敏捷安全流程自動化對抗內網攻擊

2011 / 09 / 26

吳依恂

一般而言，資安人員可以透過報表來看出攻擊事件發生的嚴重性、排序等，並且加以修正，只是，過去的網路環境較為單純，對於資訊的掌握也較為單純。而網路越流行，機敏資料在網路上的影響也就越大、利潤越高，造成如今的網路攻擊皆為有系統、組織化的現象。只是，如今越來越多的行動裝置、應用程式被使用在企業內部時，傳統的資安設備就越來越不敷使用。不僅是Windows、MAC的環境，現在還有Android等，當然，資安政策的設定也都要隨之變動，資安人員因此疲於奔命。

Sourcefire 亞太區總監Sugiarto Koh來台訪問時提到一個概念－敏捷安全。他指的是一套流程，透過”See、Learn、Adapt、Act”四個步驟，回應持續性變動的網路威脅。也就是說必須要能夠即時發現多變的網路狀況，智慧性分析真正的警示資訊並且自動化做出因應，達到動態的即時防護。

對駭客來說從外部攻擊難度較高，但無法杜絕的社交工程攻擊以及來自網站釣魚的老把戲，總是可以讓學不乖的使用者上當，也因此得以讓攻擊者從內部發起。逸盈科技產品經理陳世煌就提到，現在有很多發生在內部的攻擊，可能是某員工上網去進行下載，剛開始惡意程式可能還不會執行，所以無法被察覺又或者是隨身碟病毒的爆發，最後卻轉變成從內部對內部發動攻擊。他也舉例，當環境越來越複雜，從Windows、MAC到Android，傳統IPS卻是一個預設的Policy就要套到各行各業來使用，但是不同的系統又有不同的設定方式，修改亦相當花費人力，並且蒐集的Log量過多卻不精準，有太多不要的資訊，又不確定攻擊是否真的生效以及發生在哪裡？哪個裝置？例如SQL Slammer是一個很普遍的攻擊，他就曾有個客戶每次看分析報表，SQL Slammer總是名列前茅，但是該上的patch也上了，卻依然找不出問題在哪裡。

他建議應當要在資料中心跟Server Farm之前擺放IPS，以阻擋內對內的攻擊，不過，傳統IPS還是必須要透過人工去勾選設定，現在有些新一代的IPS解決方案已有即時內容感知的探索功能，可以事先進行分析，再來調校設定。不過，其實目前也有些傳統IPS可以搭配弱點掃描工具進行主動偵測，只是，如果一年僅做兩次，恐怕還是會有空窗期。

IPS 逸盈 Sourcefire Sugiarto Koh 陳世煌內網 Log