面向窃密型APT主动安全架构--高等级内网防泄露.pdfVIP

面向窃密型APT的主动安全架构 ——高等级内网防泄露 王 欢 章翔凌 北京双洲科技有限公司 窃密型APT攻击对我国重要部门的高等级内网造成日益严重的威胁，而传统安全无 摘 要 ： 有效应对。本文提出一种有效防范窃密型APT攻击的思路——基于应用安全理论，构建以资产为 导向的主动安全架构。主动安全架构主要包括两部分：一是基于白名单的应用安全，对资产进行 主动性保护，提高资产自身的安全性；二是OSI七层模型之上建立新的行为层，进行行为管控。 采用强访问控制和强审计措施，增加人工干预，为专家调查提供触发机制与线索，实现事前和实 时管控，有效提高内网数据防泄露的效率与力度。 APT 白名单 应用安全 应用管控 关键词 ： 1 引言 （a）攻击目标明确，定制攻击策略、方法和工具 ； （b）利用应用漏洞，进行零日攻击 ； APT（Advanced Persistent Threat），高级持续威 （c）攻击是“无形的”，基于攻击者行为，无 胁，可分为窃密型和致瘫型两种。窃密型 APT 攻击 法预测。 是情报手段，窃取目标涵盖政府机构、军事机构和 （3）对被攻击系统具有持久性访问能力。 企事业单位等，窃取对象包括国家秘密、知识产权、 （4） 传统安全手段无效。 商业秘密以及其他敏感信息。致瘫型 APT 具有高度 APT 攻击对我国重要部门的高等级内部网络造 定制性，其目的包括篡改系统信息和数据、破坏系 成日益严重威胁。本文旨在探讨窃密型 APT 攻击对 统可用性、短时间内致瘫网络或系统等，可长期潜 高等级内网造成的风险及其防范。 伏，在战时或特定条件下触发。 APT 攻击具有如下 特点 ： 2 内网风险分析 （1） 攻击者不再是传统的 hacker，大多数 APT 攻击是国家行为。 窃密型 APT 是我国重要部门的高等级内部网络 （2）攻击成功率极高，几乎能攻陷任何目标系统。 所面临的主要威胁。内网是指与外网（互联网）物 2013 年 9 月 | 增刊 | 141 第二十三届全国信息保密学术会议（IS2013）论文集 理隔离，业务应用有限、用户可控、设备可控的网络。 误操作等）。这些内部人员既可能是普通用户，又 内网容纳了组织的核心信息资产，包括重要（涉密、 可能是拥有特权的用户，如系统管理员和高管等。 敏感、其他）数据和重要信息系统。 这种窃密更多的是利用管理漏洞，高技术手段的比 以图 1 所示部门甲的内网模型为例。内网主体 重较小。这些恶意内部人员窃取内网重要数据，造 是局部地理范围内的组织内部网络 ；开辟共享资源 成内部人员越权访问到本无权限访问的信息，或者 区，可由部门乙和部门丙的特定用户，通过专网进 将信息泄露到组织外部。 行远程访问 ；内网与互联网物理隔离。 窃密型 APT 对内网造成的风险其次来源于外 如图 2 所示 , 窃密型 APT 对内网造成的风险首 部入侵。内网虽然与外网物理隔离，但仍可能通过 先来源于 “恶意”内部人员行为。根据内部人员窃 多种途径被外部入侵。在这种入侵中，内部人员的 密的动机来分，可分为间谍、心怀不满或持不同意 行为称为入侵的媒介，而这些行为并不意图去窃取 见者、利益驱动者、其他（如特定事件触发、或者 数