亞信安全:從FireEye紅隊攻擊工具洩漏事件看"立體化"防禦

2020-12-17 中華網科技

【亞信安全】-【2020年12月16日】近期，美國網絡安全供應商FireEye武器級別的紅隊攻擊工具被盜。為限制本次事件的影響範圍，其迅速提交針對本次被盜工具的防禦方案，公布了"hundreds of countermeasures"（數百種對策）。可以預見本次丟失的武器級別的工具，可能是FireEye多年積累的乾貨，影響力巨大，如果被別有用心的人利用，會產生難以估量的損失。

亞信安全情報分析團隊和核心技術部，作為一直長期關注紅藍攻防的研究團隊，第一時間整理此次事件，並進行了深入的分析。

以紅隊視角看FireEye武器分類

FireEye並沒有對本次被盜工具作出詳細的介紹，但我們的分析人員努力還原了它們的原貌，並且揭示這些工具的功能和影響。

紅隊被盜工具分為四類：

1. 基於開源項目的工具：這些紅色團隊工具是開源工具的略微修改版本，佔比35%。

2. 基於內置Windows二進位文件的工具：這些工具使用稱為LOLBIN（不落地二進位文件）的內置Windows二進位文件，佔比8.3%。

3. 內部為FireEye的Red Team開發的工具：這些工具是專門為FireEye的Red Team使用而開發的，佔比40%。

4. 沒有足夠數據進行分析的工具：剩下的工具沒有足夠的數據來對其分析，佔比17%。

【圖1. 工具來源分布圖】

本次洩漏工具的有效載荷中涉及CVE16個，但不包含0-day漏洞。

從本次粗略分析來看，被盜工具來源複雜，涉及CVE較多，且多分布於不同的攻擊緯度。鑑於這樣的情況，要求企業的安全防護的產品與策略要基於：既要從全局視角、大局觀點出發，也要兼顧黑客思維的局部觀點來構建，這樣的策略防護就離不開ATT&CK的指導。

基於ATT&CK模型看立體防禦的重要性

ATT&CK的全稱是"Adversarial Tactics，Techniques，and Common Knowledge"，它是一個站在攻擊者的視角來描述攻擊中各階段用到的技術模型，這些攻擊模型通過TTP (Tactics，Technichques， Procedures)來描述。該模型已經成為行業通識，被大量的網絡安全公司使用，並且產生了良好的防禦效果，尤其是目前比較流行的無文件攻擊等APT攻擊，具有良好的效果。

經過我們的分析，此次被盜的攻擊工具一共涉及以下ATT&CK的TTP策略：

【圖2. 被利用TTP攻擊策略】

從圖2中可以看到，本次被盜工具囊括12個攻擊階段中的11個，共包括約40個攻擊策略點。影響之廣、覆蓋之全，可見一斑，這也迫使我們安全企業必須從攻擊鏈的角度去考慮本次事件帶來的影響。

現代黑客的攻擊，都是基於這樣的一個假設：無論私有的中小企業，還是國有的大型企業，都建立了體系化防禦的能力。所以在構建攻擊工具的時候，就不能單純的設想通過單一的工具直接獲得對方的控制權限，獲取想要的信息，同時還不會給對方留下把柄。要達成既定的目標，需要通過多樣化的攻擊思路，層層攻破，隱藏痕跡，才能達到目的。

【圖3. 被利用的TTP匯總】

例如在本次事件涉及的TTP中，據不完全統計，僅僅用來獲取對方各種情報的TTP高達15種，佔比接近1/3；持久化執行的TTP高達9種，關聯的被盜工具可能有40多個，佔比達到50%；這麼多工具僅僅完成了攻擊鏈的訪問和持久化工作，還遠遠沒有達到獲取目標信息階段，就此可見這些工具利用的攻擊面非常廣，從普通的漏洞攻擊，到硬體的側信道攻擊，再到社會工程學等等。那麼想從單一層面去作防禦，無異於緣木求魚，顧此失彼。尤其要注意轉換基於特徵庫的防禦思維，並不是說特徵庫無用，而是說需要立體化的防護手段方案，從底層的作業系統，到上層的各種應用、腳本文件執行等等這些都要布防。

接下來，我們將選取一些典型的工具，分析其TTP規則以解釋被盜工具和TTP規則之間的關聯關係。

1. ADPassHunt

它是一種憑證竊取工具，可搜尋Active Directory憑證。該工具的YARA規則中有兩個引人注目的字符串：Get-GPPPasswords 和Get-GPPAutologons 。Get-GPPPassword 是一個PowerShell腳本，用於檢索通過組策略首選項（GPP）推送的帳戶的明文密碼和其他信息。Get-GPPAutologons 是另一個PowerShell腳本，可從通過GPP推送的自動登錄條目中檢索密碼。這些腳本在PowerSploit中用作功能，PowerSploit是結合了PowerShell模塊和腳本的進攻性安全框架。

關聯的TTP規則：

MITRE ATT＆CK Techniques

T1003.003作業系統憑證轉儲：NTDS

T1552.06不安全憑據：組策略首選項

2. WMIRunner

該工具用於運行WMI命令，結合WMI隱蔽攻擊策略，不利用第三方攻擊就可以實現持久化，即長期隱蔽於受害者主機，無法查殺。

關聯的TTP規則：

MITRE ATT＆CK Techniques

T1047 Windows管理規範

還有很多其他工具和TTP規則的關聯關係，基於這些TTP規則，攻擊者可以泛化出各種工具的變種，達到攻擊的隱蔽、難以檢測、難以查殺等效果。

基於上述分析，我們得出結論，企業級用戶要想真正對此次洩漏攻擊工具做好防禦工作，不僅僅需要防禦原版工具的攻擊，同時也要積極做好上述工具IOC變種防禦，採用立體化的防禦策略。

以XDR形成立體化防護體系

基於上述分析，我們建議用戶要有一個立體化的防護體系來應對目前的事件，同時也能夠應對未來的變化。另外，消除威脅的方案不是一勞永逸，要順應目前攻擊的變化趨勢。

所謂立體化的防護，是指既有事前發現、事中處理攻擊的能力，也有能夠事後免疫相同威脅的方案；既有基於傳統防病毒的基本能力，也有基於AI的高級威脅解決方案；既有基於攻擊者的思維，也有基於防禦者的能力。為此，我們推薦採用亞信安全的XDR解決方案，具有立體化防護能力，它不僅具有基於ATT&CK框架的威脅研判能力，同時支持大數據介入分析，機器學習研判等能力。

· 基於ATT&CK框架的威脅防禦能力

亞信安全XDR通過自有關鍵產品的偵測與響應優勢，提供省力的方式接入安全監測數據，利用大數據規範化數據格式、體系結構和連接性。通過各種關聯數據，持續分析生成準確的ATT&CK威脅視圖。

【圖4. ATT&CK框架威脅視圖】

· 採用大數據、機器學習和雲架構

XDR可以代表從EDR到新一代的飛躍。作為雲計算的產物，XDR可以滿足安全團隊在存儲、分析和機器學習方面的可伸縮性要求。通過大數據、機器學習等能力，精準識別多緯度威脅，產生與之關聯的TTP規則，提供更加人性化的事前事後防禦策略。

【圖5. TTP威脅分類】

· 快速響應

XDR不只是像傳統的SIEM那樣被動地記錄和轉發警報，而是主動評定並呈現可操作的結果，通過關聯放大"弱信號"。因此，系統不會顯示"過去發生了什麼，公司需要調查"的警報，而是顯示"在X上，有哪些類型的攻擊發生，通過Y的聯動，告知客戶攻擊者的路徑以及如何應對"。XDR重點從僅給出警告轉移到了提供補救響應的方案。

【圖6. 快速響應的威脅視圖】

亞信安全XDR代表了從單點筒倉到面立體聚合的真正轉變。隨著組織從COVID-19陰霾中解脫，XDR可以幫助企業在網絡安全上面對新技術和資源的局限，並應對組織及其數字資產不斷增長的威脅。

免責聲明：市場有風險，選擇需謹慎！此文僅供參考，不作買賣依據。

責任編輯：kj005

文章投訴熱線:156 0057 2229 投訴郵箱:29132 36@qq.com

相關焦點

  • 亞信安全:從FireEye紅隊攻擊工具洩漏事件看「立體化」防禦
    【亞信安全】-【2020年12月16日】近期，美國網絡安全供應商FireEye武器級別的紅隊攻擊工具被盜。為限制本次事件的影響範圍，其迅速提交針對本次被盜工具的防禦方案，公布了"hundreds of countermeasures"（數百種對策）。
  • FireEye紅隊評估工具被盜,華為雲提供檢測防護
    近日，國際知名安全廠商「FireEye」遭遇政府黑客入侵，其用於檢測客戶安全防禦能力的紅隊評估工具（Red Team Tool）被盜。據FireEye公布信息所述「因為我們認為攻擊者擁有這些工具，而且我們不知道攻擊者是打算自己使用被盜工具還是公開披露這些工具」（we do not know whether the attacker intends to use the stolen tools themselves or publicly disclose them），因此FireEye公司對外預警了該事件。
  • 亞信安全發布《亞信安全2019年度威脅回顧及預測》報告
    隨著我們開啟又一個十年新紀元，網絡安全也隨之過渡到新的時代。不斷演變的攻擊方式，和更多變的威脅態勢，需要我們有能力「御」其變，更能主動「預」其變。　　近期亞信安全正式發布了《亞信安全2019年度安全威脅回顧及預測》，總結了2019年的安全態勢，更對2020的安全趨勢進行了預測與分析。
  • 亞信安全發布AI亞信安全智能框架 三大能力應對5G雲網安全
    回顧啟航5年曆程的同時，亞信安全重磅發布了「AI亞信安全智能框架」，以全新的安全架構提供應對5G雲網時代的整體安全防控能力以及智能的安全防護能力。針對5G時代的到來，亞信聯合創始人、寬帶資本董事長田溯寧談到，5G 的雲網安全，需具備三個網絡安全能力：阻斷能力、控制能力、免疫能力，才能徵服數據的海洋，到達智能世界的彼岸。
  • FireEye紅隊工具失竊事件跟進分析
    ● 失竊的紅隊工具包含極少的載荷，其主要目的是模仿潛在的攻擊者並使用工具對企業進行攻擊，用來評估企業的檢測和響應能力以及系統的安全狀況，而非直接進行惡意操作，因此在收集、滲出和影響階段極少有所動作，通常這三個階段的戰術動作主要由惡意載荷完成。
  • 針對5G雲網安全 亞信安全發布五大安全方案
    由亞信安全主辦的「安全世界 5正當時」2020第五空間戰略發展高峰論壇昨日在京舉辦。回顧啟航5年曆程的同時，亞信安全重磅發布了「AI2亞信安全智能框架」，以全新的安全架構提供應對5G雲網時代的整體安全防控能力以及智能的安全防護能力。
  • 亞信安全終端一體化解決方案為珠江啤酒」釀造」安全」白」終端
    客戶需求：在護航智能製造的大背景下，珠江啤酒需要解決全網終端系統的網絡安全威脅，保護生產機辦公網絡的數據安全，實現安全策略的統一部署，防止勒索軟體、網絡蠕蟲的惡意攻擊入侵。效果/客戶證言：亞信安全終端安全方案提供了全方位的防護手段和集中管理的策略，並且採用了雲安全信譽評估、機器學習等高級防禦功能，可以幫助我們更好地了解自身面臨的安全威脅，更好地分析威脅，並響應攻擊和安全事件。
  • 天馬微電子股份有限公司採用亞信安全XDR解決方案,智能化安全初見...
    解決方案：亞信安全提供了XDR解決方案，建議天馬從端點安全、網絡威脅防護、安全服務運維等多維度構成精密編排的自動化檢測和響應體系。作為系統工程的第一步，首先利用亞信安全防毒牆網絡版（OfficeScan）和高級威脅發現設備（TDA），在終端與網絡層面實現統一的安全防護與威脅檢測聯動機制。
  • 亞信安全:為5G雲網安全構建阻斷、控制、免疫三大能力
    「剎車控制器」的控制能力賦予人類安全操縱現代化交通工具的能力，提高了生產效率。人類文明的生生不息，是因為人類免疫系統賦予人類健康的能力。而在雲網時代，在5G帶來的數據海洋中，只有具備阻斷、控制以及免疫的三大核心能力，我們才能徵服數據的海洋，到達數字時代「新大陸」。
  • 養樂多端點安全治理能力「UP」的秘訣:安全技術+安全服務
    解決方案：亞信安全的OfficeScan XG具備防病毒、防APT、防「無文件」攻擊等高級威脅防禦特性，滿足了客戶整體防護的需求，為數千臺終端實現統一管理，並在部署實施和售後服務等方面提供了優質的交付能力。
  • 《金融行業網絡安全等級保護實施指引》發布 亞信安全助力完善金融...
    金融行業作為國家關鍵信息基礎設施行業，是國家級網絡對抗攻擊的重要陣地。面對日趨嚴峻的安全挑戰，行業亟需一套更加高效、智能、全面的實施標準，指導金融用戶重構安全防線。因此，由中國人民銀行科技司提出並負責起草，中國銀行保險監督管理委員會統計信息與風險監測部、中國金融電子化公司、北京中金國盛認證有限公司、亞信安全等行業內有關單位共同參與起草了《實施指引》，為金融行業數位化轉型，提供了網絡安全建設的方法論、具體的建設措施及技術指導，更完善了金融行業網絡安全等級保護體系，幫助行業適應新時代下的新應用，全面提升整體安全防護能力。
  • 網絡攻擊沾上濃重「新冠」氣息 勒索與挖礦病毒活躍度不減 亞信...
    亞信安全最近發布的《2020 年第二季度網絡安全威脅報告》顯示，由於疫情下遠程辦公的普及，越來越多的網絡犯罪分子瞄準視頻應用程式傳播惡意軟體；而在新冠病毒防控常態化的同時，「新冠研究與調查」更成為社交工程攻擊的熱門「誘餌」，帶來更為嚴峻的安全威脅。亞信安全建議，企業用戶要培訓員工提高警惕，謹防海外不法攻擊藉助「新冠」侵入網絡，並部署周全的網絡安全解決方案。
  • 安全通報丨山石網科已針對FireEye紅隊工具實現威脅檢測
    事件概述2020年12月8日，美國網絡安全公司FireEye（中文名：火眼）發布一則公告稱其遭遇了專業APT組織攻擊，導致其紅隊工具被盜。黑客利用這些工具，可能會對企業造成極大威脅。山石網科針對FireEye紅隊工具及相關漏洞已發布防護特徵，建議用戶及時修補或升級網絡安全設備入侵檢測特徵庫，做好安全防護措施。
  • 如何減少未知的網絡安全攻擊?天威誠信這樣說……
    在當今的移動網際網路時代，信息洩露、網絡釣魚、黑客攻擊等網絡安全問題可謂是呈爆發式增長，但是仍有很大一部分企業沒有認真對待自身網絡安全。大公司尚且在尋找各種理由減少其網絡安全預算，從而削減成本，更別提那些直接忽略了網絡威脅的小企業。根據調查結果顯示，有超過30%的企業遭受過網絡安全攻擊。對於企業來講，屢禁不止的網絡安全攻擊始終是阻礙其業務發展的重大隱患。
  • Red Team測試工具失竊:FireEye遭遇具有國家級實力的黑客攻擊
    網絡安全研究公司 FireEye 在向美國證券交易委員會（SEC）提交的文件中指出，近年來的網絡攻擊事件，已較此前發生了相當大的變化。在周二的一篇博客文章中，FireEye 執行長 Kevin Mandia 稱黑客的攻擊目標已更具針對性，且幕後有著深厚的資源和背景。（來自：FireEye）此前，FireEye 調查過針對美方目標（比如 Equifax 和民主黨全國委員會）的多起黑客攻擊事件。
  • 智創未來 2020年南京軟博會帶你看「新」|亞信安全|信息安全|翼輝|...
    9月2日上午，記者來到亞信安全科技有限公司、南京翼輝信息技術有限公司、江蘇零浩網絡科技有限公司，聚焦南京軟體企業，了解軟體行業的新技術、新產品、新成果。「懂雲」又「懂網」 亞信安全護航產業網際網路沒有網絡安全就沒有國家安全。2017年，一種名為「勒索蠕蟲WannaCry」的網絡病毒席捲全球，國內部分高校內網、大型企業內網和政府機構專網遭受攻擊，信息安全受到嚴重威脅。
  • 亞信安全:實現生態融合,提升金融行業網絡安全能力
    2020年12月4日，由金科創新社主辦，亞信安全協辦的「2020金融科技創新實戰沙龍」在北京成功舉辦。本次沙龍以「構建多維態勢平臺 打造全面安全能力」為主題，來自人民銀行、中國銀行、人保財險、農業銀行、民生銀行、光大銀行、華夏銀行、北京銀行、人保壽險、陽光保險、人壽養老保險、長安責任保險、信達證券、中央結算公司以及亞信安全的信息安全領域領導、專家共聚一堂，就金融信息安全的新挑戰、新趨勢，銀行、保險等金融企業信息安全建設實踐和經驗，以及金融企業國產化建設的創新思路等話題進行深入交流和探討。
  • 光大銀行與亞信科技(成都)有限公司籤約建設網絡安全創新實演室
    > | 字號：A+ ｜ A- 近日，中國光大銀行股份有限公司(以下簡稱：中國光大銀行)與亞信科技（成都）有限公司(以下簡稱：亞信)正式籤約，成立「光大銀行-亞信網絡安全聯合創新實驗室」。
  • 共話5G安全,亞信安全亮相電信和網際網路行業盛會
    2020年12月22日-23日，由中國通信企業協會、中國信息通信研究院主辦的2020年（第十屆）電信和網際網路行業網絡安全年會將在廣州市舉辦。年會以「創新 協同 推動——共築新基建網絡安全」為主題，從行業角度關注電信和網際網路行業網絡安全發展態勢。
  • 安全廠商FireEye被黑,紅隊測試工具及客戶資料外流
    全球最大安全軟體公司之一FireEye昨（8）日公布近日遭到疑似國家支持的黑客攻擊，造成該公司提供安全測試的工具，以及部分客戶資料外洩。 FireEye執行長Kevin Mandia指出，分析攻擊手法顯示黑客對作業環境安全有深厚知識，且行動精準而自製。他們運用多種方法使安全工具及鑑識分析無從發現他們的行蹤，有些更是安全業界前所未見的新手法，顯示為國家支持的黑客組織。 攻擊行動稍早由微軟證實，目前FireEye已經協同聯邦調查局及微軟進行調查。