ISC 2020技術(shù)日丨 網(wǎng)絡(luò)空間危機(jī)四伏，如何發(fā)現(xiàn)威脅的蛛絲馬跡？

云風(fēng) 發(fā)自 凹非寺
量子位 編輯 | QbitAI

核心技術(shù)是強(qiáng)國之匙，當(dāng)今世界，信息技術(shù)的迅猛發(fā)展特別是互聯(lián)網(wǎng)技術(shù)的廣泛應(yīng)用，極大地促進(jìn)了全球的經(jīng)濟(jì)文化發(fā)展。但與此同時，技術(shù)是一把“雙刃劍”， 網(wǎng)絡(luò)安全也面臨新挑戰(zhàn)。

首次采用“萬人在線”的云會議模式的第八屆互聯(lián)網(wǎng)安全大會（ISC 2020），為全球萬千參會者打造永不閉幕的云上安全交流平臺。8月13日-16日的技術(shù)日多個論壇中，更是行業(yè)領(lǐng)軍專家、全球技術(shù)大咖等齊聚“云端“，共同探討等保2.0時代，網(wǎng)絡(luò)空間測繪、ATT&CK安全能力衡量、安全分析技術(shù)、XDR分析檢測等信息技術(shù)領(lǐng)域，構(gòu)筑網(wǎng)絡(luò)安全建設(shè)”合規(guī)之路“。

網(wǎng)絡(luò)空間對抗升級，ATT&CK 框架構(gòu)建安全基石

ATT&CK作為近幾年最火的攻擊框架，對于安全行業(yè)的實(shí)際檢測有很強(qiáng)的指導(dǎo)性價值。它覆蓋的攻擊技術(shù)非常龐雜和具體，大概有200多項技術(shù)點(diǎn)。而隨著對抗的升級，域安全在紅藍(lán)對抗中越來越重要。

基于此，青藤云安全COO 程度以“ATT&CK高頻攻擊技術(shù)的分析與檢測”為議題，圍繞ATT&CK技術(shù)使用頻率、攻擊技術(shù)檢測分析框架、ATT&CK技術(shù)需要收集的數(shù)據(jù)類型頻率分布、ATT&CK數(shù)據(jù)源與事件日志、Valid Account 攻擊等進(jìn)行了深度探討。

其中，ATT&CK高頻技術(shù)方面還對Valid Account 攻擊、Powershell 攻擊、Masquerading攻擊、Credential Dumping攻擊、Scheduled Task攻擊等五方面進(jìn)行了詳細(xì)的介紹和分析。

1、Valid Account 攻擊

程度提出，攻擊者會使?利?漏洞獲取憑證訪問的權(quán)限技術(shù)來竊取?個特定?戶或服務(wù)賬戶的?戶名密碼或憑證，或者是通過社會?程學(xué)偵查獲得特定?戶或服務(wù)賬戶的?戶名密碼或證書，從?獲得初始訪問的權(quán)限。而攻擊者可能使?的賬戶分為三類：默認(rèn)賬戶、本地賬戶和域賬戶。

針對入侵分析，程度提出攻擊者通過其他?段獲取的郵箱賬號可以作為持久化的?種?段，可直接登陸到系統(tǒng)，然后新建?個隱藏賬號來實(shí)現(xiàn)持久化。

針對檢測分析，程度列舉出兩類不同的數(shù)據(jù)源。

異常登陸，可監(jiān)測所有登錄時間，是否在非正常時間和非正常地點(diǎn)登錄。

賬號變更，可監(jiān)測所有賬號的新增，修改。

數(shù)據(jù)源為賬號變更事件、異常登錄事件

Windows系統(tǒng)：監(jiān)視創(chuàng)建LSASS.exe的Windows日志，驗(yàn)證LSASS是否作為受保護(hù)進(jìn)程啟動；監(jiān)視程序執(zhí)行的進(jìn)程和命令行參數(shù)。例如PowerSploit的Invoke-Mimikatz模塊；監(jiān)控域控制器日志以查找可能與DCSync相關(guān)的復(fù)制請求和其他未安排的活動；監(jiān)視來自與已知域控制器無關(guān)的IP的網(wǎng)絡(luò)協(xié)議 和其他復(fù)制請求。

Linux：要獲取存儲在內(nèi)存中的密碼和哈希，進(jìn)程必須在/proc文件系統(tǒng)中打開要分析的進(jìn)程的映射文件。該文件存儲在/proc/maps路徑下，其中目錄的唯一的pid；AuditD監(jiān)控工具，在許多Linux發(fā)行版中都提供，可用于監(jiān)視在proc文件系統(tǒng)中打開此文件的惡意進(jìn)程，警告pid，進(jìn)程名稱和此類程序的參數(shù)。

數(shù)據(jù)源為進(jìn)程監(jiān)控，進(jìn)程命令行參數(shù)，API監(jiān)控，PowerShell日志

2、Powershell 攻擊

程度提出，攻擊者可以使用PowerShell執(zhí)行許多操作，包括信息發(fā)現(xiàn)和執(zhí)行惡意代碼。例如，使用Start-Process cmdlet運(yùn)行惡意的可執(zhí)行文件，使用Invoke-Command cmdlet在本地或遠(yuǎn)程計算機(jī)上執(zhí)行命令。

針對入侵分析，程度提出了三點(diǎn)。

繞過本地權(quán)限執(zhí)行，即上傳xxx.ps1到目標(biāo)服務(wù)器，在cmd的環(huán)境下，在目標(biāo)服務(wù)器本地執(zhí)行該腳本。

本地隱藏繞過權(quán)限執(zhí)行腳本。

用IEX下載遠(yuǎn)程PS1腳本繞過權(quán)限執(zhí)行。

針對檢測分析，程度提出，如果攻擊者獲得管理員或系統(tǒng)訪問權(quán)限，可能會通過注冊表或命令行來定義自己的執(zhí)行策略?？蓮囊韵聨追N方式進(jìn)行檢測：

監(jiān)控與PowerShell特定程序集相關(guān)的artifacts的加載和執(zhí)行，例如System.Management.Automation.dll（特別是異常的進(jìn)程名稱/位置）。

記錄PowerShell日志，以更好的獲知執(zhí)行期間發(fā)生了什么（適用于.NET調(diào)用）。

在數(shù)據(jù)分析平臺中收集PowerShell執(zhí)行細(xì)節(jié)，以補(bǔ)充其他數(shù)據(jù)。

數(shù)據(jù)源為PowerShell日志，加載的DLL，DLL監(jiān)控，Windows注冊表，文件監(jiān)控，進(jìn)程監(jiān)控，進(jìn)程命令行參數(shù)。

3、Masquerading攻擊

為了逃避防御和監(jiān)控，攻擊者會利?偽裝，來操縱或?yàn)E?合法或惡意的可執(zhí)??件的名稱或位置。

針對入侵分析，程度提出，會將windows偽裝成svchost：把惡意exe?件重命名成svchost，放到其他系統(tǒng)?錄中運(yùn)?。

針對檢測分析，程度提出，以下幾點(diǎn)：

收集文件哈希，文件名與其預(yù)期的哈希值不匹配是可疑的。執(zhí)行文件監(jiān)控，具有已知名稱但位于不尋常位置的文件是可疑的。同樣，在更新或修補(bǔ)程序之外修改的文件也是可疑的。

磁盤文件名與二進(jìn)制文件的PE元數(shù)據(jù)的文件名不匹配，則可能表示二進(jìn)制文件在編譯后已重命名。通過查看InternalName，OriginalFilename和ProductName是否與預(yù)期匹配來收集和比較二進(jìn)制文件的磁盤和資源文件名可以提供有用的線索，但可能并不總是指示惡意活動。

對于RTLO，檢測方法應(yīng)包括在文件名中查找RTLO字符的常見格式，例如“\ u202E”，“[U + 202E]”和“％E2％80％AE”。防御者還應(yīng)檢查他們的分析工具，以確保他們不解釋RTLO字符，而是打印包含它的文件的真實(shí)名稱。

數(shù)據(jù)源為文件監(jiān)控，進(jìn)程監(jiān)控，二進(jìn)制文件元數(shù)據(jù)。

4、Credential Dumping攻擊

程度提出，攻擊者可以使?憑證執(zhí)?橫向移動并訪問需要較?權(quán)限才能訪問的信息，且攻擊者和專業(yè)安全測試?員都可以使?此技術(shù)中提到的?種?具。也可能存在其他?定義?具。可以使?Mimikatz、Cain、creddump7在本地處理SAM數(shù)據(jù)庫，以檢索哈希值。

針對入侵分析，程度提出，lsass.exe的內(nèi)存經(jīng)常會被轉(zhuǎn)儲，以進(jìn)?離線憑證竊取攻擊?？梢允?Windows任務(wù)管理器和管理權(quán)限，系統(tǒng)?具ProcDump，或者mimikatz來實(shí)現(xiàn)。

針對檢測分析，程度提出以下幾點(diǎn)：

攻擊者?般都通過powershell執(zhí)?惡意命令，?且在執(zhí)?powershell時，必然需要使?參數(shù) -execbypass來繞過執(zhí)?安全策略，這是?個很強(qiáng)的檢測點(diǎn)。

監(jiān)控命令?和進(jìn)程創(chuàng)建事件，mimikatz，reg save HKLM\sam sam，reg save HKLM\system system，reg save HKLM\security security，這些都是很好的特征。

數(shù)據(jù)源為進(jìn)程監(jiān)控，進(jìn)程命令行參數(shù)，API監(jiān)控，PowerShell日志 。

5、Scheduled Task攻擊

程度提出，攻擊者使?at、schtasks和Windows任務(wù)計劃程序在某個時間執(zhí)?程序或腳本。如果使?RPC（通過身份驗(yàn)證），并且?件和打印機(jī)共享都被打開的情況下，還可以在遠(yuǎn)程系統(tǒng)上執(zhí)?計劃任務(wù)；在遠(yuǎn)程系統(tǒng)上執(zhí)?計劃任務(wù)通常要求該成員是Administrators組的成員；攻擊者可以在計劃任務(wù)中執(zhí)?惡意程序，從?實(shí)現(xiàn)持久化，獲得SYSTEM權(quán)限，或者在指定帳戶的上下?中運(yùn)?進(jìn)程。

針對入侵分析，程度提出在Windows系統(tǒng)下，管理員權(quán)限，攻擊命令為創(chuàng)建計劃任務(wù)。

而針對檢測分析，數(shù)據(jù)源為Windows事件日志，監(jiān)視進(jìn)程和命令?參數(shù)以了解可?于創(chuàng)建任務(wù)的操作。

基于以上探討，程度總結(jié)出“威脅狩獵系統(tǒng)=高質(zhì)量數(shù)據(jù)+異構(gòu)數(shù)據(jù)源的連接+強(qiáng)大的分析引擎+靈活的分析語言”。

深挖難點(diǎn)：空間測繪精準(zhǔn)感知，筑牢安全防御體系

萬物互聯(lián)，攻擊無孔不入，戰(zhàn)場無處不在。伴隨5G、IPv6、人工智能、云計算等新技術(shù)的涌入，數(shù)以百億的資產(chǎn)設(shè)備暴露在未知威脅之下，世界級安全風(fēng)險呈超指數(shù)級倍增。如何利用網(wǎng)絡(luò)測繪手段精準(zhǔn)、實(shí)時、智能的感知網(wǎng)絡(luò)空間安全態(tài)勢，及時感知威脅、識別定位資產(chǎn)，成為網(wǎng)絡(luò)安全防御體系重要一環(huán)。

作為威脅分析、安全研究方面的專家，華順信安聯(lián)合創(chuàng)始人、首席安全官的鄧煥就網(wǎng)絡(luò)空間測繪技術(shù)現(xiàn)狀進(jìn)行了分析，并從攻擊者視角分享了來自黑灰產(chǎn)業(yè)的真實(shí)攻擊事件及華順信安在網(wǎng)絡(luò)空間測繪技術(shù)方面的思考和實(shí)踐。

鄧煥提出，當(dāng)前，網(wǎng)絡(luò)空間測繪技術(shù)存在攻防體系的不對稱，如在技術(shù)層面防御通常比攻擊慢半拍；信息不對稱，攻擊者 > 安全人員等問題，需具備攻擊者視角。如以攻擊者視角利用全網(wǎng)探索探索引擎快速搜集業(yè)務(wù)系統(tǒng)ICO、CERT證書、子域名、同IP/IP段信息。

鄧煥強(qiáng)調(diào)，從攻擊者視角來看，如果要入侵一臺服務(wù)器，要從開放的端口服務(wù)、組件下手。那么第一步做的就是網(wǎng)絡(luò)資產(chǎn)暴露面的梳理，主要圍繞企業(yè)關(guān)鍵字如域名、IP、logo、ICP備案號、證書進(jìn)行信息收集，以發(fā)現(xiàn)更多的企業(yè)資產(chǎn)，尋找突破口拿下目標(biāo)。

鄧煥談到，隨著網(wǎng)絡(luò)資產(chǎn)數(shù)字化，用戶正面臨著監(jiān)管資產(chǎn)難以快速、全面、精準(zhǔn)地管理，傳統(tǒng)產(chǎn)品掃描緩慢、無法第一時間發(fā)現(xiàn)安全風(fēng)險及網(wǎng)絡(luò)威脅等痛點(diǎn)。目前階段防守方大多抵擋不住來自黑客的攻擊，主要是因?yàn)楣粽哧P(guān)心的永遠(yuǎn)不是用戶的IP資產(chǎn)，而是用戶IP資產(chǎn)上對應(yīng)的漏洞。

攻守有道，攻與守本身作為一對對立統(tǒng)一的矛盾，在互相對抗的同時又互相促進(jìn)。鄧煥認(rèn)為這就意味著在數(shù)字時代局勢下要轉(zhuǎn)變以往的網(wǎng)絡(luò)安全策略。只有實(shí)現(xiàn)網(wǎng)絡(luò)資產(chǎn)的精準(zhǔn)掃描，快速補(bǔ)漏，才能立于不敗之地。

鄧煥最后強(qiáng)調(diào)道，網(wǎng)絡(luò)空間資產(chǎn)安全防護(hù)不足主要原因是我們甚至不知道服務(wù)器的存在，而網(wǎng)絡(luò)空間測繪技術(shù)便解決了這個問題。近年來，華順信安聚焦網(wǎng)絡(luò)空間測繪技術(shù)，旗下的FOFA平臺搜索引擎擁有全球聯(lián)網(wǎng)IT設(shè)備更全的DNA信息?？梢园讶虮┞对诠W(wǎng)上設(shè)備的端口、協(xié)議、應(yīng)用，甚至漏洞進(jìn)行縱深的掃描，對資產(chǎn)的安全進(jìn)行建?？坍嫛Ｏ嘈盼磥砭W(wǎng)絡(luò)空間測繪技術(shù)或?qū)⒊蔀榫W(wǎng)絡(luò)安全的基礎(chǔ)技術(shù)。

深耕攻防之道，安全分析技術(shù)一網(wǎng)打盡前沿網(wǎng)安黑科技

隨著大數(shù)據(jù)時代的來臨，傳統(tǒng)的實(shí)時檢測與防御已不能勝任對海量數(shù)據(jù)中細(xì)微異常的甄別。相比主機(jī)層和應(yīng)用層以日志、請求等為分析對象，網(wǎng)絡(luò)流量分析面對更底層的網(wǎng)絡(luò)數(shù)據(jù)包，其中包含更多信息元素。

綠盟科技伏影實(shí)驗(yàn)室安全研究員杜元正分享了關(guān)于“圖卷集神經(jīng)網(wǎng)絡(luò)的樣本家族分類”的相關(guān)研究進(jìn)展。目前，可執(zhí)行程序黑白二分類的技術(shù)相對成熟，在此基礎(chǔ)上進(jìn)行由功能、代碼復(fù)用情況對惡意可執(zhí)行程序進(jìn)行多分類成為下一個突破方向。

演講中，杜元正分享了其研究團(tuán)隊針對此方向的研究歷程，團(tuán)隊首先使用API\LIB調(diào)用序列作為特征對可執(zhí)行文件進(jìn)行分類，但由于惡意樣本家族之間的API\LIB調(diào)用序列的特異性不足，導(dǎo)致分類結(jié)果不理想。隨后更換特征提取思路，以惡意樣本的控制流圖(Control Flow Graph, CFG)作為特征、使用可以采集圖特征的圖卷積神經(jīng)網(wǎng)絡(luò)（Graph Convolutional Nerual Network）進(jìn)行多分類。

其中，控制流圖具有圖結(jié)構(gòu)和和節(jié)點(diǎn)屬性兩個特征，且通過圖卷積層對圖結(jié)構(gòu)與節(jié)點(diǎn)屬性的特征采集，具有以下特征：

節(jié)點(diǎn)屬性縮放

節(jié)點(diǎn)屬性傳播

針對排序池化層，杜元正提出，控制流圖節(jié)點(diǎn)數(shù)量任意，因此特征圖大小任意; 在分類前，使用排序池化層固定特征圖的維度。而排序原則，即對于一個大小為M*N特征圖，根據(jù)第N列的值排序，若相等，則比較第N-1列的值，以此類推。

理想·環(huán)境下的分類結(jié)果，杜元正表示，使用惡意樣本控制流圖作為多分類特征，然后使用圖卷積神經(jīng)網(wǎng)絡(luò)對分類特征進(jìn)行分類，理想環(huán)境下分類效果拔群。

惡意樣本圖節(jié)點(diǎn)屬性缺失的情況下，分類：僅憑惡意樣本的圖結(jié)構(gòu)進(jìn)行分類

惡意樣本增加圖節(jié)點(diǎn)屬性后，收斂的所需要的輪數(shù)減少了30%

與此同時，研究團(tuán)隊在此過程中遇到了兩個工程問題但最終得以解決，其一是缺數(shù)據(jù)，最終通過做數(shù)據(jù)增強(qiáng)成功解決，其二是關(guān)于殼保護(hù)技術(shù)，研究發(fā)現(xiàn)利用“殼函數(shù)不會調(diào)用惡意樣本自定義函數(shù)、惡意樣本自定義函數(shù)不會調(diào)用殼函數(shù)”的這一特點(diǎn)，能夠成功分離殼特征。就殼保護(hù)技術(shù)解決方案如下：

殼特征分離，可見惡意樣本函數(shù)調(diào)用圖，包括殼函數(shù)調(diào)用圖以及惡意樣本本地函數(shù)調(diào)用圖。

基于“殼函數(shù)不會調(diào)用惡意樣本本地函數(shù)，惡意樣本本地函數(shù)不會調(diào)用殼函數(shù)”的觀測結(jié)果，分離殼函數(shù)調(diào)用圖與惡意樣本本地函數(shù)調(diào)用圖。

沙箱建設(shè)。通過注入插樁代碼，在不影響程序動態(tài)執(zhí)行結(jié)果的前提下，在程序執(zhí)行過程中插入特定分析代碼，實(shí)現(xiàn)對程序動態(tài)執(zhí)行過程的監(jiān)控與分析。

等保2.0時代，信息技術(shù)開啟合規(guī)之路

等保2.0時代高位啟航一周年有余，顯然對信息技術(shù)運(yùn)營者、使用單位等提出了新的要求，全面護(hù)航自身安全隱患和不足，提高信息技術(shù)的安全防護(hù)能力，成為一大難題。

中國工程院院士，國家集成電路產(chǎn)業(yè)發(fā)展咨詢委員會委員，國家三網(wǎng)融合專家組成員，中央網(wǎng)信辦專家咨詢委員會顧問沈昌祥院士以“按等保2.0可信計算3.0筑牢新基建網(wǎng)絡(luò)安全防線”為議題提出，按照國家網(wǎng)絡(luò)安全法律、戰(zhàn)略和等級保護(hù)制度要求，推廣安全可信產(chǎn)品和服務(wù)，筑牢網(wǎng)絡(luò)安全底線是歷史的使命。新型基礎(chǔ)設(shè)施是以數(shù)據(jù)和網(wǎng)絡(luò)為核心，其發(fā)展前提是用主動免疫的可信計算筑牢安全防線。

沈昌祥從以下三個方面進(jìn)行了詳細(xì)分析：

1、用科學(xué)網(wǎng)絡(luò)安全觀構(gòu)建新基建網(wǎng)絡(luò)安全主動免疫新體系

“一種”新模式，計算同時進(jìn)行安全防護(hù)。主動免疫可信計算是一種運(yùn)算同時進(jìn)行安全防護(hù)的新計算模式。

“二重”體系結(jié)構(gòu)，計算部件+防護(hù)部件。建立免疫、反腐敗子系統(tǒng)。

“三重”防護(hù)框架?？尚虐踩芾碇行闹С窒碌闹鲃用庖呷胤雷o(hù)框架，“安全辦公室”，“警衛(wèi)室”，“安全快遞”。

“四要素”人機(jī)可信交互。人機(jī)交互可信是發(fā)揮5G、數(shù)據(jù)中心等新基建動能作用的源頭和前提，必須對人的操作訪問策略四要素（主體、客體、操作、環(huán)境）進(jìn)行可信度量、識別和控制。

“五環(huán)節(jié)”可信設(shè)施。加強(qiáng)基礎(chǔ)設(shè)施全程安全管控，用可信密碼等技術(shù)檢測、預(yù)警、恢復(fù)等措施確保設(shè)施各環(huán)節(jié)安全可信。

“六不”防護(hù)效果，即攻擊行為賴不掉、系統(tǒng)和信息改不了、非授權(quán)者重要信息拿不到、攻擊者進(jìn)不去、竊取保密信息看不懂、系統(tǒng)工作癱不成。

2、打造主動免疫可信計算3.0新型產(chǎn)業(yè)空間

開創(chuàng)可信計算3.0時代 。中國可信計算源于1992年立項研制免疫的綜合安全防護(hù)系統(tǒng)（智能安全卡），于1995年2月底通過測評和鑒定。經(jīng)過長期軍民融合攻關(guān)應(yīng)用，形成了自主創(chuàng)新安全可信體系，開啟了可信計算3.0時代。

搶占核心技術(shù)制高點(diǎn) 擺脫受制于人，完備的可信計算3.0產(chǎn)品鏈，將形成巨大的新型產(chǎn)業(yè)空間。如可信主機(jī)分多核CPU內(nèi)實(shí)施可信并行結(jié)構(gòu)和主板上加裝TPCM+TCM模塊，老設(shè)備可以方便地通過可信網(wǎng)絡(luò)支撐平臺把現(xiàn)有設(shè)備升級為可信計算機(jī)系統(tǒng)，而應(yīng)用系統(tǒng)不用改動，便于新老設(shè)備融為一體，構(gòu)成全系統(tǒng)安全可信。

3、按等保2.0構(gòu)筑新基建網(wǎng)絡(luò)安全底線

等保2.0新標(biāo)準(zhǔn)把云計算、移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)和工控等采用可信計算3.0作為核心要求，筑牢網(wǎng)絡(luò)安全防線。

等保2.0新標(biāo)準(zhǔn)要求5G安全架構(gòu)。5G網(wǎng)絡(luò)在傳統(tǒng)電信云的基礎(chǔ)上引入NFV/SDN等技術(shù)進(jìn)行ICT融合，將移動通信網(wǎng)絡(luò)云化、虛擬化和軟件化，使網(wǎng)絡(luò)變得更靈活、敏捷和開放。

基于眾多嘉賓的探討，不難發(fā)現(xiàn)，當(dāng)今網(wǎng)絡(luò)安全市場， 等級保護(hù)新標(biāo)準(zhǔn)的發(fā)布與實(shí)施，對網(wǎng)絡(luò)安全產(chǎn)品市場起到推波助瀾的作用，使得多種技術(shù)和產(chǎn)品得到廣泛的應(yīng)用和部署，不僅促進(jìn)此類產(chǎn)品的進(jìn)一步發(fā)展，也促進(jìn)了網(wǎng)絡(luò)安全防護(hù)水平的進(jìn)一步提升。

ISC2020技術(shù)日期間精彩不斷，全球頂尖嘉賓接連聚焦熱點(diǎn)、難點(diǎn)問題，共謀網(wǎng)絡(luò)安全發(fā)展之道，還有安全開發(fā)與測試、XDR分析檢測、漏洞管理與研究、移動安全等多個分論壇同步上線。未來幾天，ISC2020產(chǎn)業(yè)日、人才日等主題日將陸續(xù)開啟，還有ISC夜談、ISC Talk、CXO等特色活動持續(xù)開播，為永不落幕的安全大會注入最前沿、最專業(yè)的基石。