面对APT 企业需转变防御模型

　　原来一般认为是针对政府机构的APT[注]攻击正在变得普遍，而成为一种主流的攻击手段，各类企业都应该对APT予以重视，因为现在的APT针对范围广泛的私营机构，以获取有价值的知识产权，商业秘密，公司计划，获得运营和其他私密数据。事实上，原来狭义的APT定义(国家背景，政治背景、军方战争等)已经过时，现在APT已经成为一种常见的攻击手法。

　　现在组织和企业中现有的安全防护体系存在一些缺陷，导致很难识别APT攻击。现有的防护体系包括FW，AV，IDS/IPS，SIEM/SOC，以及组织结构和工作流程等等都存在不足。RSA之前曾有一份报告写道：

　　目前增加的问题是，很多用户方安全团队不能够检测复杂攻击模式。传统的防病毒，防火墙和入侵检测/防御系统(IDS/IPS)工具不形成攻击的全貌。这些工具可能识别未经授权的访问，病毒，钓鱼邮件，或恶意软件，但没有关联这些事件。此外，基于签名的检测方法对APT是无效的，还有一些未知漏洞会被攻击者利用。因为日志分析通常是响应监管要求来做的，它通常被调整为符合合规要求而不是威胁防御。

　　另一个限制是组织结构。通常负责安全的各个群体都太孤立，并且它们之间协调也有问题。例如，那些只专注事件查看的比如，计算机事件响应小组(CIRT)或安全运营中心(SOC) – 就可能没有组织最重要的数字资产的完整信息。此外，高级持续性威胁来自多个方向攻击。他们不仅是以 IT为基础(+本站微信networkworldweixin)，还有结合社交工程和/或物理访问的技术手段。安全团队不能靠活动来准确地为孤岛分析出多模型攻击。报告还指出，应对APT需要采取一种与以往不同的信息安全策略：

　　信息安全的传统方法vs高级方法

　　传统方法高级方法

　　控制范围保护所有信息资产重点防护最有价值最重要的资产

　　控制专注点预防控制（反病毒 ，防火墙）检测控制（监控，数据分析）

　　视野基于边界的以数据为核心的

　　日志记录的目的合规报告威胁检测

　　事件管理零碎：找到，并让恶意软件或感染节点失效全局观：找到并且详细分析攻击模式

　　威胁情报收集恶意软件信息发掘更深层的内容，对攻击者目前的目标和惯用手法加深理解，并且对自己组织内部关键资产和IT环境加深理解

　　成功防御的表现没有攻击者进入网络攻击者可以进到网络中，但是可以被尽快检测到，并且负面影响最小

　　参看上表中的“高级方法”，与传统的方法相比，更加注重对核心资产的保护(多了也保护不过来)，技术手段上更加注重检测技术(正如NIST SP 800-137提出的持续监控的概念一样，美国政府的爱因斯坦计划精髓也在于此)，以数据为中心(尤其是出去的数据)，分析日志(例如借助SIEM/LM)更多是为了检测威胁，注重攻击模式的发现和描述，从情报分析的高度来分析威胁。