高級持久性威脅（APT）不再可ê

■Matt Walmsle

高級持久性威脅（APT）不再可ê

■Matt Walmsle

高級持久性威脅（APT）的發起者利用多種讓人出乎預料、有時間期限且多重的攻擊向量來攻擊國家、行業、特定組織和個人。他們試圖獲得長期訪問并控制您的IT基礎架構，以達到自己的政治、犯罪和經濟目的。這些是復雜并且有針對性的攻擊威脅，不光所利用的技術和方法如此，而且從長期以來人們為了控制APT所做的巨大努力中也能領會其危險性可見一斑。ATP的初始攻擊向量易于修改而且動態多變，因此很難檢測到。他們所采用的命令和控制（C&C）方法通常更具有一致性，因為更不易于修改且C&C流量可以是APT的有效識別點。在不影響公司正常運轉的情況下抵御所有APT是難度非常大的任務，因此更務實的做法是接受APT風險始終存在這一事實，然后快速追蹤、識別并予以糾正。

在嘗試識別、抵御和防止此類攻擊威脅時，我們的經驗、知識和技術可在幫助您做出有效的安全干預決策時扮演重要角色。

首先，讓我們想想安全分析相關的人力要求。負責應對安全事件的人需要使用現有的工具來精確而快速地解釋收集到的數據。他們必須全面了解網絡拓撲，具有豐富的經驗并熟知網絡事件的背景，這是采取正確措施應對安全事件的基礎。要全面測試并記錄應用使用網絡的方式，最好在逐個交易的基礎上了解應用如何在生產網絡中運行。對于那些擁有所需資源的人來說，這些條件可通過實時監控及調試參考網絡來達到。在這種方法不實際的情況下，來自生產網絡的實際運行數據就是接下來最好的方法，雖然人們認識到生產環境的運行情況更難預測。自動化監控工具即可幫助發現實際數據與標準值的差別。最后一個問題是要確保為安全團隊配備有效的工作流程。這正成為在協作和任務交接過程中減少人為延誤和團隊成員間溝通不暢的重要步驟。

接下來，我們需要收集與可疑網絡事件相關的證據。捕獲到的數據可為您提供有關網絡中所發生事件的不可辯駁的有力證據。根據您網絡的大小和可用的資源，捕獲流量、編制索引、搜索和調用流量的方法在成本和復雜性方面可能相差很多：從PC上臨時部署的簡單開源軟件到整個網絡中分布的高性能、高保真而且能夠以10萬兆以太網鏈路帶寬持續運行的專用智能網絡記錄（Intelligent Network Recording）架構。

但是，光靠人的能力和可靠的數據還不足以提供迅速作出響應所需的全面信息和洞察力。若要正確地解碼數據包并獲得可作為行動依據的信息，您還需要適當的分析工具。某些分析和預警工具可獨立運行，對于自動運行一些流程非常有用，但只限于以一種方式解釋數據，通常依賴攻擊特征和分析數據，因此我們有時候不能理所當然地指望用它們捕獲所有安全威脅。然而想想APT，您應該知道它們本身是量身打造的獨一無二的威脅，光靠自動分析不足以有效解決。因此還需事后分析工具，幫助安全分析人員處理并重復分析捕獲的數據，幫助他們更確信地做出決策。

在利用收集的數據包了解所發生的情況并做出正確的干預操作之前，可利用以下問題來檢查您當前的能力水平：

捕獲與網絡中特定事件相關的數據包需要多長時間？

我是否掌握了必要的技能來分析這些數據包？

我如何對比可能有害的惡意連接和已知的安全連接？

對這些問題的回答將幫助發現您在任何技能、培訓和技術能力方面的不足之處。

通過部署專用的在線APT安全設備進行自動APT檢測、預警和防護，在保護安全方面扮演著重要角色，而且目前市場上提供了很多不錯的選擇。然而，面對如此狡猾且動態多變的威脅時，沉浸在假想的安全性之中是一件很危險的事情。單純依賴自動分析和響應可能會讓您的網絡不堪一擊。只有APT安全設備還遠遠不夠。需要掌握了有力的證據和網絡中發生的情況、每個數據包通過網絡傳輸的位置、時間及其內容，您才能全面準確地了解網絡中所發生的一切。

網絡數據包捕獲使您可以利用網絡數據包檢查和可視化技術，獲取可作為行動依據的信息，確保正確洞察網絡中發生的一切。在應對APT的過程中，有一點是彌足珍貴的，那就是一定要確保正確了解所要面對的挑戰是什么。