思科：洞察駭客攻擊生命週期，重新審慎資安佈局

由於接連驚傳令人震撼的攻擊事件，驅使眾多資訊安全業者紛紛靠攏進階式持續攻擊(APT)，並預言APT防護議題將持續延燒數年，值得企業高度關注。

但臺灣思科(Cisco)安全事業部經理郭旭傑認為，無論APT較以往惡意攻擊多麼與眾不同，但終究仍是一種駭客攻擊，目的皆在於侵害企業亟欲保護的客戶個資、智慧財產權、法規遵循…等種種標的物，因此企業應回歸基本面，提升視野高度，審視整體安全防護的核心需求，並結合安全維運，如此才能真正促使企業安體質趨於健康，切莫只為了防範APT而急於導入單點的方案。

思科總裁John Chambers曾說，世上只有兩種企業，一種是已遭入侵，另一種是已遭入侵卻不自知；倘若企業未重新審視安全防護基本面，針對亟需改善之處加以補強，就容易淪為第二種類型，只能等到病發才尋求救治，唯恐為時已晚。

郭旭傑表示，企業為避免陷入頭痛醫頭、腳痛醫腳，宜抱持完整的安全防護戰略思維，一是藉由定期健檢或現有的防範機制，達到預防效果，另一則更重要，務求在災難降臨當下，以最快速度確知傷害範圍，並及時加以修正。他進一步說明，綜觀時下主流資安產品，不論APT防護、防火牆、防毒或入侵防禦系統，通通落在「預防」象限，若以安全防護生命週期來解讀，偏重於「攻擊前」(Before)、「攻擊中」(During)等階段，至於最後一段的「攻擊後」(After)，也就是當資安事件發生後，如何快速釐清受影響範圍並予修復及處理，則相對未受重視。

事後即時處理　重要性不輸事前預防

「所有預防措施，都不可能達到100%零失誤，一定會有一些未知攻擊型態，能閃避現有的偵測技術，否則就不會有層出不窮的資安事件！」郭旭傑說，思科有鑑於此，遂跳脫單點防護思維，綜觀Before、During、After等完整生命週期，重新定義Security Model，訴諸全新的進階惡意程式防護(Advanced Malware Protection；AMP)解決方案，一方面搭配其防火牆、IPS、郵件閘道、Web閘道，或藉由獨立AMP閘道型式，針對Network層面補強「After」防護缺口，二方面則保護Windows、Mac及Android等終端設備，針對Endpoint層面補強「After」防護缺口。

據悉，AMP並非奠基傳統特徵碼技術，一來可依據全球已知惡意程式資料快速執行比對，二來則運用獨特回溯(Retrospective)技術，當未知惡意攻擊變成已知時，可主動通知管理者，並旋即追溯受保護標的過往執行記錄，迅速探知第一台受感染的機器、嚴重性及影響範圍，包含多少機器已被感染，並協助企業立即採取隔離措施，避免傷害擴大，除了平時可協助企業威脅預防，當事故發生時，也可以馬上做到傷害控制。