APT攻擊背后的秘密：攻擊時的漏洞利用
責編：admin ｜2015-02-09 17:05:54在之前的文章中（APT攻擊背后的秘密：攻擊性質及特征分析；攻擊前的"敵情"偵察；攻擊時的武器與手段），我們已經了解了APT攻擊的特征、"敵情"偵察及攻擊的武器和手段。本文我們將探討APT攻擊中的漏洞利用，在這個階段情況已經急轉直下，因為攻擊者已經成功交付其惡意有效載荷。
毫無疑問，如果讓攻擊者已經順利進展到了這個階段，問題已經很嚴重了，但是你仍然有機會。現在，攻擊者已經傳送了附有惡意附件的電子郵件，如果成功的話，攻擊者將能夠利用你企業使用的軟件中的漏洞。而如果漏洞利用成功的話，你的系統將受到感染。然而，攻擊者在攻破你的防御后，可能會制造一些動靜。如果是這樣，關于他們攻擊方法和攻擊類型的證據可能位于網絡或系統日志中。另外，你的各種安全事件監控器中可能包含攻擊的證據。
如果攻擊者的漏洞利用沒有被發現，你的勝算就會變的更小。據2013年Verizon數據泄漏調查顯示，66%的數據泄漏保持幾個月甚至更長時間都未被發現。即使泄漏事故被發現，也主要是因為無關的第三方曝光。
在漏洞利用后，攻擊者需要建立一個立足點，也就是安裝，也就大多數端點保護的關注點。攻擊者通常是通過在感染主機上安裝額外的工具來獲得立足點。
攻擊者可能從初始切入點進入網絡中的其他系統或服務器。這種支點攻擊(Pivoting)能夠幫助攻擊者完成其總體目標，并確保他們不被發現。
通常情況下，支點攻擊的成功是因為對網絡政策的漏洞利用，讓攻擊者能夠直接訪問一些系統，這樣，他們就不需要利用另一個漏洞或惡意軟件。
事件響應計劃主要用來攻擊者活動的安裝階段。因為防御措施已經失敗，所以響應是唯一的選擇了。然而，只有在檢測到攻擊，才可能進行事件響應。假設漏洞利用階段沒有被檢測到，而攻擊者成功安裝惡意軟件后，該怎么辦？如果你幸運的話，你可以檢測到一些攻擊的證據，并利用它們來推動事件響應過程。
企業經常忽視感染指標(Indicators of Compromise，IOC)，因為它們通常隱藏在海量日志記錄數據中。沒有人有時間讀取數百或數千條數據，這也是為什么經常需要幾個星期或幾個月檢測到數據泄漏事故的原因。
假設攻擊者瞄準一名員工，并攻擊了企業系統，為了檢測到這種攻擊，關鍵是尋找異常情況，尋找似乎格格不入的東西。
另一個例子是尋找隨機的意想不到的DNS請求。攻擊者往往會回調以利用其他工具，或者他們的有效載荷會發出外部請求。將DNS請求與已知惡意服務器、名聲不好的IP地址列表進行匹配，這樣做通常能夠檢測到攻擊，因為漏洞利用階段是攻擊者可能制造動靜的時期。
那么，對于水坑攻擊呢？什么算是很好的IOC呢？這也將需要讀取大量日志數據，但如果Web服務器日志充斥著500錯誤、權限錯誤或路徑錯誤，問題就嚴重了。因為這可能意味著SQL注入和跨站腳本攻擊等。或者，500錯誤也可能是良性的。但當它們與數據庫錯誤同時出現，或者來自單個應用程序或資源，則可能意味著攻擊。
同樣地，觀察404錯誤，看看這些錯誤是如何被觸發。在很多情況下，web漏洞掃描儀或探測應用程序的機器人觸發了這些事件。最后，如果你發現shell腳本(例如r57或c99)，通常是因為你已經注意到了日志中的隨機GET或POST請求，這是很明顯的IOC。事實上，web服務器上的shell是最糟糕的發現，表明已經出現數據泄漏。因為shell意味著攻擊者已經控制著一切。
在緩解措施方面，很多簽名提到的保護層仍然適用。事實上，其中一些保護層很適合于漏洞利用階段。例如，數據執行保護(DEP)可以很好地防止惡意軟件在被感染主機上運行。
雖然攻擊者可能能夠傳送惡意軟件，當受害者嘗試執行它時，DEP將會阻止它。然而，還有大量惡意軟件變種和軟件漏洞利用會瞄準DEP，所以你不能僅僅依靠這種保護。
白名單是另一個很好的緩解措施，但這種辦法有可能攔截合法(白名單)應用程序，也就是說，白名單也不能作為防止漏洞利用的唯一來源。
反病毒控制(例如針對IP地址和軟件的聲譽檢查)是很好的防御措施，因為大多數AV軟件提供行為檢測。但AV并不是完美的解決方案，如果漏洞利用階段使用了未知的東西，AV可能會完全沒用。基于主機的IDS同樣是如此，但如果沒有部署這些技術，情況會更糟。
最后，對操作系統和第三方程序保持軟件更新和補丁修復，能夠很好地防止漏洞利用，并且能夠控制權限。最小特權原則是IT內經常忽視的工具，但這是個很好的工具。
這些緩解措施的重點是，它們都不能完全阻止漏洞利用和安裝階段，但如果結合使用，防止嚴重攻擊的幾率將會增加。
下一篇：企業內網安全的幾個坑