的扫描 5.

13 1. 定义该行为的特征及类型 2. 根据病毒的活动特征, 我们根据采集数据源中的告警日志或网络连接日志对全量的数据进行检索, 找出网络扫描类的事件 3. 同时根据特定端口以及协议的特征对日志进行分析 4. 当满足上述条件的事件在 1 分钟内发生了 50 次以上, 则怀疑进行特定端口的扫描 5. 阀值可根据实际情况进行适当的修改活动和执行阶段检测行为特征以 WannaCry 勒索软件为例, 该病毒在顺利感染主机后不会立即实行蠕虫的释放和大规模的感染, 经过对该病毒的行为分析发现, 该病毒程序执行之前, 尝试访问一个可疑的 URL 如果这个域名访问成功, 那么程序自动退出如果域名访问失败, 则会开始传播该域名也被称之为 killswtich 关联分析检测 HanSight Enterprise 通过对边界安全设备行为管理等设备的日志进行分析, 对该敏感 URL 进行检测和监控一旦发现内网中或外网的主机与该 URL 进行通信, 则有可能该 IP 已经被感染如图 10 敏感 URL 的检测规则模型建立图 10 关键 URL 访问的检测和监控预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 12

14 1. 定义敏感 URL 地址 2. 并且将该行为设置为内部事件, 和该病毒下个行为的发生具有一定时序的关联通信阶段检测行为特征一般勒索软件承载的病毒具有匿名通信阶段, 通过 TOR 通信方式实现勒索赎金支付的匿名通信, 逃脱法律的制裁, 该阶段的任何访问行为均为私有通信, 并且 TOR 通过代理等方式无法获取到有价值的信息, 故该阶段目前我发通过关联分析及数据的挖掘进行事中的检测发现安装和控制阶段检测行为特征病毒在建立好内部支付通信通道后就开始释放蠕虫病毒, 对主机进行破坏加密等操作病毒初始文件 mssecsvc.exe 会释放并执行 tasksche.exe 文件之后它会创建 mssecsvc2.0 服务该服务会使用与初次执行不同的入口点执行 mssecsvc.exe 文件第二次执行会检查被感染电脑的 IP 地址, 并尝试联接到相同子网内每个 IP 地址的 TCP 445 端口关联分析该病毒的安装阶段均在感染主机上完成,HanSight Enterprise 通过对 Windows 主机日志的采集, 分析 Windows 主机执行的程序和开启的服务, 并关联内部事件是否是发生在检测域名之后执行的文件和服务进而检测判断主机病毒的安装状态, 我们通过可视化的解析规则对日志进行过滤拆分进而能够快速有效的分析 Windows 日志中存在的问题如可疑的程序执行可疑的进程开启等如图 11 所示, 建立 Windows 日志的关联分析预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 13

15 图 11 windows 事件关联分析 1. 关联内部事件 : 访问敏感 URL 2. 与此同时在 Windows 主机上发现执行 mssecsvc.exe 程序 3. 在上一事件发生之后统一源主机又执行了 tasksche.exe 程序 4. 并且在执行改程序后启动了 mssecsvc2.0 服务 5. 然后在启动了服务后访问 445 端口 6. 并且上述访问 URL 的 IP 与 Windows 事件的 IP 均为同一 IP 上述关联事件即可定位病毒在安装控制阶段的行为勒索软件爆发阶段检测行为特征当上述阶段均成功后, 病毒开始在感染主机所在网段进行特定端口端口扫描, 此事发生扫描的源目的地址均为内网地址, 该阶段的行为特征是内网到内网的特定端口端口大规模扫描 HanSight Enterprise 通过对主机数据交换机日志防火墙日志进行集中的关联和分析, 建立内网到内网的大量端口扫描规则对病毒爆发阶段进行检测预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 14

事中自动化响应 HanSight Enterprise 在检测出告警的第一时间可以通过接口的形式向所在区域的防火墙等安全设备进行通报, 第一时间响应阻断可疑行为如禁止外网访问 445 端口, 或禁止访问关键 URL 等响应策略事后分析及溯源原始数据取证 HanSight Enterprise

16 事中自动化响应 HanSight Enterprise 在检测出告警的第一时间可以通过接口的形式向所在区域的防火墙等安全设备进行通报, 第一时间响应阻断可疑行为如禁止外网访问 445 端口, 或禁止访问关键 URL 等响应策略事后分析及溯源原始数据取证 HanSight Enterprise 能够对全量的原始数据做留存, 可以在事件发生后对任意关键字如 445 端口 SMB 协议等进行原始数据查询, 帮助事后分析平台提供交互式的查询界面, 可以建立多种条件组合的过滤条件对原始数据进行取证查询如图 12 所示图 12 关键字原始取证预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 15

通过原始告警下钻到关联的事件, 通过事件下钻到原始日志和关联资产一键溯源快速方便的找出可疑

通过对特定端口的云图分析发现, 内网中有多台主机向其他 IP 主机进行大量的特定端口访问, 通过云图可快速直观的发现感染源

18 图 15 告警关联事件及资产同时 HanSight Enterprise 利用图分析技术, 对病毒感染告警事件的感染主机进行云图分析, 监测内网主机向特定端口发送数据包的统计趋势和关联关系如图 16 所示, 通过对特定端口的云图分析发现, 内网中有多台主机向其他 IP 主机进行大量的特定端口访问, 通过云图可快速直观的发现感染源定位感染源, 第一时间找出病毒母体并进行拦截和处理, 将风险降至最低图 16 云图分析预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 17

19 攻击阶段分析瀚思大数据安全分析平台结合洛克希德马丁 Kill Chain 攻击链模型对告警所处的攻击阶段进行分析结合攻击特点, 勒索软件也具有一定的攻击阶段我们根据对攻击事件的阶段拆解, 根据每个阶段的行为特征制定事中检测模型, 并将其划分到攻击链中, 事后溯源可根据攻击链阶段来推测和溯源其他阶段的告警事件, 从而判断当前网络感染的情况以及态势如图 17 所示图 17 Kill Chian 攻击链预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 18

20 方案价值 HanSight Enterprise 在 WannaCry 勒索软件攻击事件中起到了事前监控事中检测事后溯源的作用通过采集日志和流量, 实时监控网络异常, 利用规则模型发现可疑威胁, 并且进行自动告警, 发起响应措施 ; 利用图分析模型以及安全分析模型帮助客户迅速定位发生威胁的机器, 以及验证处置效果从而大幅缩短 MTTD( Mean Time To Detect ) 与 MTTR( Mean Time To Response ) 同时 HanSight Enterprise 结合攻击链模型对勒索软件各个阶段的行为特征进行数据建模和分析, 形成具有勒索软件特性的规则模型从而做到对其他未知勒索软件的事前预警事中检测事后溯源, 帮助企业今早的发现潜在的风险预防检测与溯源勒索软件解决方案白皮书 HanSight 瀚思版权所有 19

21 关于 HanSight HanSight 瀚思成立于 2014 年, 以数据驱动安全为愿景, 致力于利用大数据帮助企业解决庞杂分立的信息安全问题瀚思主创团队来自趋势科技微软甲骨文等跨国公司, 拥有 18 项全球核心安全专利瀚思成立至今, 凭借自身在企业级信息安全领域的技术壁垒, 建立了独有安全的理念和长远的战略目标, 同时在大数据安全分析领域的内在价值也已被企业用户和投资者认可不到两年的时间, 瀚思已经成为 Hadoop 领导者美国 Hortonworks 公司在华的技术合作伙伴, 投资人包括恒宝股份南京高科两家上市公司, 和赛伯乐等知名风险投资机构

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON