https://twcert2024.informationsecurity.com.tw/

觀點

<2014亞太資安論壇展後報導>面對APT,看清楚是「誰」在攻擊你

2014 / 05 / 02
張維君
<2014亞太資安論壇展後報導>面對APT,看清楚是「誰」在攻擊你
對於APT攻擊,阿碼證點有不同看法。阿碼科技創辦人現為阿碼證點技術副總黃耀文認為,面對APT攻擊,重點在於要有防守方的精神。企業必須明白APT是針對你而設計的攻擊,一旦被鎖定,駭客會持續去挖掘你的漏洞,因此企業不能只是注意惡意文件的手法,不能只關注Word或Adobe的漏洞或水坑式攻擊,畢竟攻擊手法永遠會有新的變化,重點是要去了解是「誰」在攻擊你,以及攻擊者目的是要偷你甚麼東西。

為此,阿碼證點提出主動式APT防禦技術,有別於其他只有被動式防禦的做法,主動幫使用者點擊網路上的惡意連結,且不是只在email收進來才掃,而是隨時去掃,持續用各種不同設定、不同IP去點擊連結,直到將攻擊行為全盤載入,包括惡意連結的重導、惡意程式脫殼…直到執行等,阿碼證點將一連串攻擊行為全部錄下。

緊接著透過阿碼自行開發的Vicara語言與規則,去比對所有錄下來的攻擊行為,即可找出攻擊者的IP、所感染的網頁在哪、或C&C後台在哪裡。阿碼可據此攻擊行為的因果關係樹,產出分析報表給企業,告知此次攻擊團體是誰。甚至還進一步透過反入侵的方式,進入到攻擊者的C&C後台,以了解更多攻擊訊息。然而,若是阿碼的虛擬機器被攻擊者辨識出來,使得部分攻擊行為錄不到,或資訊不完整而無法得知攻擊團體是誰時,至少可以知道此次是否是水坑式攻擊,或者至少可以告訴使用者這是不是針對你的先進持續威脅攻擊。

企業每天收到的惡意郵件可能百百種,若是每次收到可疑郵件都耗費精神去處理,IT人員將疲於奔命並耗費企業資源。黃耀文表示,透過知道攻擊者是誰,企業就可以知道該採取何種等級的危機處理,例如有專門要偷銀行帳號的惡意郵件,或者是中了CryptoLocker勒索軟體等,此外也有專門鎖定台灣電子零件廠的攻擊團體,如果剛好是電子零組件廠商中了此團體所寫的後門程式,這時就必須要採取最高等級的處理機制來因應,因為此類APT是專門鎖定你的攻擊,不可掉以輕心。根據阿碼證點分析,最高曾在某攻擊者後台中看到3,248個受害者帳號資料,擁有大量個資的物流業、醫療產業需要特別注意。
APT