【企業防毒軟體SEP 14.1】增強多種新興威脅情勢的探察措施，並提供事件專屬調查平臺－aehkj810的部落格

201801290645

近年來，企業端點防毒軟體的發展，著眼於進階威脅的保護能力，而當初Symantec Endpoint Protection（SEP）在14版推出時，已經加入進階機器學習，與記憶體漏洞保護等機制，到了最新版本14.1，Symantec則是為上述的防護措施，增添更為豐富的功能。另外，對於如何協助企業能更早發現自身遭受攻擊，SEP 14.1提供蜜罐（Honeypot）的做法，誘使攻擊者觸動警鈴後，藉此通報企業加以防範。而這樣的預警措施，以往是大型架構的資安防護系統，才有這樣的功能，對於以端點為保護目標的企業級防毒軟體中，可說是首度出現。此外，對於管理者想要掌握企業內部的威脅態勢，新版則是在既有的管理平臺SEP Manager之上，額外提供了雲端主控臺SEP Cloud Console，管理者能依據偵測到的攻擊型態，快速調查同樣受害的端點電腦範圍。在偵測措施與調查功能的強化之外，對於常見的應用程式，SEP增加了選購模組，提供權限管制強化（Application Hardening）措施，保護應用程式免於受到其他處理程序竄改，或是成為有心人士更動作業系統組態的工具。進階機器學習識別擴及macOS平臺，能用於網路頻寬有限的端點在傳統防毒軟體習於運用的特徵碼比對手法之外，這套防毒軟體還有許多保護措施，像是SONAR、檔案信譽評分等，而自SEP 14版起，開始提供了進階機器學習的機制。在新版本中，則是將這樣的防護功能，延伸提供給執行macOS作業系統的電腦。基本上，這項功能的運作流程，並不複雜，SEP會從LiveUpdate下載機器學習的模型，並在端點電腦中，收集遙測資料，再藉此持續調整，最後根據不斷修改後的機器學習模型，提升識別威脅的準確性，藉此封鎖未知惡意威脅。除了在端點電腦收集資料，也能搭配Symantec自己的雲端威脅情資服務，再次確認進階機器學習偵測是否正確。原廠指出，藉由機器學習，安裝SEP的端點電腦，平均能阻止99%的威脅。不過，從測試的角度來看，在SEP的設定中，沒有提供進階機器學習功能開關選項，只能針對機器學習模型，調整從LiveUpdate下載樣板的頻率。因此，SEP所攔截的威脅，是否由機器學習後的結果識別，我們便難以直接驗證。另外，在SEP 14.1版中，針對網路速度偏低的電腦，所額外提供的低流量模式，管理者也必須啟用下載進階機器學習樣板的功能，藉此降低原本需要頻繁更新各式特徵碼，像是SONAR、IPS，以及病毒特徵等檔案的頻寬需求。首度提供能多點管理的雲端主控臺在新的14.1版Symantec企業防毒軟體中，加入了雲端主控臺服務，管理者不只能遠端了解內部的端點電腦整體態勢，還能藉此快速找出攻擊事件。增強記憶體內執行的惡意攻擊偵測與防止能力許多惡意軟體為了躲避端點防毒軟體偵測，採取在記憶體內的方式執行，而SEP也從14版提供相關的防護政策，稱之為記憶體攻擊緩和（Memory Exploit Mitigation）措施。在新的14.1版中，記憶體防護能夠攔截的攻擊型態，從原本的3種，大幅增加為12種，支援像是DllLoad、SEHOP、ForceDEP等記憶體溢位攻擊手法。我們從SEP Manager的政策中，就能看到專屬的設定項目，包含了防護功能的啟用開關，或是對於記憶體內攻擊，所採用的防護技術與受保護的應用程式清單等，預設的政策配置裡，已經涵蓋到端點電腦常見的應用軟體，像是微軟Office、Adobe Reader、JRE，以及SEP防毒軟體本身。不過，管理者還是可透過進階選項，針對需要納入保護的應用程式，指定執行檔名稱，以及所在的資料夾路徑，就能加入記憶體防護的監控項目中，設定上，算是相當容易。能滑動指定自動封鎖與監控的風險層級針對端點電腦的監控與封鎖措施，SEP雲端主控臺提供5個等級的靈敏度，調整防毒軟體偵測的政策，以圖中預設是第2級，若提升敏感度，雖能找到更多可疑行為，但也伴隨較多誤報情事。首度提供欺敵機制，讓企業能及早發現攻擊情事在進階偵測的措施上，SEP 14.1新加入欺敵（Deception）功能，以往，這種機制較常由資安事件管理平臺提供，藉由在網路上放置蜜罐，誘使攻擊者上鈎，讓企業及早發現潛伏的威脅。而在SEP 14.1的欺敵功能來說，蜜罐則是安置在已部署這套防毒軟體的端點電腦裡，理論上，由於需要額外監控蜜罐的狀態，很有可能影響電腦的效能。但我們實際派送相關政策之後，在僅配置1個處理器、1GB記憶體，並執行Windows 10作業系統的VM中，運作的順暢度與啟用欺敵功能前相比，沒有太大的差異。對於誘捕攻擊行為的方式，SEP主要可區分為電腦作業系統的完整性，以及特定應用程式是否遭到更動。原廠為了讓用戶更能理解其運作方式，則是特別在安裝檔案中，提供了政策樣本與使用說明。我們在實際的測試環境中，也匯入上述蜜罐政策樣本，並予以派送，SEP會在Windows電腦的系統暫存資料夾裡，放置誘捕用的可執行檔，一旦遭到更動，也無法執行，此時，SEP就會通知管理者。依據政策的預設值，每2分鐘就會檢查一次，假如特定的攻擊想要嘗試終止蜜罐的處理程序，預設並不會攔阻這類滲透行為，以免打草驚蛇，但會留下事件記錄，以利管理者調查時運用。具備調查惡意軟體專屬分析頁面對於惡意威脅的檔案分析，SEP 14.1雲端主控臺提供了專屬頁面，管理者能藉此識別為威脅的原因、受到感染的裝置清單，以及這個檔案的行為歷程等資訊，做為進一步加為黑白名單的依據。針對威脅情資分析，新加入專屬的網頁主控臺針對管理的部分，SEP 14.1首度加入了SEP Cloud Console，在原本SEP Manager的軟體和網頁版本之外，增加新的存取管道。但與SEP Manager不同的是，SEP Cloud Console從威脅情資事件的角度出發，提供更容易判讀的統計圖表，管理者能以此向下找尋想要調查的事件。值得留意的是，SEP Cloud Console不能直接取代SEP Manager，我們在部署的時候，還是必須建置SEP Manager，然後再將SEP Cloud Console的帳號，與內部的主控臺配對後，才能運用。整體介面與選單的配置，相較於Symantec自家端點偵防平臺Advanced Threat Protection: Endpoint（ATP: Endpoint），以及採用雲端主控臺控管的SEP Cloud，風格都相當類似。透過SEP Cloud Console左邊的選單，可以看到包含儀表板、端點裝置清單、惡意威脅分析，以及政策管理等項目。這個雲端主控臺的儀表板具備向下追蹤的機制，例如，我們可以從其中惡意威脅的分布圓餅圖，依據嚴重程度、已知或未知的信譽評等，以及檔案常見程度（prevalence），篩選並檢視特定的威脅、惡意軟體詳細資訊。只是，這裡的威脅探查，主要還是提供惡意軟體的分析、快速搜尋，以及那些電腦受到感染，不像ATP: Endpoint能彙整多起事件的關連，也並未支援讀取入侵指標（IOC）檔案的機制。此外，雖然SEP Cloud Console是網頁介面，但我們透過手機版Chrome瀏覽器存取，並無法正常操作。產品資訊 ●原廠：Symantec(02)8726-2000 ●建議售價：每端點每年54.18美元起 ●用戶端作業系統支援：Windows Vista～10、Server 2008～2016、macOS 10.10～10.12、Linux ●管理伺服器作業系統支援：Windows Server 2008～2016 ●資料庫需求：SQL Server 2008～2016 ●管理伺服器硬體需求：8核心處理器、8GB記憶體、200GB儲存空間【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商。】