亞信安全發布“挖礦”治理解決方案，一體化防護黑產攻擊
責編：gltian ｜2022-06-29 17:05:24助力 “雙碳”戰略目標，針對政企用戶對挖礦行為預警難、定位難、防控難等特點，亞信安全“挖礦”治理解決方案正式發布。該方案以亞信安全XDR解決方案為基礎，提供了挖礦失陷治理能力，通過針對黑產挖礦攻擊鏈提供了全面覆蓋“云管端關”的一體化防護技術，為貫徹落實虛擬貨幣“挖礦”整治工作提供了全面支撐。
“淘金客”背藏威脅，中國重拳出擊
比特幣2009初次發行價格約為0.00076美元，2021年10月20日，比特幣達到66,943.60美元，11月10日達到6.9萬美元，創下新高，投資收益巨大。隨著比特幣出現之后，市面涌現大量的加密貨幣，形成“幣圈”。根據Coincost.net的統計，截止2021年12月6日，全球加密貨幣共有11,197種，加密貨幣交易網站521個，主流加密貨幣百億起步，“挖礦”利益誘惑巨大。
圖：比特幣價格逐年增高
在巨大的利益驅使下，“挖礦”黑產在2018年逐步形成，近年來發展迅速，危害也越發嚴重。首先，“挖礦”造成了電力資源的大量消耗，極不利于實現國家的碳達峰、碳中和目標。其次，“挖礦”黑產非法占用系統資源、網絡資源，影響辦公效率和業務的正常開展，增加了網絡攻擊風險。此外，大量圍繞“挖礦”的木馬病毒開始盛行，目前全球共2700萬的挖礦木馬，且每周按照2萬個增長。從亞信安全威脅情報團隊收集到的樣本數據分析來看，截止到2021年年底一共獲取到的各個家族樣本總數為12,477,248個，有些木馬不但“挖礦”，還會造成機密數據泄露等嚴重的網絡安全事件。
為此，自2021年9月，國家發展改革委等10部門聯合發布通知，要求全面整治虛擬貨幣“挖礦”活動以來，能源、金融、制造、教育、運營商等多個行業，以及各個省市的“挖礦”整治行動都已經全面展開。
面對狡猾的“淘金客”，用戶應當如何應對
有組織、有分工的挖礦團體在各路絞殺之下，已經變得更加狡猾：
圖：挖礦治理需要根除“礦源”
l? 手段一：國內大量公共礦池IP被封堵，礦工群有專人定時發布臨時IP和端口，用于接入礦池；
l? 手段二：礦工使用專業的挖礦代理，一鍵搭建礦池和多幣種的中轉節點，并在對流量加密的同時，采用加密混淆協議，企圖“欺騙”檢測；
l? 手段三：挖礦木馬軟件含有控制自身所占資源（包括GPU和CPU）的功能，只在主機資源豐富時段開啟挖礦進程，實現“隱身”。
亞信安全通過近年對大量挖礦木馬的樣本分析發現，病毒已經獲得全面進化，專業化攻擊團隊的網絡武器級，成為其最大的威脅之一。因此，必須要全面掌握“淘金客”攻擊路線，才能建立對應的防御點。
圖：挖礦病毒攻擊殺傷鏈
挖礦病毒攻擊殺傷鏈包括：弱點搜索、攻擊武器構建、挖礦腳本及木馬投遞、漏洞利用、挖礦木馬安裝，黑產遠程控制和挖礦獲利七個步驟。因此，就應采用相對應的技術建立防護點，例如：資產風險梳理、威脅情報、補丁管理、病毒防護、行文檢測，尤其是對“挖礦失陷”的治理。
圖：礦失陷治理的步驟和技術點
“失陷”治理是整體方案中的關鍵環節。首先，“挖礦”涉及礦機生產、能耗雙控、數據監測、金融監管等多個部門和領域，治理中可能“失控”；其次，有些網絡檢測設備雖然能夠暫時阻止挖礦行為，但修改連接方式后繞過檢測仍可繼續挖礦，尤其是一些體量小、隱匿強的監管盲區，“失陷”在所難免。
前有XDR守護，后有“挖礦失陷”專治方案
在整體方案中，針對黑產挖礦攻擊鏈防護技術點，亞信安全提供了完備的黑產挖礦防護技術與配套設備，例如：
n? 云——信艙云主機安全
n? 管——信桅高級威脅監測系統
n? 端——信端終端一體化防護體系
n? 關——信舷防毒墻系統
圖：亞信安全XDR方案，更有效的防御黑產挖礦
在防御方面，亞信安全的XDR方案可以更有效的抵御挖礦木馬攻擊。亞信安全XDR是以設備聯動威脅情報為核心，依據標準化運營流程，通過運營組件對資產的漏洞、威脅、APT攻擊進行監控，從而構建防御、檢測、分析、響應的安全運營閉環，不僅可以幫助用戶更早的發現挖礦木馬威脅、定位高危資產，并且通過根因和范圍分析，確定是否被攻擊，攻擊受損程度，以及攻擊是怎么發生。
圖：亞信安全挖礦失陷治理
針對“挖礦失陷”的治理，方案采用了“持續清零、無死角，自由組合、全聯動”方式，形成了“管理+技術”的運管平臺：
l? 在管理上，從發現到根治，覆蓋了失陷治理全生命周期，通過持續治理、持續安全加固，持續減少挖礦入侵的暴露面，確保從網絡、終端到主機的立體覆蓋；
l? 在技術上，依據客戶實際環境，網路、主機、終端自由組合，形成符合客戶需求的各種方案，并且實現了網絡、主機、終端的全聯動處置，全面提升治理效率。
圖：亞信安全信池威脅感知運維中心(UAP)提供的挖礦行為情報
在安全運維工作中，用戶可發揮亞信安全信池威脅感知運維中心(UAP)的聯動機制，將信桅高級威脅監測系統(TDA)、信艙云主機安全(DeepSecurity)、信端病毒防護(O?ceScan)、信端端點安全管理系統(ESM)、信端終端檢測與響應系統(EDR)、 網絡檢測與響應(TDA)、信舷防毒墻系統(AISEDGE)的協同工作，從而形成“感知識別、調查評估、遏制阻斷、治愈加固”的全覆蓋，讓挖礦行為無處遁形。
挖礦治理“進行時”
目前，我國全面梳理、核查虛擬貨幣“挖礦”行為的整治工作已經全面啟動。例如：6月13日，上海市政府官網就發布了《上海市經濟信息化委、市發展改革委關于簽署“不參與虛擬貨幣‘挖礦’行為信用承諾書”的通知》，對不履行承諾的數據中心運營企業將依法采取差別電價、信用懲戒等措施。
亞信安全將全力配合相關單位開展虛擬貨幣“挖礦”活動整治，助力企事業單位梳理網絡資產、排查“挖礦”病毒風險，為下一步的整改工作提供可靠的技術支撐、數據來源和決策依據。