APT 進階持續性威脅 - 資安趨勢部落格

數據會說話：產業測試的真相

2015 年 08 月 06 日2015 年 08 月 07 日趨勢科技 TrendMicro

如同任何分析評比一樣，NSS Labs 最新一份入侵偵測系統 (Breach Detection System，簡稱 BDS) 評比測試所提供的並不只有分數、偵測率及整體持有成本 (TCO) 等數據而已。經由透明公開的評比測試，不論現有客戶、合作夥伴、潛在客戶，或是產業和金融分析師，都能獲得公正公開的參考資訊。

簡單講，NSS Labs 最新的 BDS 測試呈現的是：

	資安廠商研發投資的成果，以及廠商對付「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）的能力。廠商解決方案的真實效能，而非廠商宣稱的數據與不惜成本的行銷宣傳。產品的整體持有成本與長期價值。

NSS Labs BDS 這類公開測試很單純地卸下了產品的神秘面紗，為決策者提供更可靠的參考依據。任何需要採購入侵偵測系統的人，都能經由這樣的分析來形成自己的想法，並且擬定一套策略來因應 APT 的挑戰。

大家都同意，對付APT攻擊並無所謂的萬靈丹。在這樣的情況下，最好的作法就是根據您網路的實際狀況來評估及挑選一套適合您的解決方案。

比方說，能在 NSS Labs 之類的產業測試當中取得優異成績，就是偵測能力和解決方案價值的重要指標。不過，當您在將某家產品列入候選名單之前，您務必要了解測試的背景。也就是說，NSS Labs 測試結果僅代表當時的狀況，同時也取決於測試方法所蒐集到的進階惡意程式類型與攻擊手法。正因如此，我們很高興 NSS Labs 採取了一種開放、透明的測試程序從網路上蒐集實際的攻擊樣本，因為這些都是傳統或當今防毒技術無法立即偵測的。

很榮幸趨勢科技連續第二年榮獲「推薦」(Recommended) 的評價，而且是所有 NSS Labs 推薦的入侵偵測系統當中整體分數最高、最有成效的解決方案。

持續提供效能優異而穩健的解決方案，是我們對客戶的承諾，也是一切行動的基石。NSS Labs 的 BDS 測試結果證明我們已經履行了承諾，而我們的整個團隊也都為這樣的成果感到驕傲。

如需更多有關為何您應該將趨勢科技 Deep Discovery 列入考慮，以及美國芝加哥 Rush University Medical Center 醫療中心如何發揮該產品的動態偵測能力，請看這裡。

原文出處： Just the Facts – The Truth About Industry Tests作者：Bob Corson
▍想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚 ▍

《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。

< APT 攻擊防禦 > 識別和區分網路及使用者

2015 年 07 月 02 日2015 年 07 月 03 日趨勢科技 TrendMicro

適當進行網路區隔是保護網路對抗「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）最關鍵的主動應對措施。對組織來說，適當的識別和分類自己的使用者與其所能存取的網路也同樣的重要。

這是一項重要的任務，因為它讓管理者能夠正確的區隔使用者權限和網路流量。有些使用者會被限制存取敏感公司網路；同樣的，某些網路可能會比其他網路擁有更廣泛的資料。這可以使得保護組織最重要資料（我們經常討論的話題）的任務變得更加容易。

可以同心合作來廣泛地評估組織所面對的威脅。有些風險並非出現在所有組織 – 比方說國防承包商面對的威脅就和家庭式麵包店不同。組織需要了解自己面對的是什麼樣的風險，以及有那些已經出現在自己的網路內。後者尤其困難，甚至連大型組織也面臨到這樣的挑戰。但這很重要，在組織提高其安全態勢前，需要先了解自己的狀況。

在過去，這項任務可能比較容易，因為所有的設備都在IT部門管控之下，而且連線只有有線網路。這代表了IT部門可以負責一切 – 而IT管理者，一般來說是一組人，可以將事情有邏輯的安排好，輕鬆的將以防護。

但在今日就不是這樣了。行動設備和BYOD政策代表想要強制進行「正確」的網路區隔變得困難得多。同樣的，因為角色會不斷改變和更具備彈性，也代表員工每日所需的資料可能會經常變動。此外，企業網路內資料流動的規模也是大大的增加。

區隔使用者和網路是一項艱鉅的任務，但卻是必要的。在面對今日的針對性攻擊時，識別正常流量及使用者是必要的。能夠更加熟悉「正常」流量和使用者，在偵測可能是針對性攻擊跡象的不尋常網路活動就更加有用。

那麼，有那些標準可以用來識別和分類網路？下面是一些例子。繼續閱讀

技術長觀點：防範來自企業內部人員的攻擊

2015 年 06 月 30 日2015 年 06 月 30 日趨勢科技 TrendMicro

Raimund Genes (趨勢科技技術長，CTO)

若您讀過不少犯罪小說，或者看過不少動作影片，您對這樣的情節應該不會感到陌生：一位內部人員因為多年前所受到的屈辱而對企業展開報復，導致企業蒙受重大損失。企業內部人員通常站在正義的一方，但有時也會站在邪惡的一方。

這道理不難理解，因為內部人員非常清楚企業的做事方法、寶貴資料，以及遭受攻擊時的因應方式。誰能比內部人員更知道該如何攻擊企業本身？

然而這是假設「內部人員的威脅」無可避免。所幸，大多數人都不會想要毀掉自己所任職的企業。大多數人都希望自己所屬的機構能夠成長、茁壯。因此，除非您待的是國防單位，否則這點通常不是您要擔心的問題。

不過問題是，並非所有「內部人員的威脅」都是來自蓄意。內部人員也有可能因為不小心而造成資料外洩。社群網站為人們提供了許多新鮮有趣的溝通方式，但不幸的是，有時候也會讓一些「不該」透露的機密資訊外流。

若人們已經將資訊洩漏在網路上，那麼您還能利用社交工程（social engineering ）從別人身上套出什麼更多資料？所謂的社交工程技巧，就是利用一些人際之間手段來讓別人照著您的意思去做。這是數千年來流傳已久的一門藝術，因此歹徒擅長這門藝術也就不令人訝異。

幾乎所有「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）一開始都是利用某種形態的社交工程技巧。因此，儘管不易，您應該盡可能防範這類攻擊。繼續閱讀

< APT 攻擊 >「熱帶騎警攻擊行動」強勢攻台 62%鎖定政府單位與重工業

2015 年 05 月 18 日2015 年 05 月 18 日趨勢科技 TrendMicro

【台北訊】趨勢科技發佈「熱帶騎警攻擊行動」觀察報告，指出台灣與菲律賓一直是此項「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）的首要目標，在過去三個月內，62%的攻擊行為都是針對台灣的政府單位與重工業，菲律賓的軍事單位則是另一個目標。根據趨勢科技病毒防治中心最新研究，駭客攻擊火力以今年3月份最為密集，連最常被利用的c&c伺服器也位於台灣！報告中詳述攻擊行動的目標、階段與手法，趨勢科技也表示，如同其他APT攻擊一樣，「熱帶騎警攻擊行動」已帶來重大危險，建議政府單位和企業都應有一套完整的監控策略與進階威脅防護工具，才能確切掌握並修補其網路的安全漏洞。

趨勢科技資深技術顧問簡勝財表示：「『熱帶騎警攻擊行動』自2012年起即現出蹤影，但在今年3月份對台灣的攻擊火力大幅增強，並仍持續進行中。被利用的C&C伺服器中，有43%位於台灣，其次則分別位於美國、香港和阿拉伯聯合大公國。」

簡勝財指出，這項攻擊行動之所以能夠成功，是綜合了許多因素，例如利用兩個至今最常遭到攻擊的 Windows漏洞：CVE-2010-3333 和CVE-2012-0158 來入侵目標網路，並且採用了基本的圖像隱藏術 (steganography) 來將惡意程式碼隱藏在圖片當中，再搭配社交工程（social engineering ）技巧騙取收件者的信任，而不小心開啟洩漏資訊給駭客的後門。此外，截至目前為止，台灣仍有17%的系統還在使用微軟Windows XP作業系統，而許多企業對於如何防禦 APT攻擊這種長期持續滲透的攻擊仍不熟悉、防護架構也不完整。
【延伸閱讀】
堅持上工的Windows XP ,讓DOWNAD 登上第二季垃圾毒王寶座
 第一個 Windows XP 系統終止支援後出現的重大IE漏洞
 十二年了,Windows XP時代終結：如果你還在用它怎麼辦

本次事件的攻擊手法，是先使用社交工程（social engineering ）釣魚郵件、挾帶惡意附件檔案，進一步攻擊一些既有的漏洞，透過與收件者業務有關聯的郵件主旨、內容以及配合該情況的附件檔案名稱，趨勢科技曾發現的有：「關於104年中央政府總預算」或「實驗室電話表」等檔名，讓收件人不疑有他，進而下載並開啟郵件中所附的檔案。

圖一、社交工程釣魚郵件樣本

繼續閱讀

< APT 攻擊>專門從事經濟和政治間諜的Pawn Storm活動激增

2015 年 05 月 07 日2015 年 10 月 14 日趨勢科技 TrendMicro

Pawn Storm活動激增，鎖定北大西洋公約組織 (NATO) 與美國白宮

一直長期活躍的 Pawn Storm「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）行動在新的一年突然爆炸性成長，導入了新的基礎架構，同時也開始鎖定北大西洋公約組織 (NATO) 會員國，甚至是美國白宮。這是根據趨勢科技持續研究其背後駭客團體所得到的最新情報，同時也是我們眾所周知的 2014 年 10 月份 Pawn Storm 研究報告的後續補充。

Pawn Storm 攻擊行動：背景

Pawn Storm 是一項專門從事經濟和政治間諜活動的攻擊行動，其目標相當廣泛，包括：軍事、政府、國防產業、媒體等等。

該團體是一群處心積慮的駭客，至少從 2007 年開始即活躍至今，其犯案模式非常固定。我們為所取的名稱，是根據歹徒聯合搭配多種工具和手法來襲擊單一目標的作法，與西洋棋中的 Pawn Storm (小兵聯合攻擊) 策略如出一轍。

該團體運用了三種非常容易辨別的攻擊手法。第一種是發送含有惡意 Microsoft® Office 文件的網路釣魚郵件，文件當中暗藏專門竊取資料的 SEDNIT/Sofacy 惡意程式；第二種是在波蘭政府的一些網站上植入某些漏洞攻擊程式，讓瀏覽者感染前述的惡意程式；最後一種則是利用網路釣魚電子郵件來將使用者重導至假冒的 Microsoft Outlook Web Access (OWA) 登入網頁。

Pawn Storm 主要攻擊對象為美國及其盟邦的軍事單位、政府機關和媒體機構。我們判斷該團體也曾攻擊俄羅斯異議團體以及那些和克里姆林宮作對的團體，此外，烏克蘭激進團體與軍事單位也在攻擊之列。因此有人揣測該團體可能跟俄羅斯政府有所關聯。

今年二月，趨勢科技觀察到 Pawn Storm 又有新的動作，並發現一個專門攻擊 Apple 使用者的 iOS 間諜程式。

繼續閱讀