未知威脅逐一擊破:零日攻擊與 Sandbox 的前世今生!

未知威脅逐一擊破:零日攻擊與 Sandbox 的前世今生!

未知威脅逐一擊破:零日攻擊與 Sandbox 的前世今生!

現今很多防禦方案都已有效針對不同的資安威脅作預防,當中所採用的方法其實大同小異,例如針對 DDoS 便採用防火牆作防禦,而針對病毒則採用傳統的特徵碼作識別;至於針對性攻擊又或者是零日攻擊,很多時我們便會使用到 Sandbox 配合雲端把關。

要了解 Sandbox 與零日攻擊的關係,我們便要從傳統防禦機制說起。一直以來,最傳統的防毒軟件其實都會採用以下方法去偵測威脅,包括 1. 特徵碼掃描:通過抽取檔案中一段或數段代碼來進行掃描,並同時比對其威脅資料庫來判斷有關檔案是否為惡意程式;2. 比對校檢碼 MD5:通過比對原始檔案的校檢碼,假如發現檔案與原始檔案的校檢碼不相同時,便會將其識別為惡意軟件,常被應用於針對知名軟件的檔案偵測以及系統檔案偵測。

然而這些方法在應對現今愈來愈厲害的駭客攻擊及網絡威脅時,明顯會有不足之處!例如我們不能單靠特徵碼掃描來識別惡意軟件或病毒,這是因為病毒資料庫特徵碼往往需要一定的時間,例如數分鐘後才能釋出,而在現今網絡傳輸速度愈來愈快的互聯網世界,數分鐘的惡意軟件傳播便足以影響數以千萬計的電腦。

因此業界便開始構想:「如何能在發現新威脅到釋出特徵碼期間持續提供防護?」於是類似 Sandbox 技術的概念便被提倡。Sandbox 原意是希望打造出一個隔離的環境,從而讓測試人員對未知的檔案進行測試,以收集有關檔案在執行後的行為,從而用來判斷該檔案是否為惡意軟件!

而現代的防禦方案便正正採用上 Sandbox 功能來針對未知的威脅進行偵測。就以 WatchGuard 為例,她們將 Sandbox 功能以 APT Blocker 的方式為用户提供。所謂的 APT Blocker 其實就是 Cloud Sandbox!通過 Cloud Sandbox 來模擬真實環境,從中對可疑的檔案進行測試,最終收集檔案執行後的行為而判斷有關檔案是否為病毒或惡意程式。

可能你會說,傳統基於特徵碼的判斷是否已沒有作用?當然不是呢!為了令防禦工作更有效率,防禦方案一般會先針對檔案的代碼進行比對,亦即是最傳統的特徵碼比對;然後再通過雲端 Sandbox,在雲端上的模擬環境執行檔案,如發現檔案有問題的話,便會即時封鎖,反之則會放行。

而為了加強偵測的準確性,在 Sandbox 之中都會盡量打造出一個與真實系統無異的環境,就以 WatchGuard 的防禦方案為例,它除了會模擬不同系統環境之外,就連實體 CPU 以及記憶體等等都會作出模擬,以令測試更準確!

可以說,沒有未知威脅,便沒有 Sandbox!當大家了解過後,便會知道 Sandbox 與零日攻擊(未知威脅)的關係真是密不可分!儘管 Sandbox 幾乎是防禦方案必須具備的功能之一,然而一些便宜的防禦方案有可能仍未能提供 Sandbox 功能,因此大家在採購防禦方案時,便需要多加留意了!

 

Tags: , , , , , , , , , , , , ,

 

About the author

More posts by

 

 

 

Add a comment

You must be logged in to post a comment.