打擊網絡犯罪的新武器：隔離和清零
責編：gltian ｜2022-07-14 14:09:51對付新冠病毒最有效的方法是隔離，對付網絡犯罪同樣如此。
近日，Critical Stack的CTO和聯合創始人Dustin Webber在《福布斯》撰文指出，網絡安全出現了一個似曾相識的新概念——隔離（isolation）有望將網絡犯罪預防提升到一個新的水平。該方法類似于將可能包含炸彈（惡意軟件、勒索軟件、間諜軟件等）的包裹（有效載荷）帶到一個安全隔離的區域，無論該包裹有多大的殺傷力，都可安全引爆。
訣竅是研究爆炸過程并將其重新組合在一起以獲取更好的情報。這個概念類似于大型強子對撞機（LHC）背后的技術。大型強子對撞機通過將粒子高速撞擊分解來查看粒子內部信息。安全研究人員在運行各種操作系統的隔離計算機中以相同方式運行有效負載并對其進行研究。
“隔離”之所以被業界(重新)重視，是因為當下的網絡安全措施難以應對當前發生的大量勒索軟件和惡意軟件攻擊，業界需要一種更好的預防（而不是過分依賴檢測和響應）方法。最近對1200名安全決策者進行的一項調查顯示，企業平均部署了76種不同的網絡犯罪預防方案。盡管如此，82%的受訪者表示，他們遭遇的安全事件繞過了現有的安全控制措施。
主要問題是惡意軟件作者正變得不但“藝高”而且“膽大”。他們不斷想出新的方法來逃避檢測和遏制系統。今年前五個月，獨立IT安全機構AV-TEST檢測到4443萬種新的惡意軟件，全球惡意軟件總數超過13億。
誠然，網絡安全系統的供應商正忙于設計對策，其中許多對檢測和響應是有效的，至少在一段時間內是這樣。但在這場持續不斷的攻防戰中，惡意軟件作者必然會贏得一些戰斗——這可能意味著災難。根據一份報告，2021年，勒索軟件攻擊的平均支出為54萬美元，許多公司除了支付外別無選擇。
隔離從瀏覽器開始
關鍵是，如果讓惡意軟件溜進計算機，則為時已晚。而且由于絕大多數惡意軟件將瀏覽器作為部署其惡意負載的重要方式，因此瀏覽器是設置障礙和隔離的第一道防線。
為了成功實施瀏覽器隔離，需要在每臺計算機上部署能夠初步篩選的安全應用程序（代理或傳感器），因為計算機環境安全離不開系統安全。
但是“代理”或“傳感器”的名聲并不好，因為老一代代理和傳感器產生了網絡開銷、部署過程復雜并且難以管理。今天，這些問題已經基本解決或者不再構成障礙。
在隔離系統中，計算機上的應用程序攔截每個需要調用瀏覽器和點擊事件的協議，讓有效負載通過，或將其發送到與網絡完全隔離的云端隔離虛擬機。如果一個URL被解析為一個可下載的文件，它將被進一步測試并被允許傳送到瀏覽器或被隔離。順便說一句，雖然這個過程聽起來很復雜，但所涉及的預處理和后處理速度足夠快，以至于用戶不會注意到它。
清零策略
隔離是一種高度謹慎的方法，只有確保安全的活動才能繼續進行。除非測試結果是“陰性”，否則隔離的會話會始終留在隔離區。對于大多數場景來說，默認拒絕策略應該是通用的。
對于任何關注勒索軟件和其他惡意軟件的公司來說，隔離都是一種適用的技術。下面是一些成功秘訣：
- 確保覆蓋了所有計算機設備。缺乏覆蓋是安全軟件普遍存在的問題，隔離也不例外。
- 確保您的用戶了解系統的工作原理。這并不難，因為實際上沒有學習曲線。
- 控制每個在公司計算機系統上安裝的新軟件。每個新軟件都是一個新的攻擊媒介。
鑒于攻擊面的急速膨脹和網絡犯罪分子對網絡滲透的不遺余力，一種新的預防（而不是檢測）方法當然值得探索。是時候開始思考為什么我們熱衷于檢測入侵而不是預防入侵。
來源:GoUpSec