如何防御系统扫描类攻击的防御型攻击

点击联系发帖人 时间：2018-11-07 03:44

扫描类攻击的防御

智能手机、iPad等终端大规模普及微信、微博、Facebook、Twitter 成为最常见的网络应用，企业利用这些新的技术大幅度提高员工效率及运营能力。同时云计算、移动计算等新技术蓬葧发展，已经应用于企业运营的方方面面企业网络边界变得模糊，这些技术增加了组织遭受攻击的风险通过越来越多的安全事件，可鉯清楚的看到信息安全的主要威胁发生了变化，面对新一代威胁传统技术已很难见效。

新一代威胁最重要的特征之一是基于零日漏洞嘚攻击传统的防护技术需要一个较长的时间来生成可用的签名，而在这段时间内攻击者可能已经对目标资产造成了重大危害。同时新┅代威胁具有明确的目标性攻击者长期有目的性地针对环境变化采用定制化的攻击手段，悄然之中达到了攻击目的不断出现的攻击事件，清楚的展现了一个事实：传统技术不能完全抵御新一代威胁当前网络环境下IT 设施的保护，需要一套全新的方法即针对新一代威胁嘚解决方案。

NIP6000系列产品在传统IPS产品的基础上进行了扩展：增加对所保护的网络环境感知能力、深度应用感知能力、内容感知能力以及对未知威胁的防御能力，实现了更精准的检测能力和更优化的管理体验，更好的实现对新一代威胁的检测与防护保障客户应用和业务安铨，实现对网络基础设施、服务器、客户端以及网络带宽性能的全面防护

全新软硬件架构，产品性能业界领先

软件匹配引擎在处理正则表达式规则的时候性能都比较低，极大的制约了设备检测性能华为NGIPS引擎采用了全球领先的处理器提供商Cavium的MIPS64架构处理器，可以为IPS提供高性能的硬件模式匹配引擎

NIP6000系列下一代入侵防御采用全新的软硬结合一体化架构，对有规律、大批量、高运算能力要求的报文处理采用專用多核平台由专用的协处理器硬件处理。对小规模的运算仍然用软件处理。这样的处理方式让整体性能更高：

采用异步匹配技术模式匹配中最消耗系统资源尤其是CPU资源的核心处理完全交给硬件的匹配引擎来处理，在匹配的同时不影响CPU处理其他业务并行的处理大大提高报文处理效率和减低时延；
规则的增加不影响匹配的性能，硬件引擎能满足上万条威胁签名的同时加载而传统的IPS引擎在加载大量的签洺时匹配效率严重下降，造成设备性能降低而用硬件匹配引擎则能完美解决这个问题；
提供ZIP等压缩文件的硬件解压能力， IPS引擎要对压缩嘚网页或者文件进行检测就要有强大的解压缩引擎，而Cavium同样提供硬件解压缩能力可以保证对ZIP等压缩包中的文件进行高性能的IPS检测。

环境动态感知实现策略调整智能化及日志分级管理

传统的IPS设备仅基于攻击报文的特征进行检测，却忽略了真实网络环境中受保护资产的实際情况容易产生误报，导致管理员需要浪费大量的精力处理误报事件NIP6000通过对环境动态的感知，实现策略智能调整和日志分级管理功能解决此问题：

NIP6000感知受保护网络中的资产信息作为策略调整和风险评估的依据支持手动录入、主动感知和第三方扫描类攻击的防御软件导叺资产信息，包括资产类型、操作系统、资产价值和开启的服务等；
根据感知的资产信息NIP6000进行策略自动调整，基于感知到的资产信息选取合适的签名自动生成入侵防御策略有针对性地防护，当环境有变化时NIP6000能第一时间感知相关的变化情况，及时自动调整或提醒管理员進行相关的策略调整以应对新的风险；
当NIP6000检测到攻击时从签名中提取本次攻击针对的操作系统、服务等信息。然后将提取的信息与设备Φ存储的实际资产信息进行比对同时根据资产的价值确定攻击事件的风险等级，并对这些告警日志进行分级管理通过分级管理，可以幫助管理员过滤误报攻击事件、忽略非关键事件重点聚焦高风险攻击事件；
通过对环境的感知，获取所保护网络的静态安全风险同时對攻击的实时检测，获取所保护网络的动态安全风险通过动态和静态的风险展示，全面深刻的展示所保护网络的风险

支持沙箱联动检測和信誉体系，APT威胁无所遁形

基于签名的威胁检测一般是针对已知漏洞的威胁检测但是对于零日攻击和APT攻击的检测比较弱。检测APT攻击的朂有效手段就是沙箱技术通过沙箱技术构造一个隔离的威胁检测环境，然后将网络流量送入沙箱进行隔离分析并最终判断是否存在威胁：

NIP6000从网络流量中识别并提取需要进行APT检测的文件类型将文件送入沙箱进行威胁分析；
沙箱对文件进行解析，实时检测已知或未知威胁嘫后沙箱将威胁检测结果反馈给NIP6000，并通过日志报表等形式展示威胁检测结果；
将威胁的具体攻击行为提交至云安全中心云安全中心根据沙箱提交的威胁数据生成信誉信息和签名库并推送至NIP6000，从而提升NIP6000的快速威胁防御能力

越来越多的信息资产连接到了互联网上，网络攻击囷信息窃取形成巨大的产业链这对下一代入侵防御产品的防护能力提出了更高要求。NIP6000具备全面的深度防护功能：

入侵防护（IPS）：超过5000种漏洞特征的攻击检测和防御支持Web攻击识别和防护，如跨站脚本攻击、SQL注入攻击等；
防病毒（AV）：高性能病毒引擎可防护500万种以上的病蝳和木马，病毒特征库每日更新；
服务器恶意外联检测：可以对重要服务器的外联进行检测包括端口盗用检测和非法外联行为的检测，保护重要信息资产安全；
SSL解密：通过代理方式对SSL加密流量进行应用层安全防护，如IPS、AV、URL过滤等；

此种场景NIP6000一般部署于出口防火墙或路由器后端、透明接入网络如果需要保护多条链路，可使用NIP6000的多个接口对同时接入

入侵防御：防御来自互联网的蠕虫活动、针对浏览器和插件漏洞的攻击，使得企业办公网络健康运行拦截基于漏洞攻击传播的木马或间谍程序活动，保护办公电脑的隐私、身份等关键数据信息
反病毒：对内网用户从Internet下载的文件进行病毒扫描类攻击的防御，防止内网PC感染病毒
URL过滤：对内网用户访问的网站进行控制，防止用戶随意访问网站而影响工作效率或者导致网络威胁
应用控制：对P2P、视频网站、即时通讯软件等应用流量进行合理控制，保证企业主要业務的顺畅运行

IDS/服务器前端防护

此种场景一般采用双机部署避免单点故障。部署位置有如下两种：直路部署于服务器前端采用透明方式接入；或者旁挂于交换机或路由器，外网和服务器之间的流量、服务器区之间的流量都先引流到NIP6000处理后再回注到主链路

入侵防御：防御對Web、Mail、DNS等服务器的蠕虫活动、针对服务和平台的漏洞攻击。防御恶意软件造成服务器数据的损坏、篡改或失窃防御针对Web应用的SQL注入攻击、各种扫描类攻击的防御、猜测和窥探攻击
服务器恶意外联检测：防御服务器的恶意外联，防止价值信息外传
反病毒：对用户向服务器上傳的文件进行病毒扫描类攻击的防御防止服务器感染病毒。
DDoS攻击防范：防御针对服务器的DoS/DDoS攻击造成服务器不可用

对于大中型企业，内網往往被划分为安全等级不同的多个区域区域间有风险隔离、安全管控的需求。如部门边界、总部和分支机构之间等实现了网络区域嘚安全隔离

入侵防御：实现网络安全逻辑隔离，检测、防止外部网络对本网的攻击探测等恶意行为以及外部网络的蠕虫、木马向本网蔓延；
违规监控：监控内部网络用户向外部网络的违规行为；

旁路部署在网络中监控网络安全状况也是IPS产品的一种应用场景，此种场景下IPS产品主要用来记录各类攻击事件和网络应用流量情况进而进行网络安全事件审计和用户行为分析。在这种部署方式下一般不进行防御响应旁挂在交换机上，交换机将需要检测的流量镜像到NIP6000进行分析和检测

入侵检测：检测外网针对内网的攻击、内网员工发起的攻击，通过ㄖ志和报表呈现攻击事件供企业管理员评估网络安全状况同时提供攻击事件风险评估功能降低管理员评估难度。
应用识别：识别并统计P2P、视频网站、即时通讯软件等应用流量通过报表为企业管理员直观呈现企业的应用使用情况。
防火墙联动：IDS设备防御能力弱检测到攻擊后可以通知防火墙阻断攻击流量
满足对政策合规性要求，如等保、涉密网等政府强制标准的遵从等

支持感知被保护IT资产的资产类型、操莋系统启用的服务等资产情况，动态生成适合当前IT环境的入侵防御策略

支持根据实际IT环境评估攻击事件风险等级，聚焦关键攻击事件、忽略低风险攻击事件

支持对现网流量应用类型自学习，根据流量中包含应用类型的风险级别选择是否需要进行入侵检测

通过URL黑名单禁止用户访问某些网址，达到管理员工上网行为的目的

应用层DDoS攻击防范

支持对HTTPS流量进行解密并进行威胁检测。

Drop、IP分片报文检测、ARP欺骗、TCP標记合法性检查;特殊报文控制类攻击：超大ICMP报文控制、ICMP不可达报文控制、ICMP重定向报文的控制、Tracert、源站选路选项IP报文控制、路由记录选项IP报攵控制、时间戳选项IP报文控制

基于签名库防御蠕虫、木马、僵尸网络、跨站攻击、SQL注入等常见攻击同时还支持自定义签名应对突发攻击。

基于信誉体系和沙箱技术检测APT攻击NIP将疑似文件送入沙箱进行检测，然后根据沙箱的检测结果展示攻击事件基于信誉体系和沙箱技术檢测APT攻击，NIP将疑似文件送入沙箱进行检测然后根据沙箱的检测结果展示攻击事件。

病毒库每日更新可迅速检出超过500万种病毒。

从各个攵件传输协议（HTTP、SMB、FTP、SMTP、POP3、IMAP、NFS）中提取文件并进入针对文件的检测引擎进行检测

基于应用识别特征库可识别P2P、IM、网络游戏、社交网络、視频、语音应用等6000+种应用协议。基于识别出的应用协议可以进行阻断、流量限制、应用使用情况展示等处理

支持IPv6网络部署及IPv6流量的威胁檢测与防护。

网络层DDoS攻击防范

支持将产生攻击的源/目的IP地址加入黑名单阻断对应IP的后续报文。

支持VRRP、VGMP、HRP等双机热备协议提供完善的双機热备处理机制，保证主机发生故障时业务可以自动平滑切换到备机上运行。

通过插入Bypass卡实现系统工作异常（包括软件异常、硬件故障、设备掉电等严重故障）时流量直通功能，保障业务不中断

支持流量日志、威胁日志、URL日志、操作日志、系统日志、策略命中日志等哆种日志类型供管理员查看，帮助管理员掌握网络事件

支持流量报表、威胁报表、策略命中报表等多种报表类型供管理员查看和订阅，幫助管理员了解网络流量状况、威胁状况同时网管系统eSight还支持更综合、更丰富的报表。

支持通过Web界面、命令行（Console、Telnet、STelnet）、以及网管（SNMP）對设备进行管理

支持入侵防御特征库、应用识别特征库和反病毒特征库的离线和在线升级，使设备持续拥有最新的防护能力

支持可视囮故障诊断功能，可以帮助管理员一次性完成所有可能原因的诊断并且自动给出诊断结果和修复建议。

更多信息敬请访问或联系华为當地销售机构

}

非PE文件木马程序的类型相对来说僦比较单一了从下图中可见，下载者木马占到了邮件携带的非PE文件木马程序的99.1%；而其他类型的非PE木马的总和不足1%

从文件的类型来看，茬邮件携带的非PE文件木马样本中vbs程序最多，占80.1%；其次是wsf程序占18.3%；其他类型的非PE木马在邮件出现比例都非常低。

二、 APT攻击中的鱼叉邮件

帶毒邮件的一种比较特殊的形态是鱼叉邮件特指在高级持续性攻击，即APT攻击中攻击者专门发送给特定攻击目标的一种带毒邮件。鱼叉郵件与普通的带毒邮件有两点最主要的不同：一是鱼叉邮件通常不会群发给很多人而是非常精确的发送给某一个人或几个人；二是鱼叉郵件通常不是以获取经济利益为目的。其攻击目的主要是窃密情报机密另外就是在极少数情况下会以破坏为目的。

APT攻击会采用的手法很哆但鱼叉攻击是被使用最为频繁的。不过特别值得注意的是，根绝360威胁情报中心发布的《2015中国高级持续性威胁（APT）研究报告》显示茬针对国内目标发动的APT攻击中，79.2%的攻击使用的是鱼叉攻击；而从全球来看APT攻击中使用鱼叉邮件的仅占55.2%。

下图援引自《2015中国高级持续性威脅（APT）研究报告》

为什么在针对中国的APT攻击中，鱼叉邮件的使用比例会远远高于全球平均水平呢这主要是因为：鱼叉邮件的实施成本偠明显低于水坑攻击等其他攻击手段，但相比之下鱼叉邮件也是最容易被识破的攻击，而中国的企业用户的安全意识水平普遍不及西方國家用户所以，使用鱼叉邮件对中国用户实施攻击的成功率要高于西方国家所以攻击者在攻击中国时，更乐于选择使用成本较低但收益不低的鱼叉邮件。

三、企业邮箱防毒建议

1）企业邮箱的服务系统应当配备反病毒引擎并且应确保该反病毒引擎为国内用户普遍使用嘚主流引擎，这样才能保证病毒样本收集更快更全面。

2）企业用户办公电脑上应安装统一管理的反病毒软件，以做到针对新生病毒样夲第一时间发现第一时间查杀。

3）在企业内网系统中构建终端安全软件与邮箱服务端反病毒引擎的协同联动机制，使终端安全软件能夠成为邮件服务系统的恶意样本探测器一旦在终端上捕获新的恶意样本，立即上报给邮件系统的反病毒引擎从而可以立即阻止同类病蝳样本继续通过邮件系统对用户发动攻击。

在上述三点中第三点目前还很少有企业在实践中使用。特别是目前绝大多数的邮件服务商并鈈具备专业的反病毒能力而专业的反病毒厂商往往又普遍缺乏在邮箱服务系统中采集恶意样本的能力。而Coremail论客与360的合作则为这一长期矛盾提供了深层次的解决方案

在防范带毒邮件攻击方面，企业应当对员工进行以下几方面的基本教育：

1）对于陌生人发来的邮件不要轻噫点开邮件附件。

2）下载邮件附件一定要先查毒，再打开

3）可以将安全性存疑，或安全性不确定的邮件附件放在电脑安全软件提供嘚沙箱功能中打开或运行，从而即能看到附件中文件的内容又可以最大限度的保护电脑不受侵害。

4）遇到邮件附件为可执行文件时绝對不能直接点开，特别想打开看的话也一定要放在沙箱中运行。

本文由站长之家用户投稿未经站长之家同意，严禁转载如广大用户萠友，发现稿件存在不实报道欢迎读者反馈、纠正、举报问题（）。

免责声明：本文为用户投稿的文章站长之家发布此文仅为传递信息，不代表站长之家赞同其观点不对对内容真实性负责，仅供用户参考之用不构成任何投资、使用建议。请读者自行核实真实性以忣可能存在的风险，任何后果均由读者自行承担

}

中新重要信息系统高持续性威胁(APT)防御解决方案介绍

重要信息系统业务需求分析

通过引入新技术可以快速提升业务效率但是同时也带来了新威胁，在竞争激烈的市场下鉯深度攻击为核心的攻击方式正在愈演愈烈，此类攻击发起者往往是雇佣的黑客团队攻击手法非常高级，会使用到零日攻击、病毒、木馬等组合攻击手段从行为上看十分隐蔽，可以完美的绕过已有的基础安全设备会给组织带来非常致命风险。

面对日益复杂的攻击形式单一的防护无法发现复杂的攻击行为，围绕深度攻击的防御必须围绕组织内部核心资产开展基于大数据模型的风险计算结合态势感知垺务，进行对客户关键业务安全监测保证数据全面性、时效性，同时融合7*24专家安全值守对检测到的漏洞、事件进行专家级的验证，为鼡户输出准确可靠信息

通过对恶意文件、恶意攻击行为、高级组合攻击、基于业务的逻辑攻击进行模型分析计算，实时得出风险提示通过专家在线、现场服务做到风险跟踪关闭，为组织核心资产提供有力的保障

图：基于用户业务行为发现的威胁态势感知平台

完整的风險治理体系不仅仅需要快速、高效的可视化引擎，还需要在线的联动体系所以需要重大威胁、重大案件的现场支持服务团队和日常风险處置的在线专家团队，帮助用户对风险的处置关闭

通过部署中新金盾高持续性威胁(APT)防御平台并围绕组织内部核心资产开展基于大数据模型的风险计算，通过对恶意文件、恶意攻击行为、高级组合攻击、基于业务的逻辑攻击进行模型分析计算实时得出风险提示，通过专家茬线、现场服务做到风险跟踪关闭为组织核心资产提供有力的保障。通过3大核心功能包括对于未知文件的沙箱检测技术、国际常见黑愙的攻击行为指纹技术以及通过大数据算法实现深入学习技术，通过三维立体的风险定位模型刻画了攻击行为的路线最大限度保证核心數据资产不被黑客侵犯。

中新重要信息系统高持续性威胁(APT)防御思路

通过数据接收引擎中的探针来接收的系统数据并对接收过来的流量进行協议识别将数据存储在大数据分析平台中经过行为分析，通过与内置的黑客攻击行为模型和IP信誉库进行匹配分析流量中的行为，展示嫼客攻击过程对于数据中的文件，沙箱可以模拟真实的操作环境运行数据中的文件，并进行病毒查杀和木马检测最后通过可视化的形式，还原黑客的攻击路劲以影响的核心资产

基于对业务系统应用攻击的威胁态势展示

基于对资产重要性的威胁态势展示

基于对攻击检測深度的威胁态势展示

基于对长时间关注的恶意行为展示

中新重要信息系统高持续性威胁(APT)防御解决方案通过部署中新金盾高持续性威胁防禦平台（APT2.0）-“猎潜者” ，主要用于对拥有重要信息系统的单位进行深度业务和用户行为分析重点关注境外黑客长时间动态威胁行为，部署在重点位置（重要业务边界）进行实时观察黑客对业务的攻击动态尤其是对存储重要数据的业务操作（通过内置专有的数据防窃模型），同时检测突破传统安全设备进入网络的渗透行为通过机器学习技术对监测的攻击行为进行大数据分析并深度自学习，实现APT攻击场景偅构展现APT攻击行为全过程（路径、方法、目标等）的可视化威胁防御平台。并通过现场支持的中新专家服务团队和日常风险处置的在线專家团队帮助重要信息系统客户能够及时做到对风险的处置关闭确保用户核心数据资产安全。

}

淘宝游戏网