中文
2023-08-25 19:41:05
某企業安全部門負責人老張，最近很煩惱。
作為一個風險意識極強的“老安全人”，老張早已意識到主機側，承載著公司的生產業務和數據，是公司整體安全體系的最后一公里?？炊嗔嗽诠シ姥菥氈斜粺o感拿下的同行，老張下定決心，一定要做好主機的安全防護。
今年攻防演練前，老張終于如愿給主機裝上了安全防護軟件，做了資產梳理，收斂了暴露面，檢查了安全基線，對高危漏洞也都做了修復。做完后老張對即將到來的大戰胸有成竹，這次肯定穩了。
然而演練開始沒過多久，“噩耗”傳來，他們還是被打穿了。
“ 攻擊者是利用了一個中危漏洞進來的，并通過0day漏洞成功突破拿下了關鍵靶機。”
老張這時才發現，他以為建好了固若金湯的防線，其實不過是虛掩門戶，攻擊者輕而易舉就“破門而入”了。
痛定思痛，老張決定好好復盤一下這次的失利。
根因一 易檢難修，業務連續和漏洞修復難取舍
這次，攻擊者是利用了Confluence Server 信息泄露漏洞(CVE-2021-26085)突破入口，這個在安全防護軟件上危險評級是中危，CVSS評分也不高的漏洞，掃描出來時老張并沒有意識到它的危險性，同時擔心打補丁修復這個漏洞會影響業務，故放棄了修復。沒想到最終就成為了攻擊者的攻擊突破入口。
總結下來，漏洞容易被檢出，但修復難度卻很大，根因在于：
①難以科學評估修復優先級，掃描出來的漏洞成千上萬，基于默認評分機制篩選的結果并不能客觀評估出哪些漏洞實際上對業務危害程度；
②漏洞修復方案難落地，對于某些危害大的漏洞，出于不影響業務或供應商不支持修復等原因，無法進行修復，威脅無法消除。
根因二 敵暗我明，未知威脅層出不窮
除了上面的已知漏洞成為入口，這次最“致命”的攻擊還是來自攻擊者利用某關鍵業務系統的0day漏洞，成功繞過安全防護設備拿下關鍵靶機。
傳統的防御方式往往通過已知威脅的特征進行識別，而隨著0day漏洞、新型攻擊手法、新型攻擊特征等各種未知威脅利用的產業化、組織化、自動化，防守者在信息不對等的情況下，根本無從防御。
未知威脅成為了突破主機安全防線的核心方式。
復盤總結 專業的主機安全的防護系統，需融合三層能力
第一層：具備“資配漏補”的基礎能力底座
資產管理能力、安全配置管理（SCM）、主機漏洞檢測與防護能力、補丁管理能力成為一個專業化主機安全能力的必備能力，具備這些能力才能形成一個初步體系化防護機制。
第二層：充分理解工作負載的業務屬性
只有最基礎的“資配漏補”能力，對于做好主機的安全是不夠的。例如基于漏洞危險等級“高”、“中”、“低”的篩選，可能并不代表該業務環境中漏洞真實的可利用情況，需要結合業務評估漏洞修復問題。
另外，一些業務系統本身觸發的業務動作，會被主機防護產品當作可疑入侵,從而導致誤攔截或者誤報，不僅沒實現防護效果，還影響業務。
第三層：具備未知威脅的識別與抑制能力
已有漏洞的修復、已有配置的修改、已有特征的匹配、已知行為的識別，這些都是基于已知威脅衍生出來的。然而針對未知威脅，由于特征、意圖難以識別，已然成為攻擊者突破主機防線的重要突破口，基于已知威脅的防護已遠遠不夠。
深信服端點安全重大升級
融合專業主機安全能力
經過多年企業級網絡安全建設和攻防演練經驗積累，深信服深刻理解傳統防護能力對抗的局限性，2015年起就率先在AI能力上進行戰略布局及堅定投入。
基于過去主機安全產品CWPP和終端安全產品EDR、容器安全產品的能力，深信服進行了創新性升級，統一融合端點安全能力，推出AI驅動的下一代端點安全aES，針對主機的安全提供AI學習和理解業務能力，持續構建帶有免疫加固能力的智能防御體系。
基于精細化的風險管理能力，做好攻擊面收縮
針對資產、弱口令、暴露面、風險應用、安全基線等主機風險提供簡單易用和持續收斂的機制。
云端賦能，做好已知威脅的檢測與響應
除了提前預設漏洞管理、入侵檢測、應用運行自保護（RASP）的安全規則，深信服主機安全專業化還能通過智能學習本地業務，結合云端能力，快速同步云端獲取的各地業務行為基線并賦能本地，構建動態精準的安全加固防線，過濾各類已知攻擊，降低誤報漏報，更加高效。
以漏洞防護舉例：
①業務屬性和漏洞情報相結合，科學評估漏洞修復優先級。
對于已經發生過的事件如已知漏洞，通過最新的漏洞優先級（VPT）技術，結合主機環境信息、漏洞自身信息，以及內外部威脅情報信息對漏洞實際影響進行分析，能夠有效地提取出在業務環境中能被實際利用的漏洞優先響應，整體漏洞降噪達95%以上。
如前面提到的Confluence Server 信息泄露漏洞(CVE-2021-26085)，雖然CVSS對該漏洞的影響評分不高，定義的級別是中危漏洞，但后來老張部署了深信服aES，通過VPT技術，識別到該漏洞已經在互聯網上存在公開的POC/EXP，并被CISA通報定義為必須修復的漏洞等因素，提供了更科學的評估結果是需要立即修復。
②虛擬補丁構建，覆蓋全周期漏洞整改落地
通過虛擬補丁的構建，有效解決漏洞空窗期的防護問題，覆蓋漏洞全周期的整改落地，幫助業務系統完成從虛擬補丁到實體補丁的切換，為各類無法變更的系統提供“帶病”安全運行的能力。
智能防御，有效防御未知威脅
深信服aES通過智能學習客戶主機上業務負載形態，建立動態優化業務的安全基線，快速識別出業務的運作形態，并對已有業務畫像外的行為進行檢測，如未知漏洞的利用行為檢測，對其進行告警和攔截。
深信服aES智能防御技術優勢
● 構建應用行為“白畫像”：基于高效學習能力構建應用行為畫像基線，能區分正常業務行為和入侵威脅行為，通過業務已有的白畫像的行為偏離對比，對各類從未出現的未知威脅進行「智能防御」；
● 精準高質量告警檢出：基于全新AI+NoDR的精準告警分析引擎，結合資產上下文信息、威脅告警信息和異常行為信息，實時檢出高質量的精準告警；
● 持續演進的動態行為基線：通過深信服內部學習的情報與模型，結合多行業、多地域，完成學習結果的共享，進而豐富「免疫加固」的能力，對于發生過的攻擊行為快速免疫。
基于多年的沉淀和積累，并致力于讓用戶的安全領先一步，深信服敏銳地捕捉到了用戶對主機安全的需求與顧慮，端點安全融合專業主機安全能力，迎來全面、重磅的升級，敬請期待！
