青藤云安全：應急響應，安全人員需要“降噪耳機”和“透視鏡”

黑客入侵企業(yè)的方式多種多樣，但是都逃不出攻擊鏈的五個步驟：滲透、偵查、橫向滲透、控制目標、保留據(jù)點。當然，攻擊者不必完成所有步驟，也不必完全按照這個順序執(zhí)行就可以實現(xiàn)入侵。

這個世界沒有絕對的安全，所有資產(chǎn)要么已經(jīng)被攻破，要么正處在被攻破的路上。而應急響應能在一定程度上緩解系統(tǒng)被黑客攻擊后帶來的負面影響。通常情況下，應急響應是指通過評估網(wǎng)絡安全事件的嚴重程度來確定受影響用戶和資產(chǎn)的范圍，然后提供補救措施阻止攻擊的過程，以便入侵者不再能夠訪問內(nèi)部網(wǎng)絡。

當下企業(yè)“應急響應”兩大難題

在現(xiàn)如今的應急響應過程中，安全人員遇到兩大難題：一方面是企業(yè)資產(chǎn)無限膨脹導致響應時候的精準定位非常困難，其次是當下安全工具誤報率高導致響應的時候存在大量無效勞動。

1)資產(chǎn)爆發(fā)式增長帶來的困惑

隨著資產(chǎn)呈幾何級增長，傳統(tǒng)安全方案無法對復雜的、不同類型的、快速變化的資產(chǎn)攻擊面進行管理。而那些暴露的資產(chǎn)就像一個氣球，企業(yè)的資產(chǎn)越多，面臨的攻擊面也就越大。

如果沒有完整的、詳細的主機資產(chǎn)清單，應急響應就是一句空話。任何人都無法保護“未知”東西的安全。雖然在過去很長一段時間內(nèi)，在定義網(wǎng)絡邊界后，在封閉的IT環(huán)境中，對所有硬件、軟件和網(wǎng)絡元素進行統(tǒng)計和監(jiān)視還是可控的。但是現(xiàn)在隨著云計算等新技術的快速發(fā)展，企業(yè)IT資產(chǎn)呈現(xiàn)幾何級增長，很多企業(yè)運維人員、安全人員都說不清自己到底有多少資產(chǎn)。因此在發(fā)生安全事件后，也很難采取有效的應急響應。此時迫切需要一雙“透視鏡”，能夠深入看清、看透企業(yè)資產(chǎn)狀況。

2)大量誤報導致的無效勞動

一般來說，很多企業(yè)安全團隊的規(guī)模都較小，大量誤報會消耗它們大量的精力而忽略了那些真正的威脅。比如，IDS/IPS每天可能會產(chǎn)生好幾萬個個警報，這其中包含了大量誤報。這超出了大多數(shù)事件響應人員的處理能力。此外，防火墻作為網(wǎng)絡安全防護的外圍墻，通常每分鐘會以數(shù)萬個事件的速度向syslog的注入大量內(nèi)容。分析處理這些海量數(shù)據(jù)，這對于安全人員而言這是巨大挑戰(zhàn)。

在這樣的背景之下，安全人員在做應急響應時，需要戴“降噪耳機”，才能成功地把注意力集中到重要的事情上。即便對于那些擁有足夠資源的應急響應團隊，他們也不太可能安排人員調(diào)查來自SEIM、IPS或其它監(jiān)控方案每一個警報。

如何快速、輕松地完成應急響應的解決方案

青藤云安全提供豐富的專家級應急響應任務平臺，可通過統(tǒng)一管理平臺靈活分配響應任務，在幾分鐘內(nèi)完成應急響應工作。從本質(zhì)上講，青藤應急響應模型通過為每個事件添加上下文，并精確定位異常行為，來幫助安全人員進行應急響應，包括三個主要問題：

(1)用戶是誰?

(2)它們訪問哪些主機?

(3)用戶在這些主機上運行哪些進程?

一旦填充了這些數(shù)據(jù)集，應用響應模型就能得到很好應用。例如，用戶從一個新的外國IP地址登錄，大多數(shù)SIEM解決方案都會發(fā)出警告，實際上僅憑這一條信息很難確認該活動是惡意的還是良性的。通過青藤的應急響應模型，自動導入用戶、主機和進程的上下文數(shù)據(jù)，以幫助驗證警報。

下面以一個黑客入侵為例，還原整體入侵操作過程。在整個入侵過程中， Webshell文件的操作記錄已被刪除，而二次產(chǎn)生的Rootkit十分隱蔽，給應急響應工作帶去極大麻煩。

(1)黑客利用Web漏洞入侵。

(2)上傳Webshell。

(3)利用Webshell制造高級后門Rootkit。

(4)清除日志并刪除上傳的Webshell。

通過青藤云安全快速應急響應平臺，通過將大數(shù)據(jù)中的進程、服務、端口創(chuàng)建的過程、及訪問連接關系還原入侵過程。讓應急響應者清楚知道黑客是通過哪臺主機進來，進來后都進行了哪些操作，可根據(jù)webshell訪問的時間節(jié)點，對時間節(jié)點前后服務器上新增的文件及被篡改的文件進行檢索和展示，快速定位可疑文件。

寫在最后

由青藤統(tǒng)一應急響應平臺進行快速響應，能大幅度縮減響應周期，可對安全入侵事件進行快速反擊。同時，在響應時可快速定位被入侵服務器所運行的業(yè)務應用及存在的漏洞風險，為應急響應提供更多思路。此外，青藤還提供應急響應任務庫，將安全專家的應急思維邏輯沉淀成各個任務項，讓普通安全運維人員也可進行快速應急響應。

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內(nèi)容或斷開相關鏈接。