网络安全顶级“杀手”FireEye:“技术+战术”布局中国市场

国内新闻 阅读(1860)

  雷锋网2天前我要分享

  在网络丛林里,总有人戴着黑色的帽子,也有人戴着白色的帽子,有人在“没关严的门里”盗取信息,有人在暗中观察中及时阻拦,他们在藏与躲、追与逃,在侦查与反侦查中一决高下。

  FireEye就是后者,在网络丛林里扮演着隐形的王者“杀手”。

  很多人在谈到FireEye,都会想到APT攻击和0day漏洞利用,因为在常规的网络安全防护中,这两个攻击是很难防御的。对于FireEye而言,正是凭借这两个关键点声名大噪。

  FireEye为国内熟知,大多数人都是因为APT-1报告。时隔15年后的今天,FireEye进入中国市场,又将续写哪些新篇章呢?为此雷锋网编辑与FireEye两位大咖,CTO Grady Summers和大中华区负责人徐海国聊了聊。

  i1.go2yd.comimage.php?url=0MhSiUi3C3图左为FireEye大中华区负责人徐海国,图右为FireEye CTO Grady Summers

  FireEye与APT的“前世今生”

  FireEye于2004年在美国成立, 随着APT越发猖獗,FireEye逐步走进大众视野,Grady Summers经历了早期的APT年代。

  那时恶意软件猖獗,最初有50%左右是针对一个特定公司去展开,因而比较容易判断,当发现一种恶意软件,结果可能是一种黑客,而另一种恶意软件背后则是另一种黑客。如此一对一的关系相比于现在是比较容易判断的。

  “经过几年时间,我们发现现在很多攻击不是针对一个公司,而是会有一些工具包上传到暗网上面,也就是说任何一个黑客都可以去下载,然后应用到攻击里去,所以现在判断黑客的情况就变得更加复杂。”

  每一个APT组织都有不同的形态和不同的攻击特性,Grady Summers洞见出APT未来的发展方向和趋势。

  一方面,黑客将会通过购买网上现成的打包数据码,去攻击那些已经被攻击过存在弱点的电脑,节省很多时间;另一方面,将会有更多针对核心基础设施的攻击,比如说IOT之类的攻击,针对工业控制器进行攻击,这些攻击需要对行业有非常详细精准的了解。

  在提到关于“为什么这些黑客会购买已经被攻击的一些电脑的资料”时,徐海国对此进行了详尽补充。

  “从FireEye角度,我们每天都会告诉客户,黑客虽然攻击你的电脑,但是不代表他们可以马上可以拿走想要的东西,他们要需要时间去找寻他们需要的东西,以及哪一个人有这个权限。即便他们购买了打包数据码,也还是需要花时间去做这些事情的,因为每个人想要的东西是不一样的,这整个过程很费时间。所以,未来的趋势就是黑客会将第一步骤直接省掉,购买打包数据码以后直接进行下一步操作。”

  FireEye技术的升级与突破

  伴随着APT攻击越来越强势,FireEye也由最早提出的APT-1报告发展到如今的APT-40,APT的概念也早已普及开来。面对新的技术环境,新的安全视角,这些年FireEye做出了哪些升级或者突破呢?Grady Summers为雷锋网进行了详细解答。

  Grady Summers回忆起APT-1时代,那时黑客会将截获的数据放在大家平时不太关注的垃圾站,后来他们发现黑客又盘踞在新的位置AppCompat Cache、Shim Cache,FireEye是第一家发现这两个位置的公司,并有针对性地采取技术措施,开展攻击对策。

  面对持续不断、各种各样新的攻击, FireEye开拓出了三种发现黑客的攻击手段。

  第一种方式是Malware Guard,每天通过机器学习可以分析大约100万个恶意软件,然后分析判断期间的“好”与“恶”,这种方式的识别率很高。

  第二种方式是Exploit Guard,通过对黑客行为的观察,对每种行为逐一打分,当分数达到某一界线时,便可区分是否是恶意行为。还有一种方式是基于AI的Smart Vision技术,通过观察黑客进入系统之后的活动路径来进行辨别。

  实际上,FireEye除了能够去监测攻击,当有黑客攻击进来后,还有一个预警系统,监测黑客的活动路径,徐海国称其为“横向移动”,这种技术可以监测到哪些东西被窃取。

  另外,还有一个Phish Vision技术,可以检测和识别出那些虚假的登录系统,因为当你登陆进一个假登录系统后,所有名单上的信息,比如密码、身份信息等都会被偷走,所以这一技术避免了在登录时的信息泄露。

  “但是有的时候有些厂商不愿意做这些监测,因为公司太大,流程很长,要做很多测试。所以很多新的问题就会出现,这时有人就会觉得做了这些会影响业务,不是每家公司每个人都可以做,他们会看时间,而这也有可能就是黑客发起攻击的时间。”徐海国分析。

  扩张路上的机遇与挑战

  一路走来,FireEye的技术在不断更新,但也面临一些困难。

  一方面,FireEye的核心在于MVX技术,而MVX技术出现的时间之久导致自身存在一些问题,这本身就是一种挑战;另一方面,很多公司也开始做沙箱,更多竞争对手的加入对于FireEye来说是莫大的压力。

  Grady Summers 告诉雷锋网,FireEye的MVX技术每个月都会推出新的探测技术,比如此前的FAUDE(FireEye Advanced URL Defense),专门利用机器学习的手段去探测有哪些URL是恶意的,还有Smart Vision,这些都是利用人工智能技术来实现的,这样的持续升级将保持MVX的“新鲜度”。

  再说沙箱技术,虽说很多公司也在做,但是FireEye起步早,早已有了一定的服务基础。目前,沙箱技术服务地缘已经逐渐覆盖至越南等地。但是Grady Summers表示,在这一过程中也出现了很多技术上的阻碍,而通过在全球各地的客户环境中部署Detection Engine来持续不断地监测最新的黑客攻击手段和攻击策略,我们得以进行更新以保护客户。

  “当我们看到一个黑客使用了以前我们没有见过的新技术时,我们就会把它融化到我们的系统去更新,这样就可以对抗新的攻击方法,这就好比猫捉老鼠的游戏。”

  为了能够更好地去识别黑客的手段,FireEye一直采取第一线的方式去监测黑客,也正是这样的方式,FireEye能够第一时间发现黑客、第一时间更新技术、第一时间采取措施去解决问题。

  无论是MVX技术,还是沙箱技术,对于FireEye来说既是机遇,更是挑战,关键在于如何规划和布局。

  转变战略方向,整合市场

  市场的变幻莫测,让Grady Summers看到了行业环境的变化之快,最重要的是他发现整个网络安全市场正趋于整合。于是,FireEye转变了战略方向。

  2014年,FireEye收购了一家专门针对网络攻击技术的公司Mandiant,在原有的“杀手锏”基础上进行了补充,尤其在安全应急响应、事件处理和咨询服务方面,Mandiant起到了有利的支撑作用。

  2016年年初,FireEye又将iSight收入囊中,强化了在威胁情报方面的能力。同年2月,FireEye再次出手,将安全整合与自动化提供商Invotas纳入自己的版图。

  除了通过向外界寻求机遇,FireEye还通过自身技术的融合,推动战略转型。将沙箱技术和IPS整合起来,比如在反病毒方面,FireEye推出四种不同的技术来取代以前的反病毒,再把这些技术整合起来,同时收集证据,最后把这些证据上传到云端。

  这实际上是对市场的一种回应,很多客户在购买一个功能模块之后,发现里面的产品太多,有些是不可以用的,所以FireEye开始专注产品解决一些综合性的安全危机。

  “我们叫behavior based,这是我们的强项,所以我们都会去看哪一些是真需要做的,比如说IPS,还有在终端的anti-virus上,我们最终会将最有效的方法和功能加进去,这样客户就不需要担心这两个功能的产品是否能放在一起。”

  目前安全市场上面的用户,很多人是不想买单独产品的,他们更喜欢整合起来购买。所以单独的IPS这一块,其实市场是没有那么好做的,FireEye策略也倾向于整合,这样的发展空间和竞争力会更加强悍一些。

  无论是对自身产品的整合,还是通过收购,将安全产品、情报威胁和时间响应元素统一到一个平台。这几波操作,对FireEye来说,都是对产品和服务的深入布局,是整体战略方向的重要转变。

  布局未来市场

  这几年云计算技术快速发展,使很多公司都看好了“云端”,并将自己的业务放在那里,很多人觉得将数据放在类似亚马逊这样的云端服务器上是安全的,但实际上并非如此。

  在谈及是否会在这两年比较热门的云计算、IA方面做相应的布局时,Grady Summers称FireEye 已经完成Helix这款云端产品,并在终端和网络方面也都有相关产品。

  关于AI,徐海国表示FireEye投入了很多资源做AI。他还强调,“除了做AI之外,做网络安全还有一个很重要的就是情报。如果光是用人工智能,所有事情都需要去学习,从环境里面去了解。所以资源会被限制在单一客户里面。此外,人工智能需要时间去培养,期间的实时性时问题难以解决。”

  也就是说,FireEye在做网络安全时,将AI与情报系统相结合,同时导入,提升效果。为了及时了解取得的效果,FireEye每年会协助超过600家被攻击了的公司进行调查,哪些技术起作用,哪些技术没有起作用。通过这样的反馈,可以及时发现新的对抗和新的攻击,及时处理并进行防范。

  面对未来, FireEye将视野放得更宽、更广,除了在技术方面布局外,还将深度挖掘市场潜力,尤其是中国市场。FireEye进驻中国其实已有3年时间,在徐海国看来这只是刚刚开始。目前FireEye在上海、北京、广州都有员工,在接下来的一年,FireEye将战略布局集中在东区、北区、南区等一些大型客户,其中包括制造业、电商、金融等领域。

  在海外,Grady Summers强调将会做一些不同平台的合作,无论是与亚马逊,还是微软,FireEye都在做着不同的事情。“但现阶段我们的品牌在国内还有很大的发展空间,我们要逐步挖掘适合的平台,并尽全力做下去。”在网络信息安全领域,FireEye始终不遗余力。

  雷锋网原创文章,未经授权禁止转载。详情见转载须知。

  收藏举报投诉

达到当天最大量

皇冠国际hg0088