前瞻資安情報站（中）：TippingPoint Threat DV

回顧古往今來的各項戰役，從來沒有一場會是一方純以守勢為主，另一方則用盡各種方式入侵守方的領域，而防線卻又充滿了各式各樣的漏洞，只要攻方一發現馬上伺機行動。聽來像是一場血腥的單方面殺戮，但這就是資訊安全的戰場寫照。

身為防守方，幾乎都是被動的見招拆招，早期因為攻擊週期比較長，因此防守方都有時間可以找出攻擊特徵並且事出相關的特徵碼，進而強化防禦，但是隨著技術越來越進步，攻擊週期也越來越短，零時差攻擊（Zero Day Attack）也成為防守方日漸在意的點。

空窗期成為攻擊重點

任何的城牆都有脆弱點的存在，更不要說是由數位資料所構築的系統，這些程式碼錯誤或缺失造成的弱點，往往就是駭客攻擊的目標。所謂的零時差攻擊，就是指在系統或程式漏洞發現後， 在還沒有釋出有效更新之前所產生的攻擊行為。

整個系統漏洞修補流程步驟相當多，從發現系統漏洞開始，官方開始針對漏洞修補並釋出補丁檔，接下來就是使用者需要更新並安裝相關補丁程式，而資安業者們則針對該漏洞與攻擊撰寫新的特徵碼，最後並部署到設備之中才算完成整個漏洞修補及資安防護流程。

不過這整個流程中往往會因為人為或是服務的設定，導致更新無法即時完成，這樣就會出現駭客有機可乘的空窗期。

Trend Micro TippingPoint 北亞銷售經理 葉暉（Ken Yip）說明：早期當發現系統漏洞後，可能要三個月才會出現相對應的攻擊行為或有害程式，但是現在的空窗期越來越短，甚至就連官方都還沒有察覺到系統漏洞之前，攻擊就已然產生，而相關的資安防禦設備也因為沒有樣本可以對照，以致於沒辦法形成相對應的特徵碼或是可比對的行為模式，便允許這類有害流量進入企業內部網路中造成危害，這也是為什麼零時差攻擊是如此令人感到頭痛。歷史上有數次大規模的零時差攻擊，讓人首次正視這件問題的可說是震網（Stuxnet）蠕蟲。它在 2010 年 6 月首次被發現，並且是以關鍵工業基礎設施為目標的蠕蟲，許多資安專家都認為， 這種網路武器將會導致網路軍備競賽時代的到來。事實上，在七年後的現在，我們可以看到是各式各樣的攻擊手法層出不窮，而攻擊的項目也是無奇不有，但，總歸一句就是為了求財。

利用數位疫苗防堵零時差攻擊

零時差攻擊既然是針對系統漏洞而起，能夠有效防堵漏洞的也只有原廠釋出的補丁檔，那這段修補的空窗期該怎麼防禦相關的攻擊呢？為了協助企業解決這項困境，TippingPoint 率先採用了數位疫苗（Digital Vaccine）的技術。

Ken Yip表示數位疫苗的作法就是在發現漏洞之後，快速找出可以防堵攻擊的方式，並且透過每週固定或是緊急更新漏洞過濾器，讓位於網路邊界和內部的IPS能夠即時阻擋所有攻擊。對於後端系統來說，雖然還沒有改善本身的體質，但是就像打了疫苗一樣，能夠防止攻擊上身，不但百毒不侵，還可以協助原廠防堵未解決的漏洞。

真正的問題在於人為因素

先前提過系統漏洞的防護過程，其實原廠在這部分的努力也不斷的縮短空窗時間，但事實上這類攻擊依然不斷出現。原因就是雖然原廠發佈了更新與補丁，但是使用者卻沒有立即更新系統， 因此漏洞依然存在，駭客依然有空檔可鑽。

為什麼使用者會不願或疏於更新？因為有時候更新會影響既有系統的運作穩定性，甚至部分服務必須跟著修改，因此為了維持現有服務的運作，許多使用者都不願意更新，也因此形成安全問題。

利用先進威脅分析強化防護機制

而為了強化對於攻擊與威脅的應對能力， TippingPoint 不但持續強化數位疫苗方面的分析與研究，更研發出先進威脅分析（Advanced Threat Analysis）技術。當網路邊界的 IPS 收到疑似攻擊的流量時， 便會依據先前所設定的規則， 將此類流量導向到沙箱中， 同時間 Deep Discovery Inspector 與 Deep Discovery Analyzer 也會開始掃描並分析該流量，並將結果透過管理平台回報到其他機器及研究機構處。

這樣的作法不但能夠有效阻絕各種潛在威脅侵入內部網路，同時也可以透過分析與檢測，找出可能的各項攻擊，料敵機先防範於未然。

為了有效防禦網路上各種攻擊，除了使用者必須瞭解系統更新的必要性外，資安廠商的支援與協助也是相當重要的。藉由數位疫苗的方式，不但能夠有效保障空窗期的潛在危機，同時也可以藉由深度分析與檢測，避免尚未發現的攻擊發生，如此才能確保整體網路的安全性。

前瞻資安情報站（上）：TippingPoint 8400TX

前瞻資安情報站（中）- TippingPoint Threat DV

前瞻資安情報站（下）- TippingPoint Lighthouse、Machine learning

TippingPoint 專業優質代理商 - M.Tech　

http://www.mtechpro.com.tw/

TEL：02-26599128