專家個人簡介

? ? ?在前兩期文章“華為勒索攻擊防御的四層防護(hù)網(wǎng)之邊界入侵防線”、“華為3大利器助你防護(hù)勒索病毒文件”中，我們分別從網(wǎng)絡(luò)邊界及勒索病毒文件檢測的角度，對勒索攻擊各個攻擊階段使用的各種攻擊技術(shù)的縱深檢測方案進(jìn)行了介紹?？梢钥吹?，勒索攻擊從初始入侵到加密勒索整個過程中，從網(wǎng)絡(luò)和主機(jī)中可以觀測到諸如攻擊IP、惡意攻擊負(fù)載、命令控制服務(wù)器C&C地址、惡意樣本、異常主機(jī)行為等可觀測數(shù)據(jù)，這構(gòu)成威脅檢測的基礎(chǔ)。本期重點(diǎn)從威脅信息（Threat Intelligence）在華為勒索攻擊縱深防御全流程使能的角度，介紹威脅信息如何增強(qiáng)勒索軟件的防御。 以一個中小型企業(yè)場景為例，如下圖所示，威脅信息技術(shù)對華為勒索軟件檢測使能重點(diǎn)體現(xiàn)在幾個方面：1事前預(yù)警在資產(chǎn)評估服務(wù)中，基于漏掃及威脅信息中的漏洞現(xiàn)網(wǎng)實(shí)際利用情況對資產(chǎn)風(fēng)險(xiǎn)進(jìn)行排序，使企業(yè)將漏洞防護(hù)工作聚焦于已經(jīng)產(chǎn)生或者實(shí)際可產(chǎn)生重大危害的漏洞上。2事中防御針對勒索軟件傳播的關(guān)鍵階段，提供多重的情報(bào)使能。其中入侵階段，在邊界防護(hù)和響應(yīng)服務(wù)中，基于威脅信息中的IP類威脅信息使能自動化響應(yīng)，直接將勒索攻擊阻斷在入侵嘗試階段。在惡意軟件或勒索軟件傳播階段，在下一代防火墻/天關(guān)、以及EDR的文件檢測模塊中，基于威脅信息中的文件信譽(yù)對已知的勒索軟件快速檢測。惡意軟件及勒索軟件植入運(yùn)行后，如果存在C&C外聯(lián)，則基于DNS過濾、本地惡意域名庫等情報(bào)能力進(jìn)行C&C檢測，防止僵尸網(wǎng)絡(luò)等惡意軟件部署勒索軟件，或阻斷勒索軟件的外聯(lián)請求。3事后響應(yīng)針對勒索攻擊事件中涉及的攻擊IP、域名、惡意文件等，可以通過威脅信息進(jìn)一步調(diào)查，獲得更豐富的上下文信息。 ?下面重點(diǎn)就勒索攻擊事前和事中華為威脅信息提供的能力（即圖中的①②③④）進(jìn)行重點(diǎn)說明。

一、 漏洞可利用信息

基于華為卓越的入侵防御能力、設(shè)備遙測能力及防火墻市場占有率，可以持續(xù)地感知到現(xiàn)網(wǎng)真實(shí)被用于入侵攻擊的漏洞、攻擊的時間、攻擊的次數(shù)等信息。根據(jù)該信息，企業(yè)可以根據(jù)其資產(chǎn)暴露位置、漏洞狀態(tài)、漏洞實(shí)際被利用情況，優(yōu)先處理處于互聯(lián)網(wǎng)邊界、且已經(jīng)被攻擊者利用的漏洞。 漏洞可利用信息的生產(chǎn)原理如下圖所示。 ?核心的能力包括： 1.日均億級的入侵攻擊感知，覆蓋云、邊流量，快速感知漏洞攻擊情況。 2.安全智能化中心全自動化威脅信息生產(chǎn)，準(zhǔn)實(shí)時生產(chǎn)漏洞利用信息。

二、威脅IP信息

互聯(lián)網(wǎng)上充斥著各類攻擊，據(jù)統(tǒng)計(jì)39%的流量來自于惡意攻擊者。相應(yīng)的，在安全設(shè)備上每天可以檢測到數(shù)以萬計(jì)、百萬計(jì)，甚至億級的攻擊日志，很容易造成安全人員的告警疲勞。另一方面，網(wǎng)絡(luò)入侵距離勒索或許僅僅一步之遙，其區(qū)別僅僅是漏洞利用后投遞的載荷鏈接是否為勒索軟件。因此，謹(jǐn)慎地對待每一次攻擊十分有必要。如果可以阻斷任何一次攻擊嘗試，那么就可以大幅度地提升攻擊的成本，降低勒索軟件的攻擊概率。 在華為乾坤邊界防護(hù)與響應(yīng)服務(wù)中，基于規(guī)則、智能算法和威脅IP信息，華為實(shí)現(xiàn)了99%的告警自動化，對每一個確定為惡意的IP進(jìn)行封堵，極大地提升攻擊成本。 威脅IP信息生產(chǎn)的核心原理如下圖所示。 ?核心的能力包括： 1.日均十億級的攻擊事件感知，覆蓋蜜罐攻擊、入侵攻擊、僵木蠕攻擊、DDoS攻擊、WEB攻擊等各類事件。 2.安全智能中心全自動化威脅信息生產(chǎn)，累計(jì)千萬級威脅IP信息，42億IP基礎(chǔ)信息。 3.威脅事件中攻擊IP覆蓋90%以上，暴力破解覆蓋95%以上，可有效輔助攔截基于RDP爆破的勒索攻擊。 4.支持威脅分級、詳細(xì)的標(biāo)簽分類，支持攻擊IP歷史行為分析。

三、 文件信譽(yù)

一旦入侵成功執(zhí)行，惡意軟件通過網(wǎng)絡(luò)傳輸?shù)侥繕?biāo)設(shè)備，在流量或者主機(jī)這兩個檢測點(diǎn)均可以利用威脅信息的已知檢測能力，快速地基于文件HASH進(jìn)行勒索軟件的檢測。 華為文件信譽(yù)的關(guān)鍵能力包括：

1.累計(jì)PB級惡意文件數(shù)據(jù)積累，支撐對各類惡意文件檢測能力研究和開發(fā)，如基于人工智能的檢測、基于行為的檢測等。

2.累計(jì)十億級惡意文件威脅信息數(shù)據(jù)，支撐設(shè)備快速識別勒索軟件。

四、 失陷檢測指標(biāo)IoC

部分勒索軟件通過釣魚或者botnet傳播，或者從另外角度，即使有些釣魚或者具備命令與控制能力的惡意軟件沒有傳播勒索軟件，企業(yè)也必須切斷C&C控制通道，否則，攻擊者通過具備命令與控制的惡意軟件可以在任何時候安裝勒索軟件，它使得企業(yè)始終處于可能被勒索攻擊的風(fēng)險(xiǎn)之下。華為提供的IoC類威脅信息中不僅包含了遠(yuǎn)控類惡意軟件的C&C地址，還包括了釣魚、挖礦、勒索攻擊相關(guān)的IoC。它們集成到天關(guān)或者華為乾坤中的惡意域名檢測能力中，幫助企業(yè)快速發(fā)現(xiàn)失陷主機(jī)。

失陷檢測指標(biāo)IoC生產(chǎn)的核心原理如下圖所示。

核心能力包括：

1.千萬級IoC，包括DGA、挖礦、惡意下載站地址、釣魚、C&C等。

2.日均千億級DNS日志分析及智能計(jì)算，發(fā)現(xiàn)高可疑域名；累計(jì)百億級PDNS數(shù)據(jù)積累，可持續(xù)研究發(fā)現(xiàn)各類惡意地址。

3.基于沙箱的大規(guī)模惡意樣本分析及人工研判，及時發(fā)現(xiàn)新的C&C地址。

結(jié)束語

勒索攻擊技術(shù)在不斷的演進(jìn)，威脅信息技術(shù)通過嵌入到縱深防御的各個階段，發(fā)揮“一點(diǎn)發(fā)現(xiàn)，全局使能”的重要作用，持續(xù)地提升防御的效率，增加攻擊的成本。不僅如此，在攻擊前，通過宏觀的攻擊洞察，威脅信息技術(shù)還指導(dǎo)防守者如何集中資源，解決重點(diǎn)的安全問題。攻擊后，通過其他的觀測指標(biāo)還可以幫助進(jìn)行攻擊響應(yīng)，攻擊溯源等。

關(guān)注“數(shù)據(jù)通信視頻號”獲得更多干貨～往期精彩推薦