《构建主动安全防护》

构建主动平安防护何兴伟 技术参谋joho_he@mcafeeMcAfee公司全球最大的纯平安公司全球技术、市场领先的平安厂商在纽约证交所上市前身是被评为“世界网络公司前十强〞的NetworkAssociatesInc.〔美国网络联盟〕2004年8月正式改名为McAfeeInc.McAfee在中国的分支机构——安网〔上海〕软件〔全资子公司〕3/15/20242.内容面临的威胁的变化传统的平安方法构建主动平安防护主动的平安管理总结3/15/20243.威胁统计Primary

InfectionVectorAdditional

PropagationVectors&Actions100%45%23%10%10%5%8%73%42%17%12%10%10%2%66Threats

RatedMedium

orHigher*(AVERT

01/03–10/04)90%

MassMailer

(EmailWorm)10%Vulnerability-

basedWormEmail RemoteAccessP2P TerminateProcessShareHopper DownloadRemoteFileCopy KeyLoggerExploit RegistryDeleteFileInfector DOSApplicationSpoof FileDeletionExploit RemoteAccessDownload DOS100%83%33%17%3/15/20244.从弱点到受到威胁的Timeline

RiskExposureforCriticalAssetsDiscoveryRemediation“Stopcountingattacksandstartmanagingvulnerabilities.〞JohnPescatore,GartnerVulnerabilityDiscoveredAutomatedExploitExploitPublicVulnerabilityAnnouncedThreat

ExposureAsvulnerabilities

becomeexploitedandmadepublictherisk

tocriticalassets

increases3/15/20245.从弱点到出现相应的蠕虫的时间变化©Foundstone,2004(representsautomatedwormsJanuary1999throughMay2004)MelissaSadmindSonicBugbearCodeRedNimdaSpidarSlammerSlapperBlasterWelchiaNachiWittySasser3/15/20246.威胁在变化和演变攻击比以前更快和更聪明攻击更省力，成功机率更高变化总是存在因果循环绕过现有的“平安标准〞平安威胁的不断变化3/15/20247.对抗威胁的传统平安方法防火墙无法阻挡利用系统弱点的攻击网络入侵只能报警，无法实施阻断；误报率高防病毒软件依赖于病毒特征码传统平安方法的最大薄弱环节：被动平安3/15/20248.防火墙无法阻挡利用系统弱点的攻击Apachemodule2.8.9

Fireware：OpenTCP：443Apachemod_sslOff-By-OneHTAccessBufferOverflow运行效劳器中的任何命令√3/15/20249.防病毒软件的“漏洞之窗〞3Months6Months0发现病毒3Hours6HoursTime3Days漏洞之窗发布补丁AVERT客户3/15/202410.McAfee主动平安防护ANTI-MalwareFIREWALLINTRUSION

PREVENTION由被动到主动由物理边界到虚拟边界由探测到实时防护McAfee主动防护——对抗新的威胁和将来的威胁PolicyEnforcer3/15/202411.下一代技术

不需要病毒签名情况下提供前瞻性威胁防护访问防护策略缓冲区溢出防护使用规那么进行端口阻断使用传统防病毒产品的响应式防护使用VirusScanEnterprise8.0i进行前瞻性防护提供Zero-day防护！3/15/202412.从入侵探测到入侵防护Inline模式，实时阻断攻击(droppingattacks)技术先进采用专用ASIC技术的硬件设计深层封包检测混和型检测技术灵活的策略配置IPS系统也可以用作IDS3/15/202413.阻止Zero-Day攻击数据隐私保护实时阻止攻击访问授权控制保护关键应用主机入侵防护SystemCall、RPC调用、API调用拦截综合保护应用、数据和系统主动、自动和继承的策略强制3/15/202414.学校网络主动防护阻止Exploits和Vulnerability-basedWormsWindows

PCWindows中存在的平安弱点被利用“ACrackintheWindow〞SalesForceCustomersExploit导致系统崩溃4Exploit利用Windows弱点写入系统1eStoreeServerInternetInternetSystem

File感染文件2…写入内存3Memory传播、远程操作例如：非授权下载

安装后门5NIPSorHIPS可以block,prevent&reducetheseexploitsRemote

WorkersInternet3/15/202415.主动平安技术McAfeeSolutionsBlockedorContained100PercentatDayZero(Pre-exploit)BlockedDay1ContainedContainedNetskyBlockedBlockedSasserBlockedDay1ContainedMyDoomBlockedBlockedZotob攻击McAfeeIntruShieldMcAfeeEnterceptMcAfeeVirusScanEnterpriseContainedBlockedBlocked出色的阻挡能力3/15/202416.主动平安管理

——McAfeePolicyEnforcer策略强制1.定义

定义系统compliancepolicies3/15/202417.1.定义

定义系统compliancepolicies主动平安管理

——McAfeePolicyEnforcer策略强制2.探测

当计算机连接到网络3/15/202418.3.评估

实时评估compliance-McAfee和第三方平安应用微软补丁Highriskinfections&more1.定义

定义系统compliancepolicies2.探测

当计算机连接到网络主动平安管理

——McAfeePolicyEnforcer策略强制3/15/202419.4.强制

Non-compliant系统被阻挡或隔离到VLAN3.评估

实时评估compliance-McAfee和第三方平安应用微软补丁Highriskinfections&more1.定义

定义系统compliancepolicies2.探测

当计算机连接到网络主动平安管理——McAfeePolicyEnforcer策略强制3/15/202420.5.补救

Non-compliant系统被重订向到补救portal主动平安管理

——McAfeePolicyEnforcer策略强制3.评估

实时评估compliance-McAfee和第三方平安应用微软补丁Highriskinfections&more1.定义

定义系统compliancepolicies2.探测

当计算机连接到网络4.强制

Non-compliant系统被阻挡或隔离到VLAN3/15/202421.主动平安管理PolicyEnforcerScannerPolicyEnforcerSensor241ePOPolicyServerRemoteScanDHCPResponseDefinesystem

compliancepolicies定义1PolicyEnforcerScannerremotelyscansforcompliance评估33PolicyEnforcerSensordetectswhensystemsconnecttothenetwork(Broadcasts,ARP,DHCP)探测2Non-compliantsystemsareredirectedtoQuarantineVLAN强制4