信息安全防护体系新框架
Analytics+CyberSecurity+Forensics
--美亚柏科：谢志坚关键字:趋势分析、即时响应、调查取证
一、互联网信息安全透视
斯诺登的出现，引发了信息安全行业和国家网络安全的全民大讨论。

美国政府的“棱镜”计划令各国政府不寒而栗，美国利用全球互联网中心的地位和各个本土IT巨头的配合，长期监控非友好国家如中国俄罗斯等国，甚至盟友德国政府也不例外。

与信息安全有关的新闻充斥在每个IT人士的眼中，越来越多的信息安全需求已经从纸面上已经被摆到桌面上了。

中国公安部很早就制定了信息安全等级保护和涉密分级保护等信息安全体系，严令政府单位和各大企业根据自己单位对国家、社会等重要程度不同，制定对应的等保和分保级别。

各中小企业也对自己的内部网络安全也逐渐重视起来。

传统的安全防护，无非就是从管理和技术层面去构建自己的安全体系。

管理上，制定各种管理性的安全制度，细分每个人员的角色权限，审计所有的访问行为等。

技术层面，从OSI七层模层或TCP四层模式上，区域划分越来越合理合规，装备是越来越齐全，硬件设施越来越强大，有Firewall、IPS、IDS、WAF，AntiVirus等设备，从物理层已经武装到应用层，犹如一张张天网，似乎已经觉得网络就已经很安全了，百毒不侵。

但是，世界并非太平，也不可能天下无贼。

道高一尺，魔高一杖，所谓的安全，只是相对安全。

小学生tools-user 就可以使用DDOS攻击令很多企业策手无策，0day攻击让很多IT人员不敢轻松度假。

而APT攻击在很久的一个时间里，少见有系统的概述，也往往因为周期长，让很多信息安全人员放松警惕。

网络安全，尤其是互联网安全正在面临前所未有的挑战，这主要就来自于有组织、有特定目标、持续时间极长的新型攻击和威胁，国际上有的称之为APT （Advanced Persistent Threat）攻击，或者称之为“针对特定目标的攻击”。

这种攻击方式有别于传统的网络攻击和应用入侵行为，突破传统现在的防御体系，直接把现有体系变成“马奇诺防线”。

一般认为，APT 攻击就是就是一场有组织有计划的犯罪计划，目的就是获取某个组织甚至是国家的重要信息，有针对性的进行的一系列攻击行为的整个过程。

APT 攻击利用了多种攻击手段，包括各种最先进的手段和社会工程学方法，
一步一步的获取进入组织内部的权限。

APT往往利用组织内部的人员作为攻击跳板。

有时候，攻击者会针对被攻击对象编写专门的攻击程序，而非使用一些通用的攻击代码。

此外，APT 攻击具有持续性，甚至长达数年。

这种持续体现在攻击者不断尝试各种攻击手段，以及在渗透到网络内部后长期蛰伏，不断收集各种信息，直到收集到重要情报。

更加危险的是，这些新型的攻击和威胁主要就针对国家重要的基础设施和单位进行，包括能源、电力、金融、国防等关系到国计民生，或者是国家核心利益的网络基础设施。

对于这些单位而言，尽管已经部署了相对完备的纵深安全防御体系，可能既包括针对某个安全威胁的安全设备，也包括了将各种单一安全设备串联起来的管理平台，而防御体系也可能已经涵盖了事前、事中和事后等各个阶段。

但是，这样的防御体系仍然难以有效防止来自互联网的入侵和攻击，以及信息窃取，尤其是新型攻击（例如APT 攻击，以及各类利用zero-day 漏洞的攻击）。

二、互联网企业如何面对高级威胁APT的挑战？
众所周知，网络攻击者经常使用复杂的恶意软件来危害网络和计算机，以窃取企业的敏感信息。

近期，Gartner的报告称可以用五种基本方式来保护企业免遭攻击，并且建议结合其中两种及以上的方式，效果会更好。

该报告详述了科学解决隐形攻击(又称先进的持续威胁)的“五种高级威胁防御模式”，简单的传统安全防御技术如反病毒或防火墙除并不包括在其中。

这篇报告通过分析一些已经上市的安全产品，来帮助识别隐形攻击或收集被入侵的系统的相关信息，也就是所谓的取证。

最经典的防护体系应该包含事前发现，事中防护，事后取证。

合理的安全体系部署和计算机犯罪取证相结合，寻找入侵关键电子数据证据，能有效定位犯罪嫌疑人，进而起诉攻击者，保护公司利益。

事前防护：趋势分析
众多企业了解网络攻击和其它未知风险对他们的系统和数据造成的不可避
免的威胁，也在签名、指示系统和启发式的安全检测软件投入了资金，以期对这些威胁做出警告和防御。

多年来，他们努力将众所周知的安全墙建得尽可能牢固，但也只有办法检测已知的安全威胁。

结果是，就算是最强大的软件也无法保证能够阻止诸如零日（zero-day）漏洞、木马、变形恶意软件或者内部人员渎职等安全威胁渗入企业内部。

这样一来，安全专业人员也就只剩一个选择，即等待攻击发生。

一次看起来只是普通行为的操作，不会触发边界保护系统的警报，然而这可能是对网络的主要威胁，并造成极大破坏。

现实是，如今企业时刻都在安全威胁的包围之中，而且所面对的更多是未知的安全威胁。

为了深入了解这些未知的安全威胁，市面上的信息安全分析工具重点关注的是结构化数据：日志文件或网络数据包。

然而，单单监控网络数据包或者查看日志文件远远不足以检测这些未知威胁的异常行为。

我们需要深入这些终端（服务
器和终端用户设备）以彻底了解这些安全隐患。

根据Garnet的新型安全框架定义要求，EnCase Analytics产品能通过对有终端数据的洞察分析，发现那些躲过检测的风险和安全威胁，是新一代的信息风险管控手段。

它通过互动型的可视化界面，为用户提供其终端所面临风险的鸟瞰图，用户便可以查找系统上的异常行为，将其终端转为“大数据”分析的源头从而快速发现入侵的迹象。

EnCase Analytics可让客户能洞悉分析终端活动产生的数据，十分清楚地看到企业的全局安全风险，发现之前尚未被发现或未知的安全威胁。

通过独有的系统快照及智能分析模块，能及时发现系统出现的恶意进程、网络通讯连接，并作出预警。

EnCase Analytics发现难以找到的风险和威胁，具有：
➢通过全面的终端可视化来洞察安全
➢EnCase Analytics并不信任已经遭到入侵的操作系统，而是从内核级别获取您所有终端的数据，将这些数据存入最可靠、最有用的资源库，从中洞察未被检测的风险和威胁。

➢安全风险和威胁鸟瞰视图
➢不管数据集多大，有何差异，EnCase Analytics均能够快速将整个企业的终端数据以多维度进行可视化展示
➢从数据的可视化展示中快速洞悉风险与威胁
EnCase Analytics通过互动型可视化界面，发现可疑模式、共性和异常，还可对实时动态调整瞄准并锁定安全威胁
◆事中防护：实时应急响应和敏感数据发现
EnCase CyberSecurity是全球领先的企业安全事件应急响应及处置系统，基于国际领先的电子数据取证技术，通过磁盘级访问技术对终端及服务器进行搜索扫描。

采用Entropy Near-Match专利技术，可发现企业网络中相同或相似的恶意程序、木马、病毒及其变种（包括Rootkit程序)，此外也可以搜寻整个网络中存在的所有恶意文档(Word/Excel/PDF等)
发现相关恶意代码或文档后可在整个企业内部网络中大规模快速系统修补，对恶意文件进行强行删除及清理相关系统变动（如注册表恢复），将整个网络中遭受破坏的PC终端及服务器恢复至原来的状态，保证终端及服务器系统能正常运行。

EnCase CyberSecurity是Guidance公司的事件响应和敏感数据发现平台的一款区别传统杀毒或其它基于文件型扫描产品的防护工具。

它能改进数据及事件管理的工作流，节省成本的同时提升安全、合规和调查团队的整体效率。

➢终端事件响应
✓通过快速验证、范围评估和抑制安全事件的发生来降低有效攻击的风险✓消除事件发生、发现和响应之间的时间间隔
✓利用现有人员与技术降低损失，减少事件响应的开支
➢终端敏感数据发现
✓减小敏感数据存放于非授权路径的风险
✓减少定位敏感数据的时间，提高规章策略符合度
✓减少通常很难测量的数据发现过程的带来的损耗
◆事后追溯：取证及诉讼
EnCase Enterprise是目前最强大和易用的远程调查解决方案，它可以为安全专家、调查员、计算机事件响应团队和诉讼专员提供他们所需的一切，助其迅速对企业网络中任何位置的服务器和工作站中的数据进行彻底搜索、收集、保存和分析，而不干扰公司的日常运行。

EnCase Enterprise 是业界领先的电子取证解决方案，全球政府机构和财富100 强企业中65家企业对于产品解决法律问题的能力大加赞赏。

❖EnCase Enterprise 备受各行业领袖和政府机构信赖的原因是：
✧采用集中式电子调查来降低成本并提升效率
✧利用远程调查的最佳解决方案来提升调查结果的可信度
✧满足行业调查的各项标准
✧利用高级搜索功能实现提供有史以来最快的证据挖掘速度
✧通过自动化常用调查任务提升工作效率
✧使用法庭认可的EnCase 证据文件格式以维护证据的完整性
✧提供电子调查、事件响应和电子数据发现的基础。