微步在线李秋石:中国特色的安全威胁情报
2016-05-06 08:51   审核人:

为什么做威胁情报?李秋石表示,是得益于之前包括从业务,到产品,再到项目,整个过程中发现情报对于风险控制流程的重要性。它在每一个决策、每一个识别过程中和分析的过程中,起到非常重要的作用。本次分享围绕威胁情报驱动的安全变革、中国网民与在线业务面对的安全威胁、无线安全案例分享三大部分展开。

威胁情报驱动的安全变革

李秋石对于安全的理解有自己独特的看法,在这部分他举了油罐车和外国航班手册两个例子,引出了中外对于安全的态度和重视程度。

油罐车。90年代的油罐车是解放牌绿色车,上面有安全两个字。但这样的做法只是寄托了大家对安全的看法,并没有告知应该采取哪些措施来保证它的安全。发展到现在,油罐车会标注是易爆品,出现问题应该用干粉还是泡沫来应对。这是非常可执行、可操作的方法,比之前的更直观、更实用。

外国航班安全手册。手册细化到非常细的细节,如在水上迫降的时,应急滑梯怎么和飞机脱钩,这在逃生环节是非常重要的。如事先就知道如何去脱钩,就能很快脱离即将沉没的飞机,这样就能保证拥有更多的生存时间。

如从信息安全角度出发,要如何操作才能保证我们数据不被泄漏呢?目前没有一个实在的方法方式能保证你的数据绝对不会泄漏,但还是有一套体系可以参考,这套体系有三步:

一:基础的防御措施,如要有墙,要有足够的工具,要有足够的侦测方法和手段。

二:威胁感知,在第一时间知道和发现威胁,发现有谁在搞你,怎么搞你,为什么搞你,从哪里搞你,谁做了什么,搞了哪些数据。

三:事后,数据即便被搞了,他也没法使用,你要用足够强壮的加密算法来保证你的数据安全。

李秋石表示,能做到综上三步很难,这套非常完整的体系,是要求每一个开发人员和每一个企业的人,在建造这个架构的过程中能够把安全在每一个节点进行控制。这个对我们中国企业挑战很大,因为我们在一开始肯定要先上线,然后再去完善它,这是中国互联网的发展现状。所以这个平衡永远是需要对资源要进行分配。

中国特色情报。所谓“中国特色”主要体现在:第一,其实古时候在《孙子兵法》里面就已经提出了“知己知彼”,我们今天把它叫做“知彼知己”,这是情报最有用而且流传最广的一个概念,其实在我们中国的历史文化当中就已经突出了它的重要性。第二,我们需要有自己的威胁情报处理能力,因为毕竟我们需要有自己自主可控的情报平台,来帮助我们中国的企业去及时的获取和及时的响应。李秋石表示,其实各家企业都在做大数据,数据量很大,但如何把它变成可执行的,这个就需要情报来支持。

中国网民与在线业务面对的安全威胁

如上图,原数据包括了IP、事实、访问时间点等,这些加起来都是原数据。经过情报的处理和分析,通过分析师、自动化和人工处理之后,它会变成情报。这些情报的获取难度和破解难度也是呈金字塔型的。第一层就是Hash Values,这些非常能够容易获取的,而且它变换起来也是非常容易的。逐层递增,到最高层就是TTPS。TTPS就是工具、技术和流程。也就是说攻击者用的是什么战术,用的什么技术和方法。这些东西你获取了之后,它的变换成本非常高。把这些黑客黑了之后,知道他的手段和方法,再去进行一个变换,成本也是非常高的。

 检测和响应,是情报所带来的最核心的价值,这是对企业能力的体现。关于这部分,李秋石举了这样一个例子。一名女性车主遭遇跟踪,跟踪车辆驾驶员是蒙着口罩,戴着棒球帽,很奇怪。这名女性环绕朝阳大乐城一圈,这个车还在跟踪。之后她并没有报案,因为被跟踪有很多可能性,可能是马仔队,也可能是你朋友开玩笑,没有办法让警方介入处理。第二天,早高峰时段,在最拥堵的一个路段,女士集结好几辆车集体行动,把跟踪车辆撞停,直接送派出所。之后发现跟踪车上有裹尸袋、铲子、刀具、逃跑路线图,样样俱全。这个案例是一个成功的对可疑行为的溯源和弄清目的。清目后,警方定要上升到重案层面调查。这给同样在这个小区,或者是在年底开豪车的群体,是一个非常可靠的情报,那就是跟踪车辆的攻击手段和技术。

针对这个案例,如上如画的黑色的设备是被一个塑料袋缠着的,这个就是一个GPS定位设备,是绑在车底下面。换在互联网网络安全领域就是一个Wapshell,这个Wapshell已经在你的服务器驻留很久,但是可能没有办法第一时间发现,没有对汽车的检测手段。这个手段暴露出来之后,大家会有各种各样的方法避免这种事态的发生。

无线安全案例分享:XcodeGhost事件和戴尔eDellRoot证书事件

XcodeGhost事件

XcodeGhost事件。 微步在线刚成立不久针对非常流行的XcodeGhost事件做了一个溯源分析。是由我们的分析师,包括西雅图和北京的一起来合作,完成了这次分析溯源。

Virusbook

Virusbook。之后,衍生了我们第一个产品叫Virusbook,是为大家分析爱好者免费提供的一个工具,可以对无线的态势感知。也就是感知整个无线应用的使用情况和访问状态。

戴尔eDellRoot证书。李秋石表示,戴尔eDellRoot的私钥是可以被读取、被破解的。其有一个很简单的密码,用很简单的方法把KPI解掉。病毒开发者利用这些私钥已经签署了好几个,我们第一时间接获了两个木马,并把它做成了LC,去向各个订阅者发布。这就是情报的作用,发现事件时第一时间发现它所产生的攻击行为。所以做深入的分析和溯源的跟踪后,才能处理解决每一个威胁,这就是威胁情报溯源的作用。

Virubook的安全分析云

Virubook的安全分析云。在这个案例中,我们之所以能做到是因为有Virubook的安全分析云,它主要集成了国内外主要的反攻击分析引擎,包括了静态和动态的差强分析。李秋石表示,这个技术可能不算是最新和最流行的,但是它仍然是非常非常有效的。它的这些信息和线索对于情报,对有很有经验的情报分析师来讲是非常非常重要的。

沙箱跑出来的信息

Virubook的安全分析云还提供自动化的分析报告,对于多引擎,对于每一个文件和一个样本的分析报告,动态的分析结果,上图就是沙箱能够跑出来的信息和截图,以及它的有关的网络信息,和威胁有关的网络信息,这个对每一个分析师和分析爱好者来说是非常有用的。

最后,李秋石表示,情报落地一定要和业务关联,希望情报和真正的信息安全能够合业务安全进行关联和结合,形成一套体系。还有分析师是关键,在整个体系当中真正懂业务,懂情报,懂怎么来调用手头工具的分析师是难求的。在泛滥的大数据的海洋当中,如何准确精准的发现情报,也是后续应该持续看到和合作的点。

本文整理自【WOT2015”互联网+”时代大数据技术峰会】期间,微步在线 (Threatbook)合伙人李秋石主题为《中国特色的安全威胁情报》的演讲。

讲师简介:

微步在线 (Threatbook)合伙人,市场与业务发展负责任人。微步在线是中国首家安全威胁情报公司,创立于2015年6月。在此之前,李秋石曾任亚马逊中国信息部安全资深项目经理,负责亚马逊支付安全与跨境业务安全。加入亚马逊之前,李秋石曾任阿里巴巴集团安全部资深安全经理,负责安全生态体系建设和生物识别项目。李秋石在2007年加入支付宝风险管理部,并作为支付宝安全第一批成员在支付安全领域工作7年。负责支付宝安全产品策略,安全生态数据体系建设。建立了支付宝应急响应体系,并推动成立国内首个安全支付联盟。

【责任编辑: wangxueyan TEL:(010)68476606】

关闭窗口
 

推荐使用IE7.0版本以上浏览器,分辨率1024*768以上效果较佳
中国.河南.南阳市长江路80号 南阳理工学院13号教学楼1楼 豫ICP备05011695号