|
作者：Matt Walmsley，EmulexEndace業務部歐洲、中東和非洲高級市場經理 高級持久性威脅（APT）的發起者利用多種讓人出乎預料、有時間期限且多重的攻擊向量來攻擊國家、行業、特定組織和個人。他們試圖獲得長期訪問并控制您的IT基礎架構，以達到自己的政治、犯罪和經濟目的。這些是復雜并且有針對性的攻擊威脅，不光所利用的技術和方法如此，而且從長期以來人們為了控制APT所做的巨大努力中也能領會其危險性可見一斑。ATP的初始攻擊向量易于修改而且動態多變，因此很難檢測到。他們所采用的命令和控制（C&C）方法通常更具有一致性，因為更不易于修改且C&C流量可以是APT的有效識別點。在不影響公司正常運轉的情況下抵御所有APT是難度非常大的任務，因此更務實的做法是接受APT風險始終存在這一事實，然后快速追蹤、識別并予以糾正。 在嘗試識別、抵御和防止此類攻擊威脅時，我們的經驗、知識和技術可在幫助您做出有效的安全干預決策時扮演重要角色。如果缺乏對環境、實際網絡流量及內容的全面了解，您只能憑空猜測，因此最終的決策很可能會出錯。出現APT安全問題時，企業通常會向網絡安全運行專業人員施加壓力，要求他們快速解釋并解決問題。那么在網絡中出現疑似APT安全威脅時，您做出反應的速度有多快？更重要的是，在采取應對措施時，您是否能夠確保所采取的措施正確、恰當而有效，進而最大限度地提高成功幾率？ 首先，讓我們想想安全分析相關的人力要求。負責應對安全事件的人需要使用現有的工具來精確而快速地解釋收集到的數據。他們必須全面了解網絡拓撲，具有豐富的經驗并熟知網絡事件的背景，這是采取正確措施應對安全事件的基礎。要全面測試并記錄應用使用網絡的方式，最好在逐個交易的基礎上了解應用如何在生產網絡中運行。對于那些擁有所需資源的人來說，這些條件可通過實時監控及調試參考網絡來達到。在這種方法不實際的情況下，來自生產網絡的實際運行數據就是接下來最好的方法，雖然人們認識到生產環境的運行情況更難預測。掌握了任何網絡連接的真實統計和分析數據之后，就可更輕松地識別出實際數據與標準值的出入。自動化監控工具即可幫助發現實際數據與標準值的差別。最后一個問題是要確保為安全團隊配備有效的工作流程。這正成為在協作和任務交接過程中減少人為延誤和團隊成員間溝通不暢的重要步驟。 
接下來，我們需要收集與可疑網絡事件相關的證據。捕獲到的數據可為您提供有關網絡中所發生事件的不可辯駁的有力證據。在關注的事件之前、期間和過后對網絡流量進行深入調查分析，可幫助您對于所發生的狀況掌握到更全面的信息，也使您可以進行正確的干預并提高有效解決問題的機率。根據您網絡的大小和可用的資源，捕獲流量、編制索引、搜索和調用流量的方法在成本和復雜性方面可能相差很多：從PC上臨時部署的簡單開源軟件到整個網絡中分布的高性能、高保真而且能夠以10萬兆以太網鏈路帶寬持續運行的專用智能網絡記錄（Intelligent Network Recording）架構。 但是，光靠人的能力和可靠的數據還不足以提供迅速作出響應所需的全面信息和洞察力。若要正確地解碼數據包并獲得可作為行動依據的信息，您還需要適當的分析工具。某些分析和預警工具可獨立運行，對于自動運行一些流程非常有用，但只限于以一種方式解釋數據，通常依賴攻擊特征和分析數據，因此我們有時候不能理所當然地指望用它們捕獲所有安全威脅。與此同時，它們可能會針對非安全相關事件和流量發出誤報。然而，在幫助企業確保總體安全性方面，他們確實扮演著重要角色，而且可更廣泛地檢測數量更大、“更易于理解”的安全威脅。然而想想APT，您應該知道它們本身是量身打造的獨一無二的威脅，光靠自動分析不足以有效解決。因此還需事后分析工具，幫助安全分析人員處理并重復分析捕獲的數據，幫助他們更確信地做出決策。 一開始，安全團隊始終應該從檢查并確認是否配備了適當的工具這項工作開始，這能確保有效地完成工作。在利用收集的數據包了解所發生的情況并做出正確的干預操作之前，可利用以下問題來檢查您當前的能力水平： • 捕獲與網絡中特定事件相關的數據包需要多長時間？ • 我是否掌握了必要的技能來分析這些數據包？ • 我如何對比可能有害的惡意連接和已知的安全連接？ 對這些問題的回答將幫助發現您在任何技能、培訓和技術能力方面的不足之處。 通過部署專用的在線APT安全設備進行自動APT檢測、預警和防護，在保護安全方面扮演著重要角色，而且目前市場上提供了很多不錯的選擇。然而，面對如此狡猾且動態多變的威脅時，沉浸在假想的安全性之中是一件很危險的事情。單純依賴自動分析和響應可能會讓您的網絡不堪一擊。只有APT安全設備還遠遠不夠。需要掌握了有力的證據和網絡中發生的情況、每個數據包通過網絡傳輸的位置、時間及其內容，您才能全面準確地了解網絡中所發生的一切。 網絡數據包捕獲使您可以利用網絡數據包檢查和可視化技術，獲取可作為行動依據的信息，確保正確洞察網絡中發生的一切。在應對APT的過程中，有一點是彌足珍貴的，那就是一定要確保正確了解所要面對的挑戰是什么。 關于Emulex Emulex是網絡連接、監控和管理領域的領導者，可為支持企業、云、政府和電信業務的全球網絡提供先進的硬件和軟件解決方案。Emulex的產品可實現無與倫比的端到端應用可視性、優化和加速。公司的I/O連接產品，包括超高性能以太網和光纖通道連接產品系列，被廣泛用于全球領先OEM廠商的服務器和存儲解決方案中，包括思科、戴爾、EMC、Fujitsu、Hitachi、惠普、華為、IBM、NetApp和Oracle，而且幾乎所有財富1000強企業的數據中心內都有它們的身影。Emulex的監控和管理解決方案，包括其網絡可視性和記錄產品系列，能夠以高達10萬兆以太網的速度為企業提供全面的網絡性能管理功能。Emulex公司總部設在美國加州Costa Mesa，在北美、亞洲和歐洲多地設有辦事處和研發中心。有關Emulex（NYSE：ELX）的更多信息請訪問： http：//www.Emulex.com 。 |
