安全研究人员matthew weeks最近加入了美国空军,他也谈论了对显然利用攻击工具闯入网络的黑客要不要还以颜色的问题,承认执法部门可能会认为大多数予以还击的想法是违法的。

在会上备受关注的一个想法是,有人提出利用攻击工具和僵尸网络存在的漏洞,设法确定攻击者在找什么目标下手或者设法提供虚假数据,或者甚至是潜入攻击者的网络大本营。

怀疑遭遇了网络窃贼?

这是个颇有争议的想法,执法部门对于网络攻击通常表示不满;但是近日在美国首都华盛顿举办的黑帽大会上,几位发言人探讨了这个话题:敌人显然在利用攻击工具闯入企业网络,恶意破坏企业数据安全,那么企业要不要予以还击?如何还击?

•不要匆忙清除电脑,并重新制作镜像,因为你可能毁掉了取证分析所需要的证据。

虽然以暴治暴也许能够遏制网络攻击威胁,但黑帽大会上的几位发言人表示,数据窃贼还是在轻而易举地潜入企业网络——在有些情况下,只要诱骗某个被盯上的受害者打开一封网络钓鱼电子邮件这么简单。据安全公司mandiant声称,数据窃贼通过这个途径趁机而入,收集最有价值的信息;他们往往在几个月、甚至几年内有条不紊地着手这种攻击;所以想要将他们逮个现行,关键得有耐心。http://www.upzxt.com

•调查工作需要侧重于查找证据,比如攻击者经常在使用rar文件这种数据容器,将大量数据发送出去之前用来存储数据的集结区。

链接:安全注意事项

虽然进行反击的想法仍然有争议,特别是由于可能会造成“意想不到的后果”,但weeks特别指出,作为安全研究人员,他自己倾向于研究如何运用像“tarpiu盘装系统ts”这样的对策:一旦攻击者相互联系,这种对策会让他们进入死循环。

weeks表示,这样有可能“将攻击中的一些资源搁置起来”;监测黑客在搞什么名堂是明智之举。现在还很少有证据表明,公司企业或文职政府机构在试图采用这些方式,以其人之矛攻其人之盾,对付攻击者;但是世界上几个国家(包括美国)的军事部门正在增强网络军事力量,致力于支援报复性打击能力。而谁也没有否认发生在网络空间的间谍行为。

漫长的较量

•不要让你的网络仍然是“扁平的”——添加虚拟局域网之类的隔离环境会有所帮助。

•要明白攻击者可能潜伏了好几个月,甚至潜伏了好几年;你的目的是要立即遏制对方。

•由于大多数针对性攻击是从针对员工的网络钓鱼电子邮件入手的,所以要加强安全教育和技术措施。

他在会上继续深入地探讨了开源metasploit存在的一些漏洞。他还表示,同样可以用于攻击的其他工具也存在漏洞,比如nessus或者wireshark协议分析工具。

tehtri-security是一家总部设在法国的道德黑客行为和漏洞研究公司,该公司创办人兼首席执行官laurent oudot在黑帽大会上发言时表示,要是结果查明攻击者已接管了企业系统,你自然而然想要“予以还击”,查清楚攻击者在搞什么名堂,采用的手段有可能是找到对方所用的攻击工具存在的漏洞,然后植下你自己的后门,悄悄监视攻击者。

下面是安全公司mandiant在安全注意事项方面给出的几个要点。

dlp主要是用来“防止用户意外向外发送文件,”coyne说。“它不是为了应对针对性攻击而设计的。”kazanciyan表达了类怎么样用u盘装系统似的观点。如果企业怀疑有数据窃贼在搞鬼,要做的头一件事就是“不要恐慌,”coyne说。要是轻率地对网络进行改动,只会让攻击者起疑心,从而改变攻击手法。这是基于风险的决定;但暂时可能需要作出决定,监视被窃取的数据,不管这个过程有多痛苦,同时另一头悄悄地搜寻,查清楚攻击者在企业网络里面所做的手脚。

但是作为开源版metasploit的开发者之一(这个工具用来测试和探测网络漏洞,既可以用在正道上,也可以用在歪道上),weeks表示,诸如此类的工具存在自己的漏洞,就像任何一种软件一样,攻击者可能没有注意到要给自己的攻击工具打上补丁。

•不要恐慌,因为那样攻击者会知道你盯上了他们,他们就会改变攻击手法。

执法部门对于网络攻击表示不满,但出席黑帽大会的几位发言人主张利用攻击工具和僵尸网络存在的漏洞,对攻击者予以还击。报复性攻击应该成为大企业it部门用来对付网络攻击的另一种安全工具吗?

oudot说:“我们想要奋力还击。我们想要钻对方网络的空子。”你需要与攻击者有关的统计数字和日志,有可能借助这个想法:攻击zeus或spyeye,甚至攻击由某个国家在背后资助的攻击者。oudot特别指出,要找到便于破坏攻击工具的零日漏洞并不是很复杂。他公司在识别漏洞方面有着丰富的经验,包括与移动设备有关的几个漏洞。他表示,还击像eleonore这样的攻击工具包,或者有意将虚假信息提供给攻击者,其实相当简单。他说:“你能奋力还击。你的敌人又不是什么道德黑客。”