APT / APT攻擊 / APT 進階持續性威脅/ Advanced Persistent Threat - 資安趨勢部落格

IT 管理員容易忽略的網路防禦基本概念

2014 年 10 月 01 日2014 年 10 月 01 日趨勢科技 TrendMicro

本文分享一些 IT 管理員可以積極實行的規則，好為網路建立「基本的防禦」。這裡說的”基本”是因為這些規則並非是為了涵蓋網路內所有類型的可疑活動 – 只是一些作者認為很可能被漏掉的活動。

偵測到使用非標準端口的服務

一般的協定都有預設的端口來讓應用程式或服務使用。一個執行某協定的服務卻沒有使用預設端口可以視為可疑 – 這是常被攻擊者利用的技術，因為預設端口通常都會被安全產品監控。同樣地，偵測未知協定使用標準服務端口也很重要，像是 80（HTTP）、25（SMTP）、21（FTP）、443（HTTPS）。因為有服務使用這些端口，所以IT管理員不能加以封鎖，所以就有可能被攻擊者利用來進行攻擊。由於每個企業的環境都有所不同，所以確認可以允許哪些端口就是IT管理員的工作，而且要密切地監視流過這些端口的流量，確保是預期中的正常流量。

除此之外，封鎖環境中所有未使用的端口也是個重要的做法。如同我們從以往關於針對性攻擊中後門程式所使用技術的研究裡學到，會使用的端口往往依賴於網路內允許哪些通過。限制網路中所打開的端口可以防止攻擊者加以濫用。像是攻擊者還可以利用網路中用來同步時間的網路時間協定（NTP）來發動分散式阻斷服務（DDoS）攻擊。

偵測名稱有可疑特徵的檔案

誘騙使用者打開惡意檔案的基本技巧之一是要變造檔案名稱讓目標認為自己所開啓的檔案並無害處。儘管很難單單靠著檔案名稱就確認一個檔案的性質，還是有幾個可疑的檔名特徵可以讓管理員加以注意：

檔案名稱中帶有太多空格
檔案名稱帶有兩個或以上的副檔名（尤其是當實際副檔名為可執行檔時）
檔案類型和副檔名並不匹配（例如：PE類型檔案的副檔名卻是「pif」，「bat」或是「cmd」等）

繼續閱讀

《APT 攻擊》最安全的地方也是最危險的地方

2014 年 09 月 16 日2014 年 09 月 16 日趨勢科技 TrendMicro

IT管理員需要牢牢記住，漏洞如果不加以解決，那麼不管它已經被發現多久，都還是會對網路造成威脅。

能夠適應變化是今日處理資安問題最重要的能力之一，因為APT攻擊(Advanced Persistent Threat, APT) /目標攻擊也都會如此做。當前威脅的複雜程度可以從它們針對目標環境弱點來加以調整的能力中看出。

在這篇文章中，我們會從攻擊者的角度來看網路 – 通過它們的弱點 – 並將其轉變成IT管理員該如何保護網路的指南。

人是最弱的環節

人們面對外界的刺激時總是脆弱的，尤其是那些可以引發強烈情緒的刺激。這也是為什麼社交工程（social engineering ）總會是攻擊的一部分 – 有許多技巧可以用，而且非常的有效。正視人們總是會落入社交工程攻擊陷阱這假設對IT管理員來說很重要，因為它是真的。設計網路安全時需要將此考慮在內，不管員工會如何。IT管理員可以：

進行網路設定時不只是要阻止攻擊者進入網路，而且要防止從網路帶走資料。如果這樣做，即使攻擊者可以取得對網路中電腦的控制，要帶走任何竊取的資料都將會很困難。一個妥善管理的防火牆和網路存取控制將大大有助於實現這一目標。威脅情報在這裡也可以扮演重要的角色，如被攻擊用作C&C伺服器的IP位址。

根據系統所需的安全層級來切割網路。關鍵系統需要跟「一般」系統隔離開來，不管是實體或是它們所連接的網路區段。

然而，除此之外，員工教育仍然非常重要，需要定期進行。

最安全的地方也是最危險的地方

網路內哪怕是最小的安全漏洞都會導致嚴重的入侵問題。攻擊者也知道這一點，所以IT管理員也必須要牢記在心裡。網路應該進行定期的稽核，確保所有地方都正確地防護好。

例如，IT管理員可能沒有想到自己也會是潛在的目標，或網路內的某些設備也可能是感染點，像是網路印表機甚或是路由器。

網站管理員也一樣。攻擊者可能不會直接攻破具備高度安全的網站，如銀行網站，而會轉去攻擊同一DMZ區中的其他網站，入侵之後再利用信任關係來對銀行網站進行跨頻道攻擊。

人們使用弱密碼

密碼管理對大多數使用者來說是項挑戰並不是個秘密，所以假設網路內的所有成員都有安全的密碼並不實際。在假設使用者會用不安全密碼的前提下防護網路就需要實施雙因子身份認證甚或生物特徵辨識技術等其他身份驗證措施。

網路內存在著幽靈機器

所有的網路都會有幽靈機器。這些機器不會出現在網路拓樸圖上，卻連接著網路。這可能包括了員工的個人設備、外包廠商的設備或應該退休卻還沒有的機器。攻擊者會去利用這些機器，因為它們可以同時提供對網路的存取和隱密性。繼續閱讀

《CloudSec會後報導》趨勢科技獨創洋蔥式資安應變處理策略,有效降低APT入侵風險

2014 年 09 月 05 日2014 年 09 月 12 日趨勢科技 TrendMicro

台灣已經成為亞太區遭受APT攻擊次數前三名的國家，企業若能藉由趨勢科技APT攻擊研究中心、資安事件調查團隊的協助，強化資安壁壘，即可將APT攻擊帶來的傷害降到最低，讓企業得以保有長遠的競爭優勢。

2013年初南韓政府、金融單位遭受北韓駭客以APT手法惡意入侵，導致上千台個人電腦被癱瘓、重要資料被竊；多數人對前述攻擊事件記憶依然深刻之際，全美第二大零售商Target又在2013年底被駭客以APT手法攻陷，成功竊取1億1000萬筆資料，不僅讓該公司營收大幅降低，事後更得面臨高達80件集體法律訴訟案。

從上述多項資安事件可以發現，駭客已經從過去漫無目標式的隨意攻擊，轉為有組織、計畫性的惡意入侵，成為企業揮之不去的夢魘。因此趨勢科技特別在2014年8月12日舉辦CLOUDSEC 2014 企業資安高峰論壇，會中除邀請多位資安專家與會，詳細剖析APT攻擊流程及企業面臨的資安困境，也更進一步介紹趨勢科技對抗APT攻擊的策略與相關解決方案。

趨勢科技台灣暨香港區總經理洪偉淦說，根據IANS Survey公司的研究報告顯示，現今有超過50％資安事件屬於精準式攻擊，證明駭客為讓攻擊更有效率，已揚棄過去亂槍打鳥的手法，改以事前詳細分析、找出網路漏洞，再進一步植入多種惡意程式，最終達成竊取重要機密資料的目的。

傳統防護工具落伍無法阻擋APT手法

近年來APT攻擊事件暴增，除肇因於駭客行動模式，從過去單打獨鬥走向團體戰，使得攻擊手法愈來愈複雜之外，以專門販售惡意程式為主的地下經濟猖獗，也是造成資安事件頻傳的主要原因。統計資料顯示，有超過 75% APT攻擊事件源自於駭客組織販售的攻擊套件，使用者只需要具備基本程式基礎，即可針對尚未完成漏洞修補的網站或企業發動攻擊，成功入侵公司內部的重要主機。繼續閱讀

七個APT 攻擊跡象

2014 年 09 月 04 日2014 年 09 月 04 日趨勢科技 TrendMicro

APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)/目標攻擊被設計來在目標網路裡躲避現有的管理政策和解決方案，因此要偵測它們是一大挑戰。正如我們在之前關於APT 攻擊常見五個誤解的文章中所強調過的，沒有放諸四海皆準的解決方案可以用來對付它；企業需要在所需要的地方都放置感應器好加以防護，同時IT也要有足夠的設備來識別網路的異常情況，並採取相應的措施。

然而，要及早發現異常狀況，IT管理者需要知道首先要看到什麼。由於攻擊通常會設計成只有很少或幾乎沒有痕跡可循，重要的是要知道哪裡可以找到入侵的可能指標。在這篇文章中，我們將列出IT管理者所需要密切監視的網路部分以發覺任何入侵的跡象。

一.檢查被注入的DNS記錄

攻擊者經常會篡改DNS記錄以確保到他們的C&C連線不會被封鎖。IT管理者可以檢查記錄中可能被攻擊者注入的跡象如下：

未知網域加入IP地址如127.0.0.1、127.0.0.2、255.255.255.254、255.255.255.255、0.0.0.0和1.1.1.1。這些IP地址通常被攻擊者用來保留給尚未使用的C&C
最近註冊的未知網域，像是3天前（可以透過whois來判斷）
看起來像是隨機字元的網域（例如：aeeqvsfmtstjztqwlrqknoffmozu.com或zxcmpfwqwgqnbldzhdqsrqt.com）
出現模仿知名網域的網域名稱（例如：microsoft-dot.com或goooogle.com）

二.稽核登入失敗/不規則的帳號

一旦攻擊者能夠進入網路和建立與其C＆C的通訊，下一步通常是在網路內橫向移動。攻擊者會去找出Active Directory、郵件或檔案伺服器，並攻擊伺服器漏洞來加以存取。然而，因為管理者會修補並防護重要伺服器的漏洞，攻擊者可能會嘗試暴力破解管理者帳號。對於IT管理者來說，登入記錄是此一行為最好的參考資料。檢查失敗的登入嘗試，以及在不尋常時間內的成功登入，可以顯示攻擊者試圖在網路內移動。

三.研究安全解決方案的警報

有時候，安全解決方案會標示看來無害的工具為可疑，而使用者會忽略這警報，因為該檔案可能對使用者來說很熟悉或無害。然而，我們在許多案例中發現出現警報意味著網路中有攻擊者。攻擊者可能使用惡意設計的駭客工具，甚至是來自Sysinternals套件的合法工具像是PsExec等來執行系統或網路檢查作業。有些安全解決方案會標示這些非惡意工具，如果它們並非預先安裝在使用者電腦裡。IT管理者必須問，為什麼使用者會使用這些工具，如果沒有充分的理由，IT管理者可能撞見了攻擊者的橫向移動。

四.檢查是否有奇怪的大檔案

在系統內發現未知的大檔案需要加以檢查，因為裏面可能包含了從網路中竊取的資料。攻擊者通常在將檔案取出前會先儲存在目標系統內，往往透過「看起來正常」的檔案名稱和檔案類型來加以隱藏。IT管理者可以透過檔案管理程式來檢查。繼續閱讀