實踐良好「安全性」的雲端結構,包含了七個原則:建立強大的身分管理基礎、啟用可追溯機制、對每一層都提供安全防護、自動化最佳安全實踐、保護傳輸中和靜止時的資料、讓人與資料保持距離、準備好應對安全事件。在疫情催化下,許多企業組織開始上雲,甚至多雲佈署。為協助使用單位更加了解雲端資安的防禦,資安人於8月26日舉辦線上論壇,邀請Tenable、Check Point、Fortinet三家國際大廠分享觀點。本次活動共有超過140位各行業之資管、資安、IT、風險管理人員上線參與。
雲端安全從AD開始
AD (Active Directory)在全球的使用普及率很高,根據Tenable調查,台灣中型企業使用AD的比例高達9成以上,主要的原因是帳號、權限管理使用方便。Tenable 技術顧問李元勛表示,「就是因為它方便,對駭客來說,AD就是一個清楚的攻擊目標,無論是地端或雲端的AD,只要拿到權限,就擁有進入企業內網的鑰匙,存取相關資源。駭客的目標就是拿到最高管理者的權限。」
據調查,60%的新型惡意軟體含有專門攻擊AD的程式碼。更有80%的全球企業都有嚴重的AD設定錯誤。李元勛舉例,駭客利用CVE-2020-1472,從一開始的網路釣魚轉為網域管理員,所花的時間不到5小時。
「每一樁成為頭條新聞的資料外洩事件背後都是不安全的AD設定在作祟,」他說。
常見的攻擊鍊框架,共包含10個步驟。其中第5到第8個步驟就是「公司感染」的階段,也就是直接與AD相關的安全問題,這4個步驟各別為: 橫向移動、特權帳戶的授權重現、AD的特權提升、持續利用。他解釋,「當駭客已經潛伏在公司內部,收集資料、探測,他會開始作橫向移動,用一台單機主機跟AD作溝通,找出不安全的設定,找出潛在的漏洞,進而得取管理者權限,到這一步就是攻擊鍊裡的步驟7:AD特權提升。這時攻擊就算成功了,後續就是資料竄改或竊取資料。」
「目前許多資安的防禦措施都有專門的方案,但是AD可以說是公司內重要的主機,但卻沒有專業的防禦方案。」AD有四大安全問題:
- 存在大量的破口可以被利用:經年累月的使用,不安全的設置可能有許多破口。
- 不斷出現新的攻擊途徑且時間越來越縮短。
- 事件回應的噩夢:大量的日誌會往後端拋送,要作資料解析很困難
- 無助的檢測技術:最惡性的攻擊沒有任何攻擊軌跡
李元勛建議無論是在雲端或地端佈署,都需要將AD風險可視化。這包含四個要件:
- 找出AD錯誤設定及不適當的權限: 防止駭客容易的提權,包含在安全模型、帳號、設定及網域相關的設定。
- 7x24持續監控: 任何AD的物件變化都可以在儀表板上立即告警,及時找出問題。
- 即時檢測正在進行的攻擊: 如大量的密碼探測
- 調查事件&回朔威脅: 在SOAR觸發反應並整合SIEM平台
用SASE快速導入雲端安全架構
疫情之下,分流、遠距上班的常態改變了IT架構的概念。58%的企業認為疫情後資安攻擊事件有增加的趨勢。這兩年IT資安的目標,已轉變成如何去保障遠距工作者,特別是端點保護、遠端存取…等面向。Check Point資安傳教士楊敦凱舉例說,「在遠距辦公的環境中,網路資安的挑戰,包含any device 破口大幅擴展,如釣魚郵件,使用手機、行動裝置大幅提高。殭屍網路的產生、AD被Comprise、Ransomware不單加密你的檔案,也對整個供應鏈都會有巨大的威脅。」
對現今企業而言,工作負載與應用程式走向雲端與分散化是必然的趨勢。楊敦凱認為這種趨勢下,「破口需要盡可能限縮。安全政策的控管,如何結合使用者優先、資料優先的角度,誰可以存取到甚麼? 包含用零信任的角度跟架構來去執行。在防護的過程中,使用者的體驗必須並重,避免不便性。」
SASE則是最合適雲的安全架構。楊敦凱說:「SASE是一個很大的框架,主要是未來在大量的雲端服務情況下,我們的安全要以零信任(Zero Trust)為預設,在每個關鍵結點都能ATP防禦,事前、事中、事後每個階段都可以透視身分識別、提出對應的安全基準/政策,以及完整日誌軌跡,進一步才能夠避免橫向擴散,造成最後的損害。」
以Check Point Harmony Connect為例,SASE可在不影響安全性的情況下,支援用家或機搆分局,通過任何設備訪問企業應用、SaaS 和互聯網,讓企業可以快速部署End-to-End的安全防禦。Harmony Connect的SASE框架包含SWG、ATP、NGFW、IPS、ZTNA、及 DLP 等多種雲端交付的網路安全服務。
另外,楊敦凱也提到,「SASE必須要能與SD-WAN方案結合,可於大量分點辦公室實施一致的安全策略,並可以自動化快速佈署,幫助 SD-WAN 強化存取 SaaS 服務時的安全性。此外,SASE方案最好能夠與管理平台整合,做到單一控管以及報表產出,讓管理者使用上更得心應手,而不是疊床架屋。」
模糊的雲資安邊界,端點保護需進階
據調查,疫情前遠距工作者約17%,但疫情後,出現近八成遠距工作者,這意味端點的保護愈顯重要。近年來研究機構MITRE ATT&CK分析每一筆駭客進行的進階持續性滲透(APT)攻擊事件中,90%針對端點,不再像過去攻擊主機,他們利用釣魚信件當誘餌,進入企業內部後再行擴散。如今的雲服務,行動辦公室,IoT等,資安保護邊界定義變得模糊,如何保護這些端點是一大挑戰。
隨著企業越來越重視資安,目前資安維運最棘手的問題有三:
- 資安設備建置數量越來越多,管理負擔越來越重。
- 每日平均攻擊次數/種類不斷增加,更多的時間需要花在處理警報上,尤其又有法規要求的行業。
- 資安人力嚴重缺乏,難以應付平常的資安維運工作,許多實際案例是IT兼任資安。
Fortinet合作夥伴耘通科技總經理吳耿宏提出,「2010年APT攻擊冒出,組織型駭客也是在這時候出現。2013年開始,勒索軟體比較頻繁出現,2016 經歷WannaCry,這是一個很明顯的分界點,駭客嘗試單點入侵,一次加密受害者的多機檔案(大規模加密),讓受害者的復原時間拖長,進而逼迫受害者妥協支付贖金。」
人為操作勒索軟體(Human Operated Ransomware),透過腳本與惡意程式協助攻擊。這個有三個階段:進入環境(攻擊者取得存取權限)、游移&擴散(在環境中反覆移動,安裝惡意程式,直到取得高權限)、執行各種目標(竊取資料、加密檔案、破壞備份、敲詐勒索)。吳耿宏就他的經驗體認到 :「駭客不管用甚麼方式進到你的環境,就有基本的權限。資安人員要有一個體認-在這個時間點你的資安設備已經失效。如果你沒有辦法停下他,隨著時間的轉移,他最終都會取得網路管理員的權限,關閉防毒軟體、提高權限。」
「游移跟擴散是需要時間,最快幾個小時,最常幾個月。所以遇到勒索軟體 最晚一定要在這時候解決。」
因此端點防禦更顯重要。現在的EDR一定需要整合EPP,並可分析所有endpoint行為,自動偵測惡意行為並響應: 阻擋/中斷、偵查。吳耿宏以ATT&CK Matrix(攻擊手法的矩陣模型)說明愈早開始處理損失越小,因此「EDR的威脅捕獵功能必須要能基於行為類型分析,FortiEDR甚至內建MITRE分析項目。」
借助EDR產品在端點上的技術,進而提供MDR服務型態(外包式網路安全營運)將可以提供使用端很大的助益。吳耿宏解釋為何需要MDR服務:
- EDR產品的保存端點的各種活動資料,需要有⼈分析才有效益
- 當EDR發出可疑⾏為分析警報時,可以有專業技術團隊協助
- 可以即時透過遠端⽅式處理威脅,無須等到事後處理
- 可以提供專業的事件分析報告,完整分析資安事件發⽣的過程
- 由專業資安技術團隊提供深⼊分析,可以減少企業在資安的⽀出
吳耿宏總結道,「資安事件會發⽣表⽰資安設備已被攻擊者繞過。既然資安設備已經被繞過,那就代表不會有任何資安警報。所以⼀直到重⼤損失發⽣前,幾乎不可能⾃⾏發現已經被⼊侵。MDR for FortiEDR將傳統⼈⼒鑑識⾃動化,變成主動且即時的分析。駭客⼊侵系統幾分鐘內,就可以開始啟動偵查,損失壓縮到最⼩。」
歡迎收看:8/26資安⼈線上論壇線上回放
- 2:50 「阻擋攻擊鏈-從源頭保障AD安全」
by Tenable 技術顧問 李元勛
- 35:59 「運用SASE安全設計,實踐敏捷IT目標」
by Check Point 資安傳教士 楊敦凱
- 1:09:04 「事後處理已落伍,FortiEDR 即時處理才是新未來」
by Fortinet 夥伴耘通科技總經理 吳耿宏
若想聯繫上述廠商,請EMAIL 資安人!
|
資安⼈線上論壇 場次預告
政府資安 – 公部門數位服務的主動防禦
- 時間: 9月16日,下午2:00-4:00
- 形式: 線上論壇 (GotoWebinar)
- 活動詳情,GO!
- 聽眾對象:
- A、B、C級政府機關單位—包含國家一級單位、縣市政府、民意機關、學術研究單位、國營事業等
- 資安專責主管與一般人員、資訊主管與一般人員、風險管理、稽核、政風
|