转载

如何拿下那些并未使用恶意软件攻击的网络罪犯

【51CTO.com快译】很多技艺高超的黑客会选择绕过恶意软件，而使用其它常规管理工具。为了检测出这类隐藏极深的犯罪分子，我们需要对网络中的异常活动进行全面监控。

如今网络犯罪领域已经在实施模式方面出现了巨大转变。在各类规模最大且复杂程度最高的攻击活动中，恶意软件已经较少被用到。

相反，恶意入侵者们更倾向于使用内置于各类操作系统当中的合法工具来实现自己的邪恶意图。这些合法工具，包括远程管理工具以及脚本引擎，相较于用途单一的恶意软件往往更难被我们检测到。

但这绝不算什么新鲜事物。早在计算技术发展的早期阶段，合法工具就已经成为实现黑客活动的常见手段。计算机病毒与木马程序直到上世纪八十年代末才开始出现，而在此之前，它们更多只是一种令人讨厌的事物——还算不上真正的安全威胁。

而即使是在恶意软件的全盛时期，此类代码以及其它恶意工具也主要被用于突破防御体系，例如窃取登录凭证、猜测密码内容、破解密码哈希值或者安装后门及远程访问程序等。一旦恶意人士进入到内部环境，他们通常会立刻转而使用常规管理工具，例如远程桌面，来实现自身在不同计算机之间的往来迁移。

时至今日，管理员及其安全软件储备已经非常强大，足以检测出各类恶意程序。没错。杀毒软件在应对全新恶意代码时几乎毫无作用——但别急，只要稍过一段时间，它们就能够揪出这些常见攻击工具了。另外，防御者们也已经成功利用应用程序控制(例如白名单)程序来防止计算设备被安装上未经验证的软件。

更为隐蔽的攻击手段

攻击者们已经意识到，他们完全可以利用各类合法工具及脚本命令来实现恶意活动，而不再需要大量恶意软件作为辅助。

在多数情况下，“恶意软件”的表现其实并不可怕，往往只是利用合法远程管理工具向家中拨打电话以申请登录。举例来说，大家能够找到完整的PowerShell攻击工具包，而网络犯罪组织在使用这类资源方面显然极有心得。

就目前来讲，大多数攻击者已经能够在不涉及恶意工具的前提下完成其需要实现的每项任务。他们熟知那些少为人知、鲜有使用但却极为强大的程序。他们了解该工具的每一项功能以及每一条语法命令行参数，这能够让他们得以悄无声息地加以运用。总而言之，很多技术人员甚至应该直接把工资卡交给这帮坏蛋：因为他们的管理工具使用水平要比大多数管理员更加出色。

检测恶意行为

当恶意人士使用的完全属于合法工具时，大家该如何检测出这类恶意活动?答案是追踪异常行为。

简单来讲，异常行为是指那些超出正常范围或者预期区间的行为。这显然带来了新的问题，也就是我们必须首先了解正常范围在哪里;而制定这类基准可能是防御工作当中难度最高的部分。

首先我们应当着重保护企业当中最为重要的资源以及与此类资源相连通的连接。收集来自较长时间周期的行为基准——至少应该为几周，最好能达到几个月。而后通过定义阈值来表示需要进行调查的可疑活动。

有时候阈值可以被设定为1——这代表着出现一次即代表可疑。最典型的例子就是某位域管理员接入到了某台特定服务器，而事实上其应该永远只接入到域控制器。再举两个例子：使用了公司几乎从不使用的远程连接方法或者运行了某个极少被使用的合法可执行文件。

而在更多情况下，警报会在“特定阈值”被超出时触发。这方面的典型例子就是大量错误的密码输入尝试。在企业当中每天都会有用户输入错误的密码以及PIN码内容——在某些企业中，这类情况每天甚至会出现成千上万次，但这些都属于合法状况。要解决这个问题，技巧在于找出哪个时间段内集中出现了大量错误的密码输入尝试，且其频度超过了正常情况。一般来讲，我们可以为高权限账户或者关键性资产设定较少的尝试次数阈值。

总体来讲，异常行为应当被定义为由不明原因引起的状况或者变化，具体包括：

◆位置

◆事件

◆时间

◆时长

◆来源

◆模式

我已经列举了以上这些例子，但大家也可以把以下异常状况添加到自己的清单当中：

◆来自用户账户及计算机的、正常来讲不应存在的未认证连接。

◆不合常理的活动时间(例如在对应员工已经下班回家且不可能进行远程登录的时段，利用其账户进行输入或者执行不合常理的操作)。

◆在多个不同位置利用同一账户进行多次连接。

◆不合常理的发起位置或者目标位置。