FireEye：防禦工具與鑑識服務齊下，全面瓦解APT

若以資訊安全角度觀察，近兩年可謂哀鴻遍野，許多全球知名的零售商、軟體業者、電商、網路服務供應商、金融機構及影視娛樂公司，皆曾飽受進階持續性威脅(APT)荼毒，導致大量機敏資料遭竊，造成慘重損失。

時序進入2015年，預期政府機關或各行各業，都將持續面臨嚴峻的APT威脅。FireEye北亞區策略客戶銷售總監韋嘉指出，該公司在2014年期間，針對1萬個遭APT入侵的樣本深度剖析，發現其中100%皆已裝設防毒軟體，顯見用戶欲以傳統特徵碼式安全機制對抗APT，猶如拿陳舊武器打現代戰爭，勝算甚低。

此外，97%企業機構即使被APT駭客穿透層層防禦關，任由駭客在內部逛大街、偷資料，居然毫無所悉，好比生了病卻不自覺，還自認健康無虞。韋嘉說，台灣基於政治與經濟上特殊因素，加上資安防護不夠嚴謹，以致遭受APT攻擊頻率居高不下，始終穩居全球前十名，因此如何導正觀念、打造良好資安環境，以保障資料安全，肯定是首要課題。

圍堵封鎖模式難防APT　偵測回應才是正解

事實上，許多企業機構自忖已善盡安全防護，舉凡防毒、防火牆、IPS、WAF、反垃圾郵件…等防禦機制，皆已逐一部署，且及時更新特徵碼，惟在諸多案例中，一旦將FireEye閘道器架設在層層關卡之後，仍屢屢偵測到漏網新威脅，這些惡意程式哪怕僅有少數幾支，都可能釀成莫大危機！

此情此景，不免讓企業機構為之納悶，不知何以淪落至此？FireEye台灣區技術經理林秉忠強調，面對APT，用戶不論是否使用最先進防護技術，都必須假設駭客已經穿透一切防線；只因既有防護系統都奠基於「圍堵封鎖」，可謂老式作風，而APT等組織型攻擊，永遠會盡力找尋防禦盲點以求突破，進而運用尚無任何特徵碼的未知惡意程式攻擊得逞。

當務之急，企業機構宜儘速調整資安策略，建立一套完整防禦體系以「偵測與回應」APT攻擊行為；首先透過內置虛擬執行引擎(無需特徵碼)的網路及郵件閘道器，藉由行為分析技術偵測未知攻擊，在第一時間隔離潛在風險。

緊接著，企業機構宜搭配採用整合式、自動化的端點及網路鑑識機制，輔以諸如FireEye Threat Analytics Platform(TAP)的威脅情報平臺，進一步探索威脅發起者的目標、手段、策略乃至當前損害範圍，據此擬定完善應變對策，繼而引進擅於資安鑑識、事件處理的專業服務團隊，調查APT事件全貌，並徹底修復所有遭受感染系統。唯有如此，才能在駭客攻防戰役中，立於不敗之地。