終端安全管理殺毒解決方案
方案背景
2017年6月1日《中華人民共和國(guó)網(wǎng)絡(luò)安全法》的正式實(shí)施，標(biāo)志著網(wǎng)絡(luò)安全已上升至國(guó)家主權(quán)范疇，并將網(wǎng)絡(luò)安全等級(jí)保護(hù)制度上升為法律規(guī)定的強(qiáng)制義務(wù)?！吨腥A人民共和國(guó)數(shù)據(jù)安全法》、《中華人民共和國(guó)個(gè)人信息保護(hù)法》等相繼出臺(tái)，為網(wǎng)絡(luò)空間的安全防護(hù)提出體系化的要求。
同時(shí)，隨著數(shù)字化時(shí)代的發(fā)展，新業(yè)務(wù)場(chǎng)景持續(xù)涌現(xiàn)，所帶來的安全威脅不斷升級(jí)，比如無文件攻擊、0day 漏洞攻擊利用、病毒加殼逃逸，以及衍生出的勒索和挖礦及服務(wù)的產(chǎn)業(yè)鏈，給企業(yè)帶來嚴(yán)重?fù)p害和威脅。面對(duì)新業(yè)務(wù)場(chǎng)景的應(yīng)用，如云桌面、國(guó)產(chǎn)化終端等，傳統(tǒng)終端管理軟件無法有效覆蓋，暴露管理短板。面對(duì)安全威脅的升級(jí)，傳統(tǒng)安全檢測(cè)手段針對(duì)特定目標(biāo)的定向攻擊無法提前取得樣本，比如 0day 漏洞利用、定制化隱藏工具；針對(duì)加殼逃逸技術(shù)的威脅特征難以發(fā)現(xiàn)等，暴露安全管理短板。
無論從國(guó)家政策要求方面，還是自身信息化安全建設(shè)方面，對(duì)各單位現(xiàn)有網(wǎng)絡(luò)安全防御體系提出巨大挑戰(zhàn)，建立完善的安全防御體系變得刻不容緩。
面臨的威脅
l 混淆樣本數(shù)量暴增
2007 年可謂是混淆技術(shù)的分水嶺， 以 Trojan/C2Lop （業(yè)內(nèi)通常稱其外層混淆器為Swizzor） 為代 表的各種自定義殼和混淆樣本大量涌現(xiàn)。以高級(jí)語言作為外層包裹器（Wrapper）的樣本更是不勝枚舉， 傳統(tǒng)安全軟件的脫殼、解碼技術(shù)受到了巨大的挑戰(zhàn)，腳本虛擬機(jī)、通用脫殼（Generic Unpacking）等技術(shù)開始應(yīng)運(yùn)而生并備受關(guān)注；
惡意軟件快速迭代隨著互聯(lián)網(wǎng)的發(fā)展，“云”的概念被應(yīng)用于安全軟件，安全軟件對(duì)惡意軟件問題 的響應(yīng)速度大大提高。然而，互聯(lián)網(wǎng)的發(fā)展不僅僅造就了 “云”，黑色、灰色軟件利益鏈條也得到快速 完善。在這個(gè)完善的生態(tài)系統(tǒng)中，每個(gè)角色都發(fā)揮著各自的 “技術(shù)優(yōu)勢(shì)”，黑站掛馬、惡意軟件制造、 惡意代碼混淆、流量聯(lián)盟分工合作。惡意軟件背靠著這個(gè)龐大的生態(tài)系統(tǒng)快速迭代，對(duì)安全軟件帶來了巨大的挑戰(zhàn)；
攻擊手段的多元化也是近些年來安全軟件面臨的挑戰(zhàn)之一。信任利用（即通常說的白加黑）、高持續(xù) 性威脅（APT）、分級(jí)滲透等，攻擊的手段也頗具隱蔽性。傳統(tǒng)的基于進(jìn)程信任的單步、多步防御系統(tǒng)均成 為此類威脅的 “打擊目標(biāo)”。從火絨這幾年實(shí)踐的經(jīng)驗(yàn)來看，基于行為分析的多步防御體系對(duì)于此類威脅 具有較強(qiáng)的應(yīng)對(duì)能力。
l 邊界設(shè)備無法有效保護(hù)終端
隨著互聯(lián)網(wǎng)信息技術(shù)快速發(fā)展，傳統(tǒng)的安全運(yùn)營(yíng)模式將無法適應(yīng)時(shí)代發(fā)展需要，面臨全方位的轉(zhuǎn)型和變革，基于邊界、流量或規(guī)則的傳統(tǒng)檢測(cè)方式已經(jīng)無法檢測(cè)新型或未知威脅，針對(duì)企業(yè)安全防范理論和技術(shù)將 發(fā)生徹底的轉(zhuǎn)變。
邊界防御的局限性，網(wǎng)絡(luò)層發(fā)出的攻擊，邊界設(shè)備獲取的信息是有限的，一旦突破了邊界防御，將無法了解這個(gè)攻擊事件做了哪些行為、關(guān)聯(lián)了哪些進(jìn)程。
邊界攔截率低，現(xiàn)在的變形攻擊很多，有很多攻擊會(huì)繞過邊界安全，而且一個(gè)數(shù)據(jù)流是會(huì)被成每股小的數(shù)據(jù)流過去，基于數(shù)據(jù)流的這種分析方式，不能夠深度的了解數(shù)據(jù)流中包含的惡意行為。
邊界治標(biāo)不治本，遇到網(wǎng)絡(luò)攻擊時(shí)可以將該 IP 拉黑，阻止該 IP。但是若干個(gè) IP 又發(fā)起了攻擊該如何處理？ 邊界只做了臨時(shí)處理，沒有從根本上去解決問題。
l 終端體系龐大，行為難以管控
隨著互聯(lián)網(wǎng)時(shí)代的發(fā)展，計(jì)算機(jī)已成為企業(yè)中常見設(shè)備，在面對(duì)計(jì)算機(jī)出現(xiàn)大量的病毒事件、網(wǎng)絡(luò)攻擊事件、系統(tǒng)攻擊事件、漏洞事件時(shí)。企業(yè)無法及時(shí)掌握有效信息，會(huì)大概率產(chǎn)生眾多不可控的威脅 ，無法及時(shí)掌握終端的安全狀況及變化往往是企業(yè)難題。
惡意數(shù)據(jù)根據(jù)不同的協(xié)議、端口都可入侵到內(nèi)網(wǎng)之中，網(wǎng)絡(luò)協(xié)議沒有規(guī)范的規(guī)則、高危端口沒有嚴(yán)格的策略， 會(huì)讓惡意數(shù)據(jù)輕而易舉的進(jìn)入到內(nèi)網(wǎng)之中。
員工訪問無關(guān)網(wǎng)站， 比如游戲、股票、微博、視頻、娛樂新聞等， 網(wǎng)站中都可能攜帶惡意程序?qū)?nèi)網(wǎng)構(gòu)成威脅。
私自在不同場(chǎng)合使用U 盤、移動(dòng)硬盤等外設(shè)造成病毒傳播、數(shù)據(jù)泄露，對(duì)企業(yè)造成不可估量的損失。
終端不規(guī)范的行為是引申威脅的主要來源之一，協(xié)議端口的規(guī)范性、員工的上網(wǎng)行為 、安裝不符合企業(yè)規(guī)范的軟件、使用可能會(huì)對(duì)企業(yè)具有威脅的程序、移動(dòng)外設(shè)的非法使用等都屬于終端面臨的威脅。
l 終端安全檢測(cè)頻率低
企業(yè)在正常運(yùn)轉(zhuǎn)的業(yè)務(wù)系統(tǒng)時(shí)，空閑時(shí)間較短，導(dǎo)致無法定期對(duì)全網(wǎng)終端進(jìn)行安全檢測(cè)，病毒的傳播瞬息萬變，無法及時(shí)的了解全網(wǎng)安全狀況，可能會(huì)導(dǎo)致安全形勢(shì)發(fā)生變化，一旦出現(xiàn)重大安全事故，將會(huì)影響正常業(yè)務(wù)，嚴(yán)重的事態(tài)可能還會(huì)造成不可預(yù)估的巨大損失。
l 復(fù)雜多樣的威脅
病毒事件 | 網(wǎng)絡(luò)事件 | 系統(tǒng)弊端 |
•釣魚、欺詐、木馬郵件 •受到僵尸網(wǎng)絡(luò)攻擊成為肉雞 •暴破攻擊植入勒索病毒 •病毒在內(nèi)網(wǎng)橫向傳播 •無法完全避免后門及信息泄露 •………… | •黑客對(duì)Web服務(wù)漏洞進(jìn)行滲透攻 擊 •繞過防火墻訪問互聯(lián)網(wǎng) •訪問惡意網(wǎng)址 •員工篡改網(wǎng)絡(luò)地址 •黑客通過未知漏洞發(fā)起攻擊 •………… | • 終端不能及時(shí)修復(fù)系統(tǒng)漏洞 • 定期安全監(jiān)測(cè)頻率低 • 系統(tǒng)關(guān)鍵未知文件被篡改 • 私自安裝軟件、開啟威脅服務(wù) • 移動(dòng)外設(shè)隨意使用 •………… |
