「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」榮獲Computex Best Choice Award 金獎
IR 服務深度介紹

如何從資安事件應變處理,提升資安防禦韌性?

2024.06.16Product Management
Share:
資安事件常發生在細微之處,如果不特別注意,很可能無法及時應變與處理。
作為 ATT&CK 攻擊框架的提出者,美國資安非營利組織 MITRE 卻也面臨了 APT 的攻擊事件
從 2024 年 1 月開始,威脅行為者透過兩個 Ivanti Connect Secure 零日漏洞:CVE-2023-46805 和 CVE-2024-21887,偵查 MITRE 組織旗下的網路,並挾持連線階段(Session),繞過雙因素身份驗證流程,藉著橫向移動,深入挖掘 MITRE 網路的 VMware 基礎架構,同時使用複雜的後門和 webshell,以便持續存取 MITRE 內部網路環境,取得帳密資料。

資安事件的過去、現在與未來

MITRE 處理此資安事件的過程,值得我們去探討與學習。其一,組織要防堵資安事件的發生,偵測(Detection)是非常重要的,需要即時偵測場域中的異常行為;其二,利用網路隔離不讓攻擊者直搗核心,讓傷害在可控範圍內。更重要的是威脅情資(Threat Intelligence),當漏洞發生時,可以對場域做評估與處理。在與攻擊者交戰(Adversary Engagement)過程中,該怎麼採取措施,讓損害降到可以控制的範圍內。
當資安事件發生,透過一系列的事件處理流程,不外乎是從資安事件的「過去發生什麼事?」、「現在該如何應處?」以及「未來如何強化應對?」三面向來了解:
  • 攻擊者最初的進入存取點為何?
  • 攻擊者是否有散播到其他資源?例如橫向移動是如何傳播?
  • 攻擊者是否已在環境中立足?如果是,持續控制的方式為何?
  • 對於企業的衝擊為何?例如個資外洩等。
  • 如何可以防止不被再次攻擊?

先一步掌握攻擊過程,擬定資安維運策略

根據 TeamT5 長期以來資安事件處理的經驗,攻擊初始多肇因於帳號密碼外洩,漏洞也是重要成因。對於資安人員來說,每天要注意的不僅是攻擊組織帶來的資安威脅,更需要掌握場域內的資產狀況,特別關注資產相關的最新漏洞資訊。此外,藉由掌握攻擊者的攻擊過程,並落實在日常資安維運,提升組織防禦能力。
網路攻擊鏈(Cyber Kill Chian)可掌握資安事件發生前、事中到事後的各個環節。網路攻擊者透過偵查了解環境、研究曝險弱點,進入環境安裝內網滲透工具,最後根據攻擊者的最終目標,採取行動,例如 APT 藉由潛伏環境竊取機敏資料、勒索軟體則加密核心重要資訊等。
相對應攻擊事件的過程,我們可從美國國家標準與技術研究所(NIST)所發布的網路安全框架 CSF 2.0,歸納出場域管控可依循的標準、對策及防禦措施:

pic_how-to-respond-to-cybersecurity-incidents-and-improve-the-resilience-of-cybersecurity-defense.jpg

在事前,透過紅藍隊演練來了解場域中,有哪些資產可能會有風險,及早準備。當資安事件發生,需要偕同外部事件應變專家協處,了解攻擊來源、後續阻擋、事件分析等,雙方之間的協作也很重要。這些對策和防禦措施統整之後,才能在事件發生時做有效應變。

攻擊者虎視眈眈,如何強化資安韌性?

Gartner 發佈 2024 年網路安全重要趨勢中,特別強調資安韌性(Resilience)的重要。根據 NIST 所定義的網路韌性,是當組織遭遇網路攻擊時,可能會面臨到的狀況,例如服務中斷、資料外洩、加密勒索等,該組織處理與復原的能力,以及如何增強面對未來攻擊的防禦能力。
因此,要強化資安韌性,就必須考量到如何優化事件回應規劃。例如事件調查耗費時間,如何在短時間內做回應?同時,被攻擊後如何快速恢復系統運作?因此優化與協力廠商的合作極為重要,才不會在事件發生時手忙腳亂。
藉由事件處理的經驗,可以檢視以下面向,提早準備以強化資安韌性、降低損害: 1 資產安全狀況:場域中有多少資產受網路衝擊?狀況如何?
  1. 攻擊面分析:場域中可能被攻擊者利用的進入點分析研判。
  2. 掌握威脅情資:掌握與組織相關的威脅情資,例如 APT、暗網、勒索族群等,對於資產會造成什麼影響?
  3. 判定風險優先順序:就所掌握的資訊,研判場域風險狀況,提供後續應變處理所需建議。
  4. 風險處置管理:針對重要資產的備份恢復、調查所需資料取證,在事件可控狀態下,恢復營運,並完善事件調查所需程序。
  5. 掌控場域狀況:針對所採取的應變措施,持續監控掌握場域狀況,觀察是否仍有惡意攻擊,並清掃場域中隱藏的惡意威脅。
更多 TeamT5 資安事件應變處理服務:立刻了解
2024.06.16Product Management
Share:

Related Post

為提供您最佳的服務體驗,本網站使用 Cookies。當您使用本網站,即表示您同意 Cookies 技術支援。更多資訊請參閱隱私權與Cookies使用政策。