【亞信安全】-【2020年12月16日】近期，美國網(wǎng)絡(luò)安全供應(yīng)商FireEye武器級別的紅隊攻擊工具被盜。為限制本次事件的影響范圍，其迅速提交針對本次被盜工具的防御方案，公布了"hundreds of countermeasures"(數(shù)百種對策)?？梢灶A(yù)見本次丟失的武器級別的工具，可能是FireEye多年積累的干貨，影響力巨大，如果被別有用心的人利用，會產(chǎn)生難以估量的損失。
亞信安全情報分析團(tuán)隊和核心技術(shù)部，作為一直長期關(guān)注紅藍(lán)攻防的研究團(tuán)隊，第一時間整理此次事件，并進(jìn)行了深入的分析。
以紅隊視角看FireEye武器分類
FireEye并沒有對本次被盜工具作出詳細(xì)的介紹，但我們的分析人員努力還原了它們的原貌，并且揭示這些工具的功能和影響。
紅隊被盜工具分為四類：
1. 基于開源項目的工具：這些紅色團(tuán)隊工具是開源工具的略微修改版本，占比35%。
2. 基于內(nèi)置Windows二進(jìn)制文件的工具：這些工具使用稱為LOLBIN(不落地二進(jìn)制文件)的內(nèi)置Windows二進(jìn)制文件，占比8.3%。
3. 內(nèi)部為FireEye的Red Team開發(fā)的工具：這些工具是專門為FireEye的Red Team使用而開發(fā)的，占比40%。
4. 沒有足夠數(shù)據(jù)進(jìn)行分析的工具：剩下的工具沒有足夠的數(shù)據(jù)來對其分析，占比17%。
【圖1. 工具來源分布圖】
本次泄漏工具的有效載荷中涉及CVE16個，但不包含0-day漏洞。
從本次粗略分析來看，被盜工具來源復(fù)雜，涉及CVE較多，且多分布于不同的攻擊緯度。鑒于這樣的情況，要求企業(yè)的安全防護(hù)的產(chǎn)品與策略要基于：既要從全局視角、大局觀點出發(fā)，也要兼顧黑客思維的局部觀點來構(gòu)建，這樣的策略防護(hù)就離不開ATT&CK的指導(dǎo)。
基于ATT&CK模型看立體防御的重要性
ATT&CK的全稱是"Adversarial Tactics，Techniques，and Common Knowledge"，它是一個站在攻擊者的視角來描述攻擊中各階段用到的技術(shù)模型，這些攻擊模型通過TTP (Tactics，Technichques， Procedures)來描述。該模型已經(jīng)成為行業(yè)通識，被大量的網(wǎng)絡(luò)安全公司使用，并且產(chǎn)生了良好的防御效果，尤其是目前比較流行的無文件攻擊等APT攻擊，具有良好的效果。
經(jīng)過我們的分析，此次被盜的攻擊工具一共涉及以下ATT&CK的TTP策略：
【圖2. 被利用TTP攻擊策略】
從圖2中可以看到，本次被盜工具囊括12個攻擊階段中的11個，共包括約40個攻擊策略點。影響之廣、覆蓋之全，可見一斑，這也迫使我們安全企業(yè)必須從攻擊鏈的角度去考慮本次事件帶來的影響。
現(xiàn)代黑客的攻擊，都是基于這樣的一個假設(shè)：無論私有的中小企業(yè)，還是國有的大型企業(yè)，都建立了體系化防御的能力。所以在構(gòu)建攻擊工具的時候，就不能單純的設(shè)想通過單一的工具直接獲得對方的控制權(quán)限，獲取想要的信息，同時還不會給對方留下把柄。要達(dá)成既定的目標(biāo)，需要通過多樣化的攻擊思路，層層攻破，隱藏痕跡，才能達(dá)到目的。
【圖3. 被利用的TTP匯總】
例如在本次事件涉及的TTP中，據(jù)不完全統(tǒng)計，僅僅用來獲取對方各種情報的TTP高達(dá)15種，占比接近1/3;持久化執(zhí)行的TTP高達(dá)9種，關(guān)聯(lián)的被盜工具可能有40多個，占比達(dá)到50%;這么多工具僅僅完成了攻擊鏈的訪問和持久化工作，還遠(yuǎn)遠(yuǎn)沒有達(dá)到獲取目標(biāo)信息階段，就此可見這些工具利用的攻擊面非常廣，從普通的漏洞攻擊，到硬件的側(cè)信道攻擊，再到社會工程學(xué)等等。那么想從單一層面去作防御，無異于緣木求魚，顧此失彼。尤其要注意轉(zhuǎn)換基于特征庫的防御思維，并不是說特征庫無用，而是說需要立體化的防護(hù)手段方案，從底層的操作系統(tǒng)，到上層的各種應(yīng)用、腳本文件執(zhí)行等等這些都要布防。
接下來，我們將選取一些典型的工具，分析其TTP規(guī)則以解釋被盜工具和TTP規(guī)則之間的關(guān)聯(lián)關(guān)系。
1.ADPassHunt
它是一種憑證竊取工具，可搜尋Active Directory憑證。該工具的YARA規(guī)則中有兩個引人注目的字符串：Get-GPPPasswords 和Get-GPPAutologons 。Get-GPPPassword 是一個PowerShell腳本，用于檢索通過組策略首選項(GPP)推送的帳戶的明文密碼和其他信息。Get-GPPAutologons 是另一個PowerShell腳本，可從通過GPP推送的自動登錄條目中檢索密碼。這些腳本在PowerSploit中用作功能，PowerSploit是結(jié)合了PowerShell模塊和腳本的進(jìn)攻性安全框架。
關(guān)聯(lián)的TTP規(guī)則：
MITRE ATT&CK Techniques
T1003.003操作系統(tǒng)憑證轉(zhuǎn)儲：NTDS
T1552.06不安全憑據(jù)：組策略首選項
2.WMIRunner
該工具用于運行WMI命令，結(jié)合WMI隱蔽攻擊策略，不利用第三方攻擊就可以實現(xiàn)持久化，即長期隱蔽于受害者主機(jī)，無法查殺。
關(guān)聯(lián)的TTP規(guī)則：
MITRE ATT&CK Techniques
T1047 Windows管理規(guī)范
還有很多其他工具和TTP規(guī)則的關(guān)聯(lián)關(guān)系，基于這些TTP規(guī)則，攻擊者可以泛化出各種工具的變種，達(dá)到攻擊的隱蔽、難以檢測、難以查殺等效果。
基于上述分析，我們得出結(jié)論，企業(yè)級用戶要想真正對此次泄漏攻擊工具做好防御工作，不僅僅需要防御原版工具的攻擊，同時也要積極做好上述工具IOC變種防御，采用立體化的防御策略。
以XDR形成立體化防護(hù)體系
基于上述分析，我們建議用戶要有一個立體化的防護(hù)體系來應(yīng)對目前的事件，同時也能夠應(yīng)對未來的變化。另外，消除威脅的方案不是一勞永逸，要順應(yīng)目前攻擊的變化趨勢。
所謂立體化的防護(hù)，是指既有事前發(fā)現(xiàn)、事中處理攻擊的能力，也有能夠事后免疫相同威脅的方案;既有基于傳統(tǒng)防病毒的基本能力，也有基于AI的高級威脅解決方案;既有基于攻擊者的思維，也有基于防御者的能力。為此，我們推薦采用亞信安全的XDR解決方案，具有立體化防護(hù)能力，它不僅具有基于ATT&CK框架的威脅研判能力，同時支持大數(shù)據(jù)介入分析，機(jī)器學(xué)習(xí)研判等能力。
·基于ATT&CK框架的威脅防御能力
亞信安全XDR通過自有關(guān)鍵產(chǎn)品的偵測與響應(yīng)優(yōu)勢，提供省力的方式接入安全監(jiān)測數(shù)據(jù)，利用大數(shù)據(jù)規(guī)范化數(shù)據(jù)格式、體系結(jié)構(gòu)和連接性。通過各種關(guān)聯(lián)數(shù)據(jù)，持續(xù)分析生成準(zhǔn)確的ATT&CK威脅視圖。
【圖4. ATT&CK框架威脅視圖】
·采用大數(shù)據(jù)、機(jī)器學(xué)習(xí)和云架構(gòu)
XDR可以代表從EDR到新一代的飛躍。作為云計算的產(chǎn)物，XDR可以滿足安全團(tuán)隊在存儲、分析和機(jī)器學(xué)習(xí)方面的可伸縮性要求。通過大數(shù)據(jù)、機(jī)器學(xué)習(xí)等能力，精準(zhǔn)識別多緯度威脅，產(chǎn)生與之關(guān)聯(lián)的TTP規(guī)則，提供更加人性化的事前事后防御策略。
【圖5. TTP威脅分類】
·快速響應(yīng)
XDR不只是像傳統(tǒng)的SIEM那樣被動地記錄和轉(zhuǎn)發(fā)警報，而是主動評定并呈現(xiàn)可操作的結(jié)果，通過關(guān)聯(lián)放大"弱信號"。因此，系統(tǒng)不會顯示"過去發(fā)生了什么，公司需要調(diào)查"的警報，而是顯示"在X上，有哪些類型的攻擊發(fā)生，通過Y的聯(lián)動，告知客戶攻擊者的路徑以及如何應(yīng)對"。XDR重點從僅給出警告轉(zhuǎn)移到了提供補(bǔ)救響應(yīng)的方案。
【圖6. 快速響應(yīng)的威脅視圖】
亞信安全XDR代表了從單點筒倉到面立體聚合的真正轉(zhuǎn)變。隨著組織從COVID-19陰霾中解脫，XDR可以幫助企業(yè)在網(wǎng)絡(luò)安全上面對新技術(shù)和資源的局限，并應(yīng)對組織及其數(shù)字資產(chǎn)不斷增長的威脅。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
