本年的RSA峰會共有350家安然廠商參展，參展廠家數(shù)超越了以往RSA年會。單從手藝熱點來看，這兩年的RSA峰會熱點并沒有太多改變，仍然仍是環(huán)繞數(shù)據(jù)安然、企業(yè)安然治理、合規(guī)性、利用法度安然、DLP等熱點，而環(huán)繞數(shù)據(jù)和企業(yè)安然的APT檢測成了本年RSA大年夜會的最熱點。APT報復(fù)打擊是近幾年來呈現(xiàn)的一種高級報復(fù)打擊，具有難檢測、延續(xù)時候長和報復(fù)打擊方針明白等特點，傳統(tǒng)基于報復(fù)打擊特點的進侵檢測和防御編制在檢測和防御APT方面結(jié)果很不睬想，是以，各安然廠商都在研究新的進侵檢測和防御編制來抵當(dāng)APT報復(fù)打擊。筆者有幸親臨本年的RSA峰會現(xiàn)場，匯集了各安然廠商所鼓吹的APT安然解決方案。他們所提出的APT安然解決方案八門五花，但為了能從浩繁方案中梳理出一條清晰的主線，我們有需要先回顧一下全部APT報復(fù)打擊過程，然后再對這些APT安然解決方案進行分類;最后，我們介紹一些代表性廠商的APT安然解決方案和產(chǎn)品。
APT報復(fù)打擊過程分化
全部APT報復(fù)打擊過程包含定向諜報匯集、單點報復(fù)打擊沖破、節(jié)制通道構(gòu)建、內(nèi)部橫向滲入和數(shù)據(jù)匯集上傳等步調(diào)：
1)定向諜報匯集，即報復(fù)打擊者有針對性的匯集特定組織的收集系統(tǒng)和員工信息。信息匯集編制良多，包含收集埋沒掃描和社會工程學(xué)編制等。從今朝所發(fā)現(xiàn)的APT報復(fù)打擊手法來看，大年夜大都APT報復(fù)打擊都是從組織員工進手，是以，報復(fù)打擊者很是寄望匯集組織員工的信息，包含員工的微博、博客等，以便體味他們的社會關(guān)系及其歡愉愛好，然后經(jīng)由過程社會工程編制來報復(fù)打擊該員工電腦，從而進進組織收集。
2)單點報復(fù)打擊沖破，即報復(fù)打擊者匯集了足夠的信息后，采取歹意代碼報復(fù)打擊組織員工的小我電腦，報復(fù)打擊編制包含：1)社會工程學(xué)編制，如經(jīng)由過程email給員工發(fā)送包含歹意代碼的文件附件，當(dāng)員工打開附件時，員工電腦就傳染了歹意代碼;2)長途縫隙報復(fù)打擊編制，好比在員工常常拜候的網(wǎng)站上放置網(wǎng)頁木馬，當(dāng)員工拜候該網(wǎng)站時，就遭遭到網(wǎng)頁代碼的報復(fù)打擊，RSA公司往年發(fā)現(xiàn)的水坑報復(fù)打擊(Watering hole)就是采取這類報復(fù)打擊編制。這些歹意代碼常常報復(fù)打擊的是系統(tǒng)未知縫隙，現(xiàn)有殺毒和小我防火墻安然東西沒法發(fā)覺，最終成果是，員工小我電腦傳染歹意代碼，從而被報復(fù)打擊者完全節(jié)制。
3)節(jié)制通道構(gòu)建，即報復(fù)打擊者節(jié)制了員工小我電腦后，需要構(gòu)建某種渠道和報復(fù)打擊者獲得聯(lián)系，以獲得進一步報復(fù)打擊指令。報復(fù)打擊者會成立從被控小我電腦到報復(fù)打擊者節(jié)制辦事器之間的號令節(jié)制通道，這個號令節(jié)制通道今朝多采取HTTP和談構(gòu)建，以便沖破組織的防火墻，比較高級的號令節(jié)制通道則采取HTTPS和談構(gòu)建。
4)內(nèi)部橫向滲入，一般來講，報復(fù)打擊者起首沖破的員工小我電腦其實不是報復(fù)打擊者感歡愉愛好的，它感歡愉愛好的是組織內(nèi)部其它包含首要資產(chǎn)的辦事器，是以，報復(fù)打擊者將以員工小我電腦為跳板，在系統(tǒng)內(nèi)部進行橫向滲入，以攻下更多的PC和辦事器。報復(fù)打擊者采納的橫向滲入編制包含口令***和縫隙報復(fù)打擊等。
5)數(shù)據(jù)匯集上傳，即報復(fù)打擊者在內(nèi)部橫向滲入和持久暗藏過程中，成心識地匯集各辦事器上的首要數(shù)據(jù)資產(chǎn)，進行緊縮、加密和打包，然后經(jīng)由過程某個埋沒的數(shù)據(jù)通道將數(shù)據(jù)傳回給報復(fù)打擊者。
APT檢測和防御方案分類
縱不雅全部APT報復(fù)打擊過程發(fā)現(xiàn)，有幾個步調(diào)是APT報復(fù)打擊實施的關(guān)頭，包含報復(fù)打擊者經(jīng)由過程歹意代碼對員工小我電腦進行單點報復(fù)打擊沖破、報復(fù)打擊者的內(nèi)部橫向滲入、經(jīng)由過程構(gòu)建的節(jié)制通道獲得報復(fù)打擊者指令，和最后的敏感數(shù)據(jù)別傳等過程。當(dāng)前的APT報復(fù)打擊檢測和防御方案其實都是環(huán)繞這些步調(diào)展開。我們把本屆RSA大年夜會上匯集到的APT檢測和防御方案進行了清算，按照它們所籠蓋的APT報復(fù)打擊階段不合，將它們分為以下四類：
1)歹意代碼檢測類方案：該類方案首要籠蓋APT報復(fù)打擊過程中的單點報復(fù)打擊沖破階段，它是檢測APT報復(fù)打擊過程中的歹意代碼傳播過程。大年夜大都APT報復(fù)打擊都是經(jīng)由過程歹意代碼來報復(fù)打擊員工小我電腦，從而來沖破方針收集和系統(tǒng)防御辦法的，是以，歹意代碼檢測對檢測和防御APT報復(fù)打擊相當(dāng)首要。良多做歹意代碼檢測的安然廠商就是從歹意代碼檢測進手來擬定其APT檢測和防御方案的，典型代表廠商包含F(xiàn)ireEye和GFI Software。
2)主機利用呵護類方案：該類方案首要籠蓋APT報復(fù)打擊過程中的單點報復(fù)打擊沖破和數(shù)據(jù)匯集上傳階段。不管報復(fù)打擊者經(jīng)由過程何種渠道向員工小我電腦發(fā)送歹意代碼，這個歹意代碼必需在員工小我電腦上履行才能節(jié)制全部電腦。是以，假定可以或許加強系統(tǒng)內(nèi)各主機節(jié)點的安然辦法，確保員工小我電腦和辦事器的安然，則可以有效防御APT報復(fù)打擊。良多做終端和辦事器安然的廠商就是從這個角度進手來擬定APT檢測和防御方案的，典型代表廠商包含Bit9和趨勢科技。
3)收集進侵檢測類方案：該類方案首要籠蓋APT報復(fù)打擊過程中的節(jié)制通道構(gòu)建階段，經(jīng)由過程在收集鴻溝處擺設(shè)進侵檢測系統(tǒng)來檢測APT報復(fù)打擊的號令和節(jié)制通道。安然闡發(fā)人員發(fā)現(xiàn)，當(dāng)然APT報復(fù)打擊所利用的歹意代碼變種多且進級頻繁，但歹意代碼所構(gòu)建的號令節(jié)制通道通信模式其實不常常改變，是以，可以采取傳統(tǒng)進侵檢測編制來檢測APT的號令節(jié)制通道。該類方案成功的關(guān)頭是若何及時獲得到各APT報復(fù)打擊手法的號令節(jié)制通道的檢測特點。良多做進侵檢測網(wǎng)關(guān)的廠商就是從這個角度進手來擬定APT報復(fù)打擊防御方案的，典型代表廠商有趨勢科技、飛塔等。
4)大年夜數(shù)據(jù)闡發(fā)檢測類方案：該類方案其實不重點檢測APT報復(fù)打擊中的某個步調(diào)，它籠蓋了全部APT報復(fù)打擊過程。該類方案是一種收集取證思路，它周全匯集各收集設(shè)備的原始流量和各終端和辦事器上的日記，然掉隊行集中的海量數(shù)據(jù)存儲和深進闡發(fā)，它可在發(fā)現(xiàn)APT報復(fù)打擊的一點蛛絲馬跡后，經(jīng)由過程周全闡發(fā)這些海量數(shù)據(jù)來還原全部APT報復(fù)打擊場景。大年夜數(shù)據(jù)闡發(fā)檢測方案因為觸及海量數(shù)據(jù)措置，是以需要構(gòu)建大年夜數(shù)據(jù)存儲和闡發(fā)平臺，比較典型的大年夜數(shù)據(jù)闡發(fā)平臺有Hadoop。良多做大年夜數(shù)據(jù)闡發(fā)和日記闡發(fā)的廠商都是從這個角度進手來擬定APT報復(fù)打擊檢測防御方案的，典型的廠商有RSA和SOLERA。
典型APT檢測和防御產(chǎn)品
歹意代碼檢測類代表：FireEye的歹意代碼防御系統(tǒng)
FireEye可以說是本次RSA大年夜會上最火的公司，它所推出的基于歹意代碼防御引擎的APT檢測和防御方案最引進諦視。FireEye的APT安然解決方案包含MPS(Malware protection System)和CMS (Central Management System)兩個組件：此中MPS是歹意代碼防護引擎，它是一個高機能的智能沙箱，可直領(lǐng)受集收集流量，抽取所攜帶文件，然后放到沙箱中進行安然檢測;CMS是集中治理系統(tǒng)模塊，它治理系統(tǒng)中各MPS引擎，同時實現(xiàn)威脅諜報的匯集和及時分發(fā)。FireEye的MPS引擎有以下特點：1)撐持對Web、郵件和文件共享三種來歷的歹意代碼檢測;2)對不合來歷的歹意代碼，采納專門MPS硬件進行專門措置，目標(biāo)是進步檢測機能和準(zhǔn)確性;3)MPS撐持除可履行文件以外的多達(dá)20種文件類型的歹意代碼檢測;4)MPS可撐持旁路和串連擺設(shè)，以實現(xiàn)歹意代碼的檢測和及時防護;5)MPS可及時進修歹意代碼的號令和節(jié)制信道特點，在串連擺設(shè)模式可和時阻斷APT報復(fù)打擊的號令節(jié)制通道。CMS除對系統(tǒng)中多個MPS引擎進行集中治理外，還可以連接到云中的全球威脅諜報收集來獲得威脅諜報，并撐持將檢測到的新型歹意代碼諜報上傳到云中，以實現(xiàn)威脅諜報的遍及共享。別的，F(xiàn)ireEye還可以和其它日記闡發(fā)產(chǎn)品連絡(luò)起來，構(gòu)成功能更強大年夜的信息安然解決方案。FireEye被覺得是APT安然解決方案的佼佼者，其產(chǎn)品被良多500強企業(yè)采購。
主機利用防護類代表：Bit9的可托安然平臺
Bit9可托安然平臺(Trust-based security Platform)利用了軟件可托、及時檢測審計和安然云三大年夜手藝,為企業(yè)收集供給收集可視、及時檢測、安然呵護和過后取證等四大年夜安然功能，從而可以檢測和抵抗各類高級威脅和歹意代碼。Bit9解決方案核心是一個基于策略的可托引擎，治理員可以經(jīng)由過程安然策略來定義哪些軟件是可托的。Bit9可托安然平臺默許假定所有軟件都是可疑和避免加載履行的，只有那些合適安然策略定義的軟件才被覺得可托和承諾履行。Bit9可以基于軟件發(fā)布商和可托軟件分發(fā)源等信息來定義軟件的可托策略，同時，bit9還利用安然云中的軟件諾言辦事來懷抱軟件可托度，從而承諾用戶下載和安裝可托度較高的自由軟件。這類基于安然策略的可托軟件定義方案其實是實現(xiàn)了一個軟件白名單，只有那些在軟件白名單中的利用軟件才可以在企業(yè)計較環(huán)境中履行，其它則是避免履行的，從而呵護企業(yè)的計較環(huán)境安然。Bit9解決方案還包含一個可安裝在每個終端和辦事器上的輕量級及時檢測和審計模塊，它是實現(xiàn)及時檢測、安然防護和過后取證的關(guān)頭部件。Bit9的及時檢測和審計模塊將幫忙你獲得對全部收集和計較環(huán)境的周全可視性，經(jīng)由過程它你可和時體味到各終端和辦事器的設(shè)備狀況和關(guān)頭系統(tǒng)資本狀況，可以看到各終端上的文件把持和軟件加載履行環(huán)境;同時，及時檢測和審計模塊還審計終端上的文件進進渠道、文件履行、內(nèi)存報復(fù)打擊，過程行動、注冊表、外設(shè)掛載環(huán)境等等。Bit9解決方案還包含一個基于云的軟件諾言辦事，它經(jīng)由過程主動抓取發(fā)布于互聯(lián)網(wǎng)上的軟件，基于軟件發(fā)布時候、風(fēng)行程度、軟件發(fā)布商、軟件來歷和AV掃描成果計較各軟件諾言度。Bit9解決方案還撐持從其它歹意代碼檢測廠商(好比FireEye)處獲得文件哈希列表，從而可以辨認(rèn)更多的歹意代碼和可疑文件。
進侵檢測類代表：趨勢科技的Deep Discovery
趨勢科技的Deep Discovery專門為APT報復(fù)打擊檢測而設(shè)計，它采取收集進侵檢測手藝來檢測APT報復(fù)打擊的號令節(jié)制通道，同時，還可以經(jīng)由過程在進侵檢測引擎上擺設(shè)歹意代碼檢測沙箱來彌補傳統(tǒng)特點報復(fù)打擊檢測的不足。Deep Discovery方案包含檢測、闡發(fā)、調(diào)劑、響應(yīng)四個步調(diào)。產(chǎn)品形態(tài)上包含Inspector和Advisor兩個組件。Inspector是個收集進侵檢測引擎，根據(jù)獲得的威脅諜報信息來檢測APT報復(fù)打擊過程中的號令節(jié)制通道，Inspector可以經(jīng)由過程Advisor及時獲得到趨勢科技的全球威脅諜報信息，以便及時檢測到各類新型的APT報復(fù)打擊號令節(jié)制通道;同時，Inspector還包含一個Virtual Analyzer組件，它是一個智能沙箱，用來闡發(fā)捕獲的歹意代碼。Adivsor為一個治理組件，可以實現(xiàn)對各Inspector引擎的集中治理;同時，它還包含一個可選的歹意代碼闡發(fā)引擎，可以領(lǐng)受來自檢測引擎的歹意代碼，從而實現(xiàn)歹意代碼的集中闡發(fā);別的，Advisor還承擔(dān)了威脅諜報的及時匯集和分發(fā)工作，以實現(xiàn)各Inspector引擎之間威脅諜報的遍及共享。
大年夜數(shù)據(jù)闡發(fā)檢測類代表：RSA的NetWitness
RSA NetWitness是一款革命性的收集安然監(jiān)控平臺，它可為企業(yè)供給產(chǎn)生在收集中任甚么時辰間的收集安然態(tài)勢，從而協(xié)助企業(yè)解決多種類型的信息安然挑戰(zhàn)。 RSA NetWitness是一組軟件調(diào)集，針對APT報復(fù)打擊的檢測和防御則首要由Spectrum、Panorama和Live三大年夜組件實現(xiàn)，此中，RSA NetWitness Spectrum是一款安然闡發(fā)軟件，專門用來辨認(rèn)和闡發(fā)基于歹意軟件的企業(yè)收集安然威脅，并肯定安然威脅的優(yōu)先級;RSA NetWitness Panorama經(jīng)由過程暢通領(lǐng)悟成百上千種日記數(shù)據(jù)源與外部安然威脅諜報，從而可可以實現(xiàn)立異性信息安然闡發(fā);RSA NetWitness Live是一種高級威脅諜報辦事，經(jīng)由過程操縱來自全球信息安然界的集體智慧和闡發(fā)手藝，可和時獲得各APT報復(fù)打擊的威脅諜報信息，極大年夜縮短了針對暗藏安然威脅的響應(yīng)時候。RSA NetWitness具有以下特點：1)可對所有收集流量和各收集辦事對象的離散事務(wù)進行集中闡發(fā)，實現(xiàn)對收集的周全可視性，從而獲得全部收集的安然態(tài)勢;2)可以辨認(rèn)各類內(nèi)部威脅、檢測零日縫隙報復(fù)打擊、檢測各類定向設(shè)計的歹意代碼和檢測各類APT報復(fù)打擊事務(wù)和數(shù)據(jù)泄密事務(wù);3)可對所捕獲的收集和日記數(shù)據(jù)進行及時上下文智能闡發(fā)，從而為企業(yè)供給可步履的安然諜報信息;4)可以借助NetWitness監(jiān)控平臺的可擴大性和強大年夜闡發(fā)能力來實現(xiàn)過程主動化，從而削減安然事務(wù)響應(yīng)時候，并對改變的安然威脅做出及時調(diào)劑。.
縱不雅RSA2013大年夜會上參展的主流APT報復(fù)打擊檢測和方案后發(fā)現(xiàn)，今朝各廠家所推出的APT檢測防御編制都具有必然的局限性，首要表示為：良多APT報復(fù)打擊檢測和防御方案都只能籠蓋到APT報復(fù)打擊的某個階段，從而可能導(dǎo)致漏報;良多APT安然解決方案只能檢測APT報復(fù)打擊，并沒有供給需要的APT報復(fù)打擊及時防御能力。我們覺得，抱負(fù)的APT安然解決方案應(yīng)當(dāng)籠蓋APT報復(fù)打擊的所有報復(fù)打擊階段，也就是說，我們的APT安然解決方案應(yīng)當(dāng)包含事前、事中和過后三個措置階段，從而可能周全的檢測和防御APT報復(fù)打擊。抱負(fù)APT安然解決方案應(yīng)當(dāng)同時具有檢測和及時防御能力，大年夜數(shù)據(jù)闡發(fā)和進侵檢測防馭手藝相連絡(luò)，大年夜數(shù)據(jù)智能闡發(fā)平臺應(yīng)當(dāng)是APT安然解決方案的核心，實現(xiàn)對APT報復(fù)打擊事務(wù)的過后闡發(fā)和諜報獲得;同時，還應(yīng)當(dāng)共同主機利用節(jié)制、及時歹意代碼檢測和收集進侵防御等手藝，以實現(xiàn)對APT報復(fù)打擊的時候檢測和防御。各APT安然廠商也已寄望到這個標(biāo)題問題，開端經(jīng)由過程合作或完美本身手藝編制來改進本身的APT檢測和防御方案，以彌補其不足，好比，Junior和RSA近期發(fā)布在威脅諜報共享上達(dá)成合作和談，Junior的安然產(chǎn)品可利用RSA NetWitness Live供給的安然威脅諜報信息，從而晉升其安然網(wǎng)關(guān)的檢測能力;Bit9的可托安然平臺可以和FireEye產(chǎn)品集成，操縱FireEye高機能智能沙箱和上億的歹意代碼庫辨認(rèn)歹意代碼，從而更有效地保障主機終端的安然;FireEye的歹意代碼防御引擎可以和第三方的安然事務(wù)闡發(fā)平臺(SIEM)進行集成，從而可以實現(xiàn)對APT報復(fù)打擊的過后闡發(fā)和取證。