每家企業(yè)都已經(jīng)被入侵只不過情況沒那么危險

2015-07-10 09:08:30 安全牛　點(diǎn)擊量：評論 (0)

在最近的一項(xiàng)調(diào)查研究中，Vectra公司對40家企業(yè)中的25萬臺終端設(shè)備進(jìn)行了調(diào)查，結(jié)果顯示，每家企業(yè)的網(wǎng)絡(luò)都經(jīng)歷了針對性入侵，但大多數(shù)入侵活動沒有達(dá)到最關(guān)鍵的階段：數(shù)據(jù)泄露。在各種規(guī)模的企業(yè)網(wǎng)絡(luò)、各種行業(yè)

“在各種規(guī)模的企業(yè)網(wǎng)絡(luò)、各種行業(yè)中，我們都發(fā)現(xiàn)了一些針對性攻擊的跡象。”

Vectra公司提供網(wǎng)絡(luò)監(jiān)控技術(shù)，以追蹤網(wǎng)絡(luò)上的可疑活動。這份報告是Vectra發(fā)布的第二份后入侵報告了，其中包含的企業(yè)數(shù)量大概是上個版本的兩倍。分析的企業(yè)類型包括雇員數(shù)量少于1千人的小企業(yè)，以及雇員數(shù)量超過5萬人的大企業(yè)；企業(yè)的范圍則包括Vectra的老客戶和那些想要獲得第一手信息安全評估的公司。

威廉姆森表示，從報告的結(jié)果上看，每個網(wǎng)絡(luò)中都存在一些繞過了邊界防御的威脅。

Vectra通過行為模式將這些威脅做了分類。

第一個部分占了全部探測到威脅數(shù)量的32%，它代表著命令控制服務(wù)器（C2）階段。在這個階段中，攻擊者們剛剛開始建立自己的橋頭堡，并通過感染點(diǎn)將數(shù)據(jù)傳回幕后服務(wù)器。

在這個階段，并不是所有活動都是自動化的。很多時候，在不斷深挖網(wǎng)絡(luò)中數(shù)據(jù)的過程中，攻擊者需要通過鍵盤發(fā)出指令來引導(dǎo)攻擊。比如利用獲取的用戶信息，選擇訪問哪個系統(tǒng)。

過了這個階段，攻擊就可以向不同的方向發(fā)展了。

其中之一是建立僵尸網(wǎng)絡(luò)。根據(jù)Vectra的報告，18%的威脅與這類行為有關(guān)。其中，絕大多數(shù)（85%）被用于實(shí)現(xiàn)點(diǎn)擊欺詐（Click Fraud），5%被用來實(shí)施針對其它目標(biāo)的暴力破解，4%用被用于對其它網(wǎng)絡(luò)進(jìn)行DDOS攻擊。

另一種可能性是更深一步地侵入目標(biāo)公司，進(jìn)行偵查，這種可能性大約是13%。然后則是多種角度的一些活動，占威脅總量的34%。其中包括，56%的暴力破解攻擊，然后是自動復(fù)制和Kerberos協(xié)議攻擊，分別占比22%和16%。Kerberos是利用失竊個人信息和賬戶信息的一種攻擊方式。

隨著研究的樣本數(shù)量增加，與僵尸網(wǎng)絡(luò)有關(guān)的威脅會同比增加，而窺探行為的數(shù)量則會增長四倍，其它深入行為的增長量甚至?xí)鲩L七倍。

最后一個步驟是數(shù)據(jù)竊取，這對于一家公司而言是最危險的，但只占到全部檢測到威脅的3%。

這個很小的數(shù)字給了公司在威脅產(chǎn)生破壞之前檢測并清除它們的機(jī)會，但也解釋了為什么攻擊者在被抓住前往往能潛伏幾個月時間。

值得關(guān)注的是，不能因?yàn)榇舜握{(diào)查結(jié)果中只有3%的攻擊面向竊取數(shù)據(jù)，而得出市面上大部分攻擊行為都對數(shù)據(jù)竊取漠不關(guān)心的結(jié)論。因?yàn)椋瑑烧卟⒉怀杀取Ｒ坏┕粽叩靡越⒁粋€數(shù)據(jù)泄露的渠道，就可以在很長的一段時間內(nèi)利用這個渠道竊取數(shù)據(jù)。

Vectra同時分析了攻擊者隱藏自己的方式。

最常見的隱藏方法是將惡意流量偽造成瀏覽器活動，這樣的方式占總量的36%；使用新注冊的域名進(jìn)行通信占25%；使用TOR匿名網(wǎng)絡(luò)的占14%；使用外部遠(yuǎn)程訪問的占13%。

使用頻率最少的技術(shù)包括拉扯指令、隱藏的HTTP Post、隱藏的HTTPS隧道、惡意軟件升級、P2P網(wǎng)絡(luò)、隱藏的HTTP隧道。

隱藏隧道是特別難以檢測的，因?yàn)楣粽呖梢詫⒋a嵌入進(jìn)文本字段、Headers或其它在正常通訊中會出現(xiàn)的會話參數(shù)。為了讓檢測更加困難，攻擊者可以利用流量加密。

“我們能夠識別加密通訊中的隱藏隧道，而不需要將它們解密”。

Vectra通過分析行為模式實(shí)現(xiàn)這一點(diǎn)。分析結(jié)果顯示，攻擊者喜歡劫持加密通道。

例如，在傳輸與幕后服務(wù)器的通訊數(shù)據(jù)時，加密的HTTPS信道要比一兩條未加密的HTTP信道更誘人。

責(zé)任編輯：大云網(wǎng)

免責(zé)聲明：本文僅代表作者個人觀點(diǎn)，與本站無關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，并請自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個贊