終端安全管理殺毒解決方案
方案背景
2017年6月1日《中華人民共和國網(wǎng)絡(luò)安全法》的正式實施，標志著網(wǎng)絡(luò)安全已上升至國家主權(quán)范疇，并將網(wǎng)絡(luò)安全等級保護制度上升為法律規(guī)定的強制義務(wù)。《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個人信息保護法》等相繼出臺，為網(wǎng)絡(luò)空間的安全防護提出體系化的要求。
同時，隨著數(shù)字化時代的發(fā)展，新業(yè)務(wù)場景持續(xù)涌現(xiàn)，所帶來的安全威脅不斷升級，比如無文件攻擊、0day 漏洞攻擊利用、病毒加殼逃逸，以及衍生出的勒索和挖礦及服務(wù)的產(chǎn)業(yè)鏈，給企業(yè)帶來嚴重損害和威脅。面對新業(yè)務(wù)場景的應(yīng)用，如云桌面、國產(chǎn)化終端等，傳統(tǒng)終端管理軟件無法有效覆蓋，暴露管理短板。面對安全威脅的升級，傳統(tǒng)安全檢測手段針對特定目標的定向攻擊無法提前取得樣本，比如 0day 漏洞利用、定制化隱藏工具；針對加殼逃逸技術(shù)的威脅特征難以發(fā)現(xiàn)等，暴露安全管理短板。
無論從國家政策要求方面，還是自身信息化安全建設(shè)方面，對各單位現(xiàn)有網(wǎng)絡(luò)安全防御體系提出巨大挑戰(zhàn)，建立完善的安全防御體系變得刻不容緩。
面臨的威脅
l 混淆樣本數(shù)量暴增
2007 年可謂是混淆技術(shù)的分水嶺， 以 Trojan/C2Lop （業(yè)內(nèi)通常稱其外層混淆器為Swizzor） 為代 表的各種自定義殼和混淆樣本大量涌現(xiàn)。以高級語言作為外層包裹器（Wrapper）的樣本更是不勝枚舉， 傳統(tǒng)安全軟件的脫殼、解碼技術(shù)受到了巨大的挑戰(zhàn)，腳本虛擬機、通用脫殼（Generic Unpacking）等技術(shù)開始應(yīng)運而生并備受關(guān)注；
惡意軟件快速迭代隨著互聯(lián)網(wǎng)的發(fā)展，“云”的概念被應(yīng)用于安全軟件，安全軟件對惡意軟件問題 的響應(yīng)速度大大提高。然而，互聯(lián)網(wǎng)的發(fā)展不僅僅造就了 “云”，黑色、灰色軟件利益鏈條也得到快速 完善。在這個完善的生態(tài)系統(tǒng)中，每個角色都發(fā)揮著各自的 “技術(shù)優(yōu)勢”，黑站掛馬、惡意軟件制造、 惡意代碼混淆、流量聯(lián)盟分工合作。惡意軟件背靠著這個龐大的生態(tài)系統(tǒng)快速迭代，對安全軟件帶來了巨大的挑戰(zhàn)；
攻擊手段的多元化也是近些年來安全軟件面臨的挑戰(zhàn)之一。信任利用（即通常說的白加黑）、高持續(xù) 性威脅（APT）、分級滲透等，攻擊的手段也頗具隱蔽性。傳統(tǒng)的基于進程信任的單步、多步防御系統(tǒng)均成 為此類威脅的 “打擊目標”。從火絨這幾年實踐的經(jīng)驗來看，基于行為分析的多步防御體系對于此類威脅 具有較強的應(yīng)對能力。
l 邊界設(shè)備無法有效保護終端
隨著互聯(lián)網(wǎng)信息技術(shù)快速發(fā)展，傳統(tǒng)的安全運營模式將無法適應(yīng)時代發(fā)展需要，面臨全方位的轉(zhuǎn)型和變革，基于邊界、流量或規(guī)則的傳統(tǒng)檢測方式已經(jīng)無法檢測新型或未知威脅，針對企業(yè)安全防范理論和技術(shù)將 發(fā)生徹底的轉(zhuǎn)變。
邊界防御的局限性，網(wǎng)絡(luò)層發(fā)出的攻擊，邊界設(shè)備獲取的信息是有限的，一旦突破了邊界防御，將無法了解這個攻擊事件做了哪些行為、關(guān)聯(lián)了哪些進程。
邊界攔截率低，現(xiàn)在的變形攻擊很多，有很多攻擊會繞過邊界安全，而且一個數(shù)據(jù)流是會被成每股小的數(shù)據(jù)流過去，基于數(shù)據(jù)流的這種分析方式，不能夠深度的了解數(shù)據(jù)流中包含的惡意行為。
邊界治標不治本，遇到網(wǎng)絡(luò)攻擊時可以將該 IP 拉黑，阻止該 IP。但是若干個 IP 又發(fā)起了攻擊該如何處理？ 邊界只做了臨時處理，沒有從根本上去解決問題。
l 終端體系龐大，行為難以管控
隨著互聯(lián)網(wǎng)時代的發(fā)展，計算機已成為企業(yè)中常見設(shè)備，在面對計算機出現(xiàn)大量的病毒事件、網(wǎng)絡(luò)攻擊事件、系統(tǒng)攻擊事件、漏洞事件時。企業(yè)無法及時掌握有效信息，會大概率產(chǎn)生眾多不可控的威脅 ，無法及時掌握終端的安全狀況及變化往往是企業(yè)難題。
惡意數(shù)據(jù)根據(jù)不同的協(xié)議、端口都可入侵到內(nèi)網(wǎng)之中，網(wǎng)絡(luò)協(xié)議沒有規(guī)范的規(guī)則、高危端口沒有嚴格的策略， 會讓惡意數(shù)據(jù)輕而易舉的進入到內(nèi)網(wǎng)之中。
員工訪問無關(guān)網(wǎng)站， 比如游戲、股票、微博、視頻、娛樂新聞等， 網(wǎng)站中都可能攜帶惡意程序?qū)?nèi)網(wǎng)構(gòu)成威脅。
私自在不同場合使用U 盤、移動硬盤等外設(shè)造成病毒傳播、數(shù)據(jù)泄露，對企業(yè)造成不可估量的損失。
終端不規(guī)范的行為是引申威脅的主要來源之一，協(xié)議端口的規(guī)范性、員工的上網(wǎng)行為 、安裝不符合企業(yè)規(guī)范的軟件、使用可能會對企業(yè)具有威脅的程序、移動外設(shè)的非法使用等都屬于終端面臨的威脅。
l 終端安全檢測頻率低
企業(yè)在正常運轉(zhuǎn)的業(yè)務(wù)系統(tǒng)時，空閑時間較短，導(dǎo)致無法定期對全網(wǎng)終端進行安全檢測，病毒的傳播瞬息萬變，無法及時的了解全網(wǎng)安全狀況，可能會導(dǎo)致安全形勢發(fā)生變化，一旦出現(xiàn)重大安全事故，將會影響正常業(yè)務(wù)，嚴重的事態(tài)可能還會造成不可預(yù)估的巨大損失。
l 復(fù)雜多樣的威脅
病毒事件 | 網(wǎng)絡(luò)事件 | 系統(tǒng)弊端 |
•釣魚、欺詐、木馬郵件 •受到僵尸網(wǎng)絡(luò)攻擊成為肉雞 •暴破攻擊植入勒索病毒 •病毒在內(nèi)網(wǎng)橫向傳播 •無法完全避免后門及信息泄露 •………… | •黑客對Web服務(wù)漏洞進行滲透攻 擊 •繞過防火墻訪問互聯(lián)網(wǎng) •訪問惡意網(wǎng)址 •員工篡改網(wǎng)絡(luò)地址 •黑客通過未知漏洞發(fā)起攻擊 •………… | • 終端不能及時修復(fù)系統(tǒng)漏洞 • 定期安全監(jiān)測頻率低 • 系統(tǒng)關(guān)鍵未知文件被篡改 • 私自安裝軟件、開啟威脅服務(wù) • 移動外設(shè)隨意使用 •………… |
