2016資安 - 強化端點進階威脅防禦的新世代防毒產品

摘自: http://www.ithome.com.tw/tech/109832

企業級端點進階威脅偵防系統

http://www.ithome.com.tw/article/109831


防毒軟體一直是端點電腦主要的保護傘，但現在的滲透攻擊多半規避防毒軟體偵測機制，導致難以發現受害範圍與攻擊來源，因此，如何有效強化端點異常行為的偵測與防禦，成為做好資安的必要條件
~

企業針對端點的保護，防毒軟體可說是基本配備，但是，近年來無法透過防毒軟體攔阻的惡意攻擊手法日益增加，像是大多數人聞之色變的加密勒索軟體，防毒廠商在發現攻擊的手法之後，便將相關的惡意軟體加入特徵碼中。然而當大量的變種軟體出現時，光是倚賴已經發生的事件，也難以直接防範其他的未知軟體。

而像是軟體漏洞的問題，也是有心人士運用的攻擊手段之一。但光是倚靠軟體供應商的修補，難以即時因應零時差漏洞，而且，對於在企業上來說，遇到廠商緊急製作的修補程式，來不及完整測試就推出的情況也時有所聞，導致某些電腦套用之後無法正常運作，影響企業生產力。因此，廠商就算提供了修正檔案，企業不一定願意立即套用。

對於企業來說，或許可以採用軟體白名單的方式，強制員工只能執行指定的應用程式，阻斷這類手法，可是，在現實情況中，通常管理者很難將所有部門所需執行各類型的軟體納入白名單，而且版本日新月益，若是隨著各類軟體的更新周期，調整白名單裡的比對資料，像是檔案的MD5或是SHA雜湊值等，也會大幅增加管理的負擔。

~

未知攻擊的因應成為新世代端點防護的顯學

在端點防護產品的功能演進，從早期的自動化、支援多裝置，到近年來已變成要求高度即時資訊，甚至期望能夠防範於未然，在找到疑似的攻擊就加以監控，一旦出現異常就進行相關的處置措施。（圖片來源／Accelerite）

協助企業找出潛藏在端點電腦的惡意攻擊行為

這類型的產品，在市場研究機構Gartner的分析報告中，稱之為Endpoint Detection and Response（EDR），顧名思義是針對端點的運作情況，收集情資，讓企業在發現異常時，可適時做出對應的反制措施。

我們在今年初，介紹過藉由發現企業內部使用者的存取行為異常，找出滲透式攻擊行為的解決方案（UEBA，也有人稱為UBA），與這次的端點進階威脅偵測與防禦系統（EDR）有其相似之處。這兩種系統，都是為企業找尋可能潛藏已久的惡意攻擊，因此，我們之前在UEBA產品中常見的攻擊鏈分析，在針對端點的EDR解決方案大多都有提供。

但不同的是，EDR解決方案著重於端點電腦行為的偵測，因此都必須在電腦部署代理程式，藉此收集操作行為。因此，企業端點進階威脅偵防系統往往能夠執行較多的反制措施，能依據指定規則，攔阻惡意程式執行。

此外，由於著重於找出可能有問題的端點電腦，EDR產品幾乎以端點電腦為基礎單位，統整情資給管理人員，甚至像趨勢科技的Endpoint Sensor，目前為止尚未提供與企業AD整合的功能，雖然在攻擊鏈中可看到當時操作人員的使用者名稱，但這個情況，也突顯這類型產品聚焦端點而非使用者的特性。

...(more)