股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
亞信安全 “威脅狩獵服務” 開辟高級網(wǎng)絡威脅治理新賽道
發(fā)布時間 ：2021年04月21日
類型 ：勒索軟件
分享：
亞信安全正式推出威脅狩獵服務，以“早發(fā)現(xiàn)、早診斷、早處置、高質(zhì)量”為優(yōu)勢原則，為用戶徹底解決缺少高級攻擊防御經(jīng)驗、缺乏相關高級技術工具、無法對威脅進行溯源等難題提供全面協(xié)助。
定義 判斷威脅狩獵的成熟度級別需要考慮以下三個基本因素：
收集和分析數(shù)據(jù)的工具；
所收集的數(shù)據(jù)質(zhì)量及細粒度；
威脅分析專家的技能水平和獵捕經(jīng)驗。
傳統(tǒng)安全服務 vs 威脅狩獵服務
早發(fā)現(xiàn)：威脅狩獵是需要高級威脅的線索，而安全產(chǎn)品告警和異常行為檢測是這些線索的來源。黑客團伙或者紅藍對抗攻擊方入侵總會利用一些未知的漏洞或者手段，但是在入侵跳板主機成功后，會用一些常規(guī)的手段進行提權、探測和橫向移動，傳統(tǒng)的安全產(chǎn)品和EDR ATT&CK規(guī)則檢測框架都會發(fā)現(xiàn)一些“蛛絲馬跡”，這些蛛絲馬跡就像是叢林中獵物留下的足跡，指引著獵人進行狩獵追蹤。
早診斷：EDR相比于傳統(tǒng)的端點安全防病毒產(chǎn)品的最大區(qū)別就在于操作系統(tǒng)內(nèi)核級別的行為日志高清記錄，它就像是安裝在操作系統(tǒng)上的高清攝像頭，將進程啟停、文件操作、網(wǎng)絡連接、注冊表修改和系統(tǒng)日志如實記錄下來并且長期存儲。威脅狩獵人員可以輸入威脅線索和查詢條件，EDR服務端能夠以可視化的方式繪制出進程事件樹，幫助威脅狩獵人員有效關聯(lián)出疑似威脅的入侵軌跡，確認威脅的影響范圍和影響程度，為根治問題提供技術支撐。
早處置：威脅狩獵人員使用EDR工具進行遠程的遏制和修復，對高級威脅入侵造成的破壞和留存的后期進行根治修復，避免在紅藍對抗和上級監(jiān)管過程中集中爆發(fā)問題。
高質(zhì)量：在亞信安全威脅狩獵諸多的成功案例中，我們發(fā)現(xiàn)用戶對于安全事件線索的看法普遍處于“狼來了”的麻木狀態(tài)，即各種安全廠家的產(chǎn)品（尤其是安全態(tài)勢感知平臺）每天都生成海量的告警信息，而安全運維人員即使加班加點也無法處理如此多的告警事件，結果就是放任這些告警于不顧，等到黑客團伙真正發(fā)起總攻的時候，毫無防范之力。亞信安全推出的大終端2.0運維平臺從根本上改善了上述被動的防護態(tài)勢，我們將亞信安全產(chǎn)品（例如OfficeScan、DS、TDA等）的日常告警日志聚類成有優(yōu)先級排序的安全事件，并且聯(lián)動到EDR產(chǎn)品進行遏制、調(diào)查和修復，完成威脅狩獵分析早發(fā)現(xiàn)、早診斷和早處置的閉環(huán)操作。
亞信安全的威脅狩獵服務，區(qū)別于傳統(tǒng)的安全服務和紅藍對抗的攻防服務，開辟了高級威脅檢測響應的服務新賽道。
威脅狩獵服務依托亞信安全的EDR行為檢測能力和威脅分析的專家能力，能夠有效地檢測零日漏洞等高級威脅，解決這些安全漏洞可能隱藏幾年都發(fā)現(xiàn)不了的安全風險。
威脅狩獵服務由亞信安全具備攻防能力的威脅狩獵專家為用戶提供高級威脅的溯源分析，能夠回答 “誰進來了、是敵是友、干了什么”的疑問，能夠及早發(fā)現(xiàn)治理“潛伏”的高級威脅，避免這些高級威脅在紅藍對抗、重保的關鍵時刻集中發(fā)作。
用戶OA系統(tǒng)的主程序Java進程吊起CMD和Whoami進程
紅藍對抗攻擊方一共使用了17次CMD指令和1次Whoami指令來獲取必要的主機信息，達成攻擊方成功插旗并上報裁判組得分的目的
通過EDR記錄并溯源到copy指令，發(fā)現(xiàn)test123456.jsp的WebShell木馬文件替換行為
通過網(wǎng)絡驅(qū)動記錄，發(fā)現(xiàn)攻擊方利用大量互聯(lián)網(wǎng)IP調(diào)用本漏洞
某OA零日漏洞被紅藍對抗攻擊方利用
攻擊方已經(jīng)通過漏洞執(zhí)行CMD和Whoami指令獲取到主機信息
多個攻擊團隊利用大量互聯(lián)網(wǎng)IP利用本漏洞
建議用戶刪除漏洞文件，對OA系統(tǒng)打補丁
協(xié)助用戶編寫溯源分析報告提交紅藍對抗裁判委員會得分
在本案例中，威脅狩獵專家依據(jù)EDR的行為規(guī)則IOA成功檢測到OA系統(tǒng)零日漏洞攻擊，通過EDR的高清記錄和溯源分析能力，將紅藍對抗攻擊方如何拷貝WebShell文件，如何利用CMD和Whoami指令獲取插旗信息，以及通過哪些互聯(lián)網(wǎng)IP實施的攻擊，都分析得清清楚楚，協(xié)助用戶編寫溯源分析報告，提交裁判委員會進行防守得分。
為何選擇亞信安全威脅狩獵服務
亞信安全開啟國內(nèi)威脅狩獵服務新賽道：
亞信安全的專業(yè)威脅狩獵服務，為用戶提供本地和遠程的高級威脅檢測響應服務，開啟了國內(nèi)威脅狩獵服務新賽道。
在攻防演練中，威脅狩獵服務表現(xiàn)出色，通過EDR工具成功溯源包括零日漏洞在內(nèi)的多起攻擊方攻擊事件，編寫詳盡的威脅狩獵分析報告，幫助客戶在端點側得分。
在已經(jīng)購買EDR產(chǎn)品的客戶中，威脅狩獵服務也積累了眾多成功案例，幫助用戶主動檢測并溯源潛伏在端點側的高級威脅，深受用戶好評。
EDR作為威脅狩獵服務中的高效工具，其操作系統(tǒng)高清記錄和高級威脅檢測能力，為威脅狩獵專家提供技術支撐。亞信安全EDR產(chǎn)品在2020年IDC中國的廠商評估中位列“領導象限”。
亞信安全EDR產(chǎn)品通過了國內(nèi)權威第三方評測機構賽可達實驗室的專業(yè)評測，在國際知名的ATT&CK架構模型中以124個技術點覆蓋度在國內(nèi)處于突出地位。
分享到微信
X