收缩

新闻中心 news-center

您现在所在的位置首页 > 新闻中心 > 行业新闻 > 思科(Sourcefire)下一代高级恶意软件防护关键技术

思科(Sourcefire)下一代高级恶意软件防护关键技术

发布者: 研发中心 杨雄伟   发布时间: 2014-05-16    浏览次数: 5438

 


应用大数据分析和集体安全智能来解决恶意软件问题

 

应用大数据分析和集体安全智能来解决恶意软件问题

 

    随着已知恶意软件呈指数增长,为尝试更好地服务于客户,传统终端保护厂商推出了“云辅助防病毒”功能,将签名数据库迁移到了云中。这解决了每隔五分钟就需要向每个终端分发数十亿病毒签名的问题,但并不能有效应对日前正蓬勃发展的、专为逃避签名检测而设计的高级恶意软件。云辅助防病毒模式的另一限制是,攻击者很有耐心,会花费大量时间来达到其目的。大多数防恶意软件技术的缺点都在于缺乏持续性和上下文感知能力,重点主要是在初次发现某一文件时检测其是否为恶意(单个时间点)。但是,现在看起来不是恶意软件的文件,在将来(甚或明天)就可能很容易地变为恶意软件。所以我们需要的是持续分析能力,能够长期监控,并根据最新威胁智能,将文件状态从最初的无害改为恶意。

 

    Sourcefire已采取更加面面俱到的新方式来迎接上述检测恶意软件的挑战。在全球数千企业客户和数百万在用终端恶意软件防护代理的支持下,Sourcefire每月收集的恶意软件样本超过百万之多。在Sourcefire的CollectiveSecurity Intelligence Cloud中,分析数万软件特性,以便将恶意软件与正常软件区分开来。此外,也会分析网络流量特征,以检测出恶意软件对于CnC网络的搜索。Sourcefire还利用其庞大的部署产品群,来确定从全球角度以及从每个特定客户机构角度来说,哪些属于正常文件和网络行为的范畴,以便比较。

 

    Sourcefire的集体安全智能( Collective Security Intelligence)的优势还远不仅此,当文件通过任意检测点时,Sourcefire的云分析功能将在超长时间内,根据最新威胁智能信息,持续评估此文件,使得Sourcefire的高级恶意软件防护(Advanced Malware Protection)解决方案(Sourcefire AMP)能够在文件初始分析后很长一段时间内,如果出现问题,依然可以

 

    最后,这些优势将使整个Sourcefire AMP社区受益,每当对于某个文件的处置方式发生变化,都会通知整个社区。藉此,所有利用Collective Security IntelligenceCloud的机构都能立即了解恶意文件,借助云的力量,实现“集体免疫”。

 

可回溯的安全性

 

    采用持续分析功能,对于初始判断为正常或未知、而之后确定为恶意的文件报警。回溯安全能够确定攻击爆发的范围、遏制攻击,并最终逆转时光,自动进行恶意软件修复。

 

    攻击者并非静止不动。他们不断评估当前安全技术,变换其战术方法,力争领先于防御措施。实际上,大多数攻击者在发起攻击前,会针对领先防恶意软件产品来测试其恶意软件,以确保攻击成功。随着黑名单方式效果的减弱,越来越多的安全产品公司依靠虚拟机(VM)动态分析,来研究和应对恶意软件。而同时,攻击者也调整了战略战术,他们假设如果评估期文件不进行任何恶意行为,则文件会被判别为安全,所以,在VM中运行时,他们或者不作为,或者延迟几小时(或几天)后再攻击。当然,一旦等待期过去,受害者的设备就会被损坏。不幸的是,目前,各种单个时间点的技术都无法再次对这些文件进行分析。如果一个文件被判定为安全,则无论是检测技术进行了改进,还是文件表现出恶意行为,它的状态依然是安全。更糟的是,当恶意软件避开了检测,控制措施就无法跟踪其在环境中的传播、了解其根本原因,或发现恶意软件潜在入侵通道(系统会被恶意软件重复感染,或作为发射台,传播更广泛

 

    尽管这只是恶意软件编写者如何处心积虑,领先于安全产品公司一步,利用现有防恶意软件控制措施的限制的一个案例,但我们最好是以没有一种检测-防御机制会100%有效为前提。如果认为只是依靠检测就能实现全面保护,不仅过高估计了您为关键资产提供防御的能力,而且也小看了您的对手发动攻击的能力。因此,机构需要为攻击者避开了防线的情况而制订一个计划,确保能够了解入侵范围和内容,快速遏制破坏,消除威胁,解决根本原因,消除恶意软件入侵通道,这就需要“回溯安全”。

 

    回溯安全使得机构实际上可以实现时光逆转,无论文件是否判定为恶意软件,都能确定哪些设备暴露在恶意软件的攻击之下。这需要跟踪每个穿越受保护网络的文件,以及全方位了解每个受保护设备上发生的每个行为,对应查看文件通过机构的方式与文件在系统上执行的操作。

 

    使用传统防恶意软件防护时,如果在未来某个时刻,文件被判定为恶意软件,您可采取的措施通常十分有限,因为您无法进入时光机,在文件进入系统时将其拦截-它实际上已在您的环境中横行肆虐。这正是大多数防恶意软件控制措施无能为力之处,让您无法了解问题的全部,从而对“现在该怎么办”这个棘手问题一筹莫展。

 

 

    而这也正是Sourcefire AMP的基础-大数据分析大显神威之处。通过名为“轨迹跟踪”的功能,它能够快速判断文件如何穿行机构,从而跟踪恶意软件,立即(在一些情况下自动)清理受感染设备。更重要的是,因为Sourcefire AMP跟踪每个文件的每一次使用,机构能够发现“第一感染源”(第一个遭受恶意软件攻击的设备)以及其它每个受感染设备,确保完全根除感染。因为,众所周知,如果清理后即使只有一个恶意软件实例存活,再次感染的可能性也非常大。

 

    此外,轨迹分析不仅能够分析与文件活动相关的信息,而且能够跟踪文件世系、使用情况、相关性、通信、协议以及哪些文件安装了恶意软件等信息,对所检测到的恶意软件或可疑行为快速执行根本原因分析。这使安全团队能够在遭遇攻击时,即刻从检测切换到控制操作,迅速了解攻击范围和根本原因,有效终止进一步

 

    当面对大量检测事件,特别是恶意软件时,另一个挑战在于,确定哪些事件真正需要优先重视并作出响应。单一事件,甚至在某个终端拦截了一个感染恶意软件的文件,并不一定意味着发生安全问题。但是,当多个事件,哪怕是多个看起来正常的活动,互相关联起来时,其结果可能大大提高了系统遭受破坏的风险,表明安全违背即将或正在发生。

 

    Indications of Compromise(感染指标)是Sourcefire AMP的另一功能,执行更深层次的分析,来发现系统遭受入侵的迹象。此功能是时间点检测技术所无法企及的,能够在初始分析后,继续捕获、分析和关联恶意软件相关活动,为安全人员提供自动分析和风险

 

    最后,一旦恶意软件在企业中扎根,它通常会尝试与CnC服务器通信,或者如果它直接被攻击者所控制,会开始侦查活动,逐步移向

 

    SourcefireAMP监控受保护终端上的通信活动,并根据Sourcefire集体安全智能( Collective Security Intelligence)进行关联,判断是否发生入侵,拦截终端上恶意软件的通信与分发。藉此,安全人员能够获得独特优势,对于并未处于公司网络保护范围内的终端,如远程或移动员工所使用的系统等,能够控制这些终端上恶意软件的扩散。此外,轨迹跟踪和感染指数还能利用所捕获的网络活动,加速调查和感染的优先级

 

多点实施,协同安全

 

在网络、物理和虚拟终端及移动设备上同时实施

 

    独木不成林,单一安全控制措施并不能解决全部问题。为了防御高级恶意软件的入侵,必须在网络防御、终端保护和跟踪威胁及修复活动的管理控制台之间实现出色协作。Sourcefire提供了一个集成系统,利用基于云的集体安全智能(Collective Security Intelligence)、出色网络分析以及多点部署,来确保高级恶意软件不会乘隙入侵您的机构。

     

     Sourcefire广泛的AMP功能从恶意软件一进入网络开始,就检测/拦截它们。当每个文件进入(或离开)网络时,Sourcefire AMP生成一个文件指纹,然后咨询Sourcefire的FireSIGHT®中央管理控制台,来判断该文件是否已被识别为

 

    如果FireSIGHT从未看到过此文件,它在Sourcefire 集体安全智能(Collective Security Intelligence )Cloud中查找,快速判断该文件是否曾在Sourcefire的Collective Security Intelligence网络中出现。与对网络上每个文件进行沙箱操作相比,这一查询可扩展性更好,且对延迟无影响。对于已识别为恶意的文件,FireSIGHT提供文件跟踪功能,了解感染的程度和上下文环境。

 

    Sourcefire的轻量级终端恶意软件防护代理(FireAMP™连接器)也可部署于每个受保护设备之上,从而根据集体安全智能(Collective Security Intelligence) Cloud检查所有文件活动,发现已知恶意文件。而且,FireAMP并不只是查找恶意文件,而是即使以前从未发现过此文件,也能有效检测和拦截设备上恶意软件的行为特征,保护终端免遭零日攻击。FireAMP连接器还利用回溯检测和上述文件跟踪功能,确定感染程度和需要立即修复的设备。如果文件已被判断为可疑,则Sourcefire AMP将执行更深层次的文件分析。如上所述,Sourcefire基于云的分析功能可以精确确定文件的行为,如果判断文件为恶意,则将记录攻击简况,生成感染指标和其它能够使用强钡拇笫莘治龉δ芩阉鞯奶匦浴?/SPAN>

 

    利用这些恶意软件简况,Sourcefire AMP使得机构能够占据主动,防御恶意软件攻击。如果在另一环境中(通过回溯安全)用事实证明某个文件为恶意,集体安全智能(Collective Security Intelligence )Cloud能够将此判断发送到您机构的FireSIGHT控制台,帮助您在网络或终端拦截恶意软件,确保Sourcefire AMP社区的其他成员都实现集体免疫。此外,如果本地管理员发现了一个本地攻击,需要立即采取行动,机构能够设置定制规则来拦截特定文件和IP地址。

 

     FireAMP™ Mobile连接器也是依靠集体安全智能(Collective Security Intelligence) Cloud快速分析安卓应用,实时发现可能的威胁。通过将可视性扩展到移动设备,您能快速了解哪些设备被感染,哪些应用为系统注入了恶意软件等等。当您希望针对攻击进行修复时,FireAMP Mobile提供强大控制措施,拦截特定应用(并将其置于黑名单),以便您能控制移动设备可使用哪些应用访问公司资源。FireAMP™ Virtual连接器则将相同功能和高级恶意软件防护措施扩展到了Vmware虚拟机。

 

2014-05-12思科产品部

 

 




http://www.fortunes.com.cn 4008-819-208 fax:0755-28761201 sales@fortunes.com.cn 深圳市龙华区清祥路1号宝能科技园7栋B座10楼

版权所有 Copyright(C)2009-2019 深圳方迪科技股份有限公司 粤ICP备06065382号 新版调查问卷