https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1

觀點

EyeQuila支援回溯分析 掌握攻擊全貌

2016 / 05 / 16
編輯部
EyeQuila支援回溯分析 掌握攻擊全貌

近年來企業不斷深受進階持續威脅(APT)所困擾,儘管國內外知名APT解決方案都已進駐台灣市場,但對企業而言,「究竟有沒有受害?」、「是哪幾台系統受害?」、「從甚麼時候開始被入侵?」仍是最迫切關注的問題。

中華電信與精誠資訊共同開發的EyeQuila次世代APT解決方案正是為解答上述問題而研發。目前市場上APT解決方案可說五花八門,依分析標的可分為以下三類:分析檔案、分析網路流量或分析日誌記錄。其中大多數產品是從檔案或網路流量封包來做分析,而EyeQuila則選擇從日誌分析來切入市場。

透過回溯分析判斷入侵時間點
中華電信OOO游啟勝表示,以流量監測為主的解決方案在佈署架構上有其限制,通常只能以小網段來側錄流量,或只能側錄某區域,對擁有多座機房的大型企業而言,若要將流量全部側錄並維持系統效能,必須採用較高規格的主機,如此一來整體建置成本相當高。而EyeQuila雖以日誌分析為主要技術,但若企業某些網段沒有留存proxy log時,EyeQuila亦可支援混合模式,側錄該網段流量進行分析。

除了建置成本高之外,監控流量型的解決方案是即時監控當下流量並發出告警,此類技術無法保存全部流量,也就無法做到回溯分析,亦無法回答「是從甚麼時候開始被入侵?」的問題。然而此問題對某些受害企業而言卻相當關鍵,了解受害的時間點才能判斷企業機密智慧財產是否遭到外洩,而非僅能知道當下是否被入侵。

游啟勝強調保存日誌做回溯分析的重要,例如某些外部連線在很久之前就已開始進行,但直到最近該站才被列為惡意中繼站,若有保存日誌就能清查出受害的主機。此外,近期許多惡意程式在下載到本機端後就把自己刪除,或是將攻擊行動拆解成不同功能,光看單一行為很難辨識是否為惡意程式,這時透過回溯分析的技術較能掌握攻擊全貌,揪出惡意的連線。

專注連網行為分析偵測未知攻擊
相較於也是透過日誌分析的作法來偵測APT行為的資安事件管理平台(SIEM),EyeQuila的強項在於對未知可疑行為的偵測能力。游啟勝表示,現今APT攻擊之所以難被發現或難被完全清除,是因為它能持續對外連線並做更新,因此EyeQuila特別專注連網行為的分析。

針對不明連線能進一步判斷其通訊協定是否正常、是否被列在中繼站黑名單、從網域名稱查詢註冊者、連網頻率是否異常等多種威脅指標及進階行為模式來判定可疑行為。

而SIEM平台將各種日誌匯入後,主要進行黑名單比對,否則需透過關聯規則的撰寫或產品提供範本才能偵測可疑行為,游啟勝指出SIEM平台對於事件觸發關聯規則的頻率或次數往往需要企業自己設定,但EyeQuila可根據企業的網路應用環境,透過巨量分析自我學習並建議關聯規則的設定值。此外,SIEM平台對於所匯入的日誌格式以及欄位限制較多且固定,而EyeQuila則能彈性支援各種日誌格式。

與既有資安設備聯防阻擋 符合效益
談到APT,許多專家都表示無法靠單一產品來抵禦APT攻擊,透過聯防的機制才能有效偵測並處理。目前EyeQuila可支援Splunk與ArcSight,企業若已有前述兩種SIEM平台,可直接從此二平台上將日誌匯入EyeQuila做分析。此外,一旦系統偵測出可疑的攻擊行為要進一步阻擋時,EyeQuila亦可與企業既有資安設備如防火牆、代理伺服器、IPS串連,透過它們來進行阻擋,而不需額外投資其他設備。游啟勝表示,此種串連機制稍微會有時間差,但對於某些電子商務業者來說,即時阻擋恐怕會造成線上服務中斷,影響層面更大,因此一旦發現異常只要阻斷往外傳送資料的行為即可。

綜上所述,EyeQuila具備四大特色:第一、獨家連網行為的偵測機制,能有效攔截未知的可疑行為。第二、透過回溯分析可判斷入侵受害的起始點。第三、可採取混合的分析技術,降低整體建置成本。第四、採取兩層式架構,由log sensor收集資料,接著送到後端巨量資料分析平台進行集中分析,以找出事件關聯。同時,EyeQuila在佈署上支援可擴充的彈性架構,當資料收集量增加時,只要新增log sensor即可,不需全部更換為高規格型號設備,較符合經濟效益。