洞察高級(jí)持久性威脅

高級(jí)持久性威脅（APT）的發(fā)起者利用多種意想不到、時(shí)間敏感而且各不相同的攻擊向量來(lái)攻擊你的服務(wù)器。在嘗試識(shí)別、抵御和防止此類(lèi)攻擊威脅時(shí)，我們的經(jīng)驗(yàn)、知識(shí)和技術(shù)可幫助您做出有效的安全干預(yù)決策。如果缺乏對(duì)環(huán)境、實(shí)際網(wǎng)絡(luò)流量及內(nèi)容的全面了解，您只能憑空猜測(cè)，因此最終的決策可能對(duì)，也可能不對(duì)。出現(xiàn)APT安全問(wèn)題時(shí)，企業(yè)通常會(huì)向網(wǎng)絡(luò)安全運(yùn)行專(zhuān)業(yè)人員施加壓力，要求他們快速解釋并解決問(wèn)題。那么，在網(wǎng)絡(luò)中出現(xiàn)疑似APT安全威脅時(shí)，您做出反應(yīng)的速度有多快？

首先，讓我們想想與安全分析相關(guān)的人力要求。負(fù)責(zé)應(yīng)對(duì)安全事件的人需要使用現(xiàn)有的工具來(lái)精確而快速地解釋收集到的數(shù)據(jù)，他們必須全面了解網(wǎng)絡(luò)拓?fù)?，具有豐富的經(jīng)驗(yàn)并了解網(wǎng)絡(luò)事件的背景，這是采取正確措施應(yīng)對(duì)安全事件的基礎(chǔ)。要全面測(cè)試并記錄應(yīng)用使用網(wǎng)絡(luò)的方式，最好在逐個(gè)交易的基礎(chǔ)上了解應(yīng)用如何在生產(chǎn)網(wǎng)絡(luò)中運(yùn)行。對(duì)于那些擁有所需資源的人來(lái)說(shuō)，這些條件可通過(guò)實(shí)時(shí)監(jiān)控參考網(wǎng)絡(luò)或調(diào)試網(wǎng)絡(luò)達(dá)到。在這種方法不實(shí)用的情況下，來(lái)自生產(chǎn)網(wǎng)絡(luò)的實(shí)際運(yùn)行數(shù)據(jù)就是接下來(lái)最好的方法，雖然人們認(rèn)識(shí)到生產(chǎn)環(huán)境的運(yùn)行情況更不易于預(yù)測(cè)。掌握了有關(guān)任何網(wǎng)絡(luò)中連接的真實(shí)統(tǒng)計(jì)和分析數(shù)據(jù)之后，就可以更輕松地發(fā)現(xiàn)實(shí)際數(shù)據(jù)與標(biāo)準(zhǔn)值的出入。自動(dòng)化監(jiān)控工具可幫助發(fā)現(xiàn)實(shí)際數(shù)據(jù)與標(biāo)準(zhǔn)值的差別。最后一個(gè)問(wèn)題是要確保為安全團(tuán)隊(duì)配備有效的工作流程，這正成為在協(xié)作和任務(wù)交接過(guò)程中，減少人為延誤和團(tuán)隊(duì)成員間溝通不暢的重要步驟。

接下來(lái)，我們需要收集與可疑網(wǎng)絡(luò)事件相關(guān)的證據(jù)。捕獲到的數(shù)據(jù)可為您提供有關(guān)網(wǎng)絡(luò)中所發(fā)生事件的不可辯駁的有力證據(jù)。在關(guān)注的事件之前、期間和之后對(duì)網(wǎng)絡(luò)流量進(jìn)行深入調(diào)查分析，可幫助您掌握全面信息，全面了解所發(fā)生的情況，使您可以進(jìn)行正確的干預(yù)并增加有效解決問(wèn)題的概率。

但是，光靠人的能力和可靠的數(shù)據(jù)，還不足以提供迅速作出響應(yīng)所需的全面信息和洞察力。若要正確地解碼數(shù)據(jù)包，并獲得可作為行動(dòng)依據(jù)的信息，您還需要適當(dāng)?shù)姆治龉ぞ?。某些分析和預(yù)警工具可獨(dú)立運(yùn)行，對(duì)于自動(dòng)運(yùn)行一些流程非常有用，但只限于以一種方式解釋數(shù)據(jù)，通常依賴(lài)攻擊特征和分析數(shù)據(jù)，因此我們有時(shí)候不能理所當(dāng)然地指望用它們捕獲所有安全威脅。與此同時(shí)，它們可能會(huì)針對(duì)非安全相關(guān)事件和流量發(fā)出誤報(bào)。然而，在幫助企業(yè)確保總體安全性方面，他們確實(shí)扮演著重要角色，而且可更廣泛地檢測(cè)數(shù)量更大、“更易于理解”的安全威脅。然而想想APT，您應(yīng)該知道它們本身是量身打造的獨(dú)一無(wú)二的威脅，光靠自動(dòng)分析不足以有效解決。因此還需要事后分析工具，幫助安全分析人員處理并重復(fù)分析捕獲的數(shù)據(jù)，幫助他們更有信心地做出決策。

在利用收集的數(shù)據(jù)包了解所發(fā)生的情況，并做出正確的干預(yù)操作之前，可利用以下問(wèn)題來(lái)檢查您當(dāng)前的能力水平：

捕獲與網(wǎng)絡(luò)中特定事件相關(guān)的數(shù)據(jù)包需要多長(zhǎng)時(shí)間？

我是否掌握了必要的技能來(lái)分析這些數(shù)據(jù)包？

我如何對(duì)比可能有害的惡意連接和已知的安全連接？

對(duì)這些問(wèn)題的回答將幫助發(fā)現(xiàn)您在任何技能、培訓(xùn)和技術(shù)能力方面的不足之處。

通過(guò)部署專(zhuān)用的在線(xiàn)APT安全設(shè)備進(jìn)行自動(dòng)APT檢測(cè)、預(yù)警和防護(hù)，在保護(hù)安全方面扮演著重要角色，而且目前市場(chǎng)上提供了很多不錯(cuò)的選擇。然而，面對(duì)如此狡猾而且動(dòng)態(tài)多變的威脅時(shí)，沉浸在假想的安全性之中是一件很危險(xiǎn)的事情。單純依賴(lài)自動(dòng)分析和響應(yīng)可能會(huì)讓您的網(wǎng)絡(luò)不堪一擊。光有APT安全設(shè)備還遠(yuǎn)遠(yuǎn)不夠，只有掌握了有力的證據(jù)，掌握了網(wǎng)絡(luò)中發(fā)生的情況、每個(gè)數(shù)據(jù)包通過(guò)網(wǎng)絡(luò)傳輸?shù)奈恢?、時(shí)間及其內(nèi)容，您才能全面準(zhǔn)確地了解網(wǎng)絡(luò)中所發(fā)生的一切。

網(wǎng)絡(luò)數(shù)據(jù)包捕獲使您可以使用網(wǎng)絡(luò)數(shù)據(jù)包檢查和可視化技術(shù)，獲取可作為行動(dòng)依據(jù)的信息，確保正確洞察網(wǎng)絡(luò)中發(fā)生的一切。在應(yīng)對(duì)APT的過(guò)程中，有一點(diǎn)彌足珍貴，那就是確保正確了解所要面對(duì)的挑戰(zhàn)。

——Emulex公司Endace業(yè)務(wù)高級(jí)市場(chǎng)經(jīng)理MattWalmsley