<2014亞太資安論壇展後報導>面對APT，看清楚是「誰」在攻擊你

2014 / 05 / 02

張維君

對於APT攻擊，阿碼證點有不同看法。阿碼科技創辦人現為阿碼證點技術副總黃耀文認為，面對APT攻擊，重點在於要有防守方的精神。企業必須明白APT是針對你而設計的攻擊，一旦被鎖定，駭客會持續去挖掘你的漏洞，因此企業不能只是注意惡意文件的手法，不能只關注Word或Adobe的漏洞或水坑式攻擊，畢竟攻擊手法永遠會有新的變化，重點是要去了解是「誰」在攻擊你，以及攻擊者目的是要偷你甚麼東西。

為此，阿碼證點提出主動式APT防禦技術，有別於其他只有被動式防禦的做法，主動幫使用者點擊網路上的惡意連結，且不是只在email收進來才掃，而是隨時去掃，持續用各種不同設定、不同IP去點擊連結，直到將攻擊行為全盤載入，包括惡意連結的重導、惡意程式脫殼…直到執行等，阿碼證點將一連串攻擊行為全部錄下。

緊接著透過阿碼自行開發的Vicara語言與規則，去比對所有錄下來的攻擊行為，即可找出攻擊者的IP、所感染的網頁在哪、或C&C後台在哪裡。阿碼可據此攻擊行為的因果關係樹，產出分析報表給企業，告知此次攻擊團體是誰。甚至還進一步透過反入侵的方式，進入到攻擊者的C&C後台，以了解更多攻擊訊息。然而，若是阿碼的虛擬機器被攻擊者辨識出來，使得部分攻擊行為錄不到，或資訊不完整而無法得知攻擊團體是誰時，至少可以知道此次是否是水坑式攻擊，或者至少可以告訴使用者這是不是針對你的先進持續威脅攻擊。

企業每天收到的惡意郵件可能百百種，若是每次收到可疑郵件都耗費精神去處理，IT人員將疲於奔命並耗費企業資源。黃耀文表示，透過知道攻擊者是誰，企業就可以知道該採取何種等級的危機處理，例如有專門要偷銀行帳號的惡意郵件，或者是中了CryptoLocker勒索軟體等，此外也有專門鎖定台灣電子零件廠的攻擊團體，如果剛好是電子零組件廠商中了此團體所寫的後門程式，這時就必須要採取最高等級的處理機制來因應，因為此類APT是專門鎖定你的攻擊，不可掉以輕心。根據阿碼證點分析，最高曾在某攻擊者後台中看到3,248個受害者帳號資料，擁有大量個資的物流業、醫療產業需要特別注意。

APT