本文來自微信公眾號“安全牛”。
EDR（端點威脅檢測和響應）和XDR（擴展威脅檢測和響應）解決方案在幫助企業(yè)識別和減輕網絡攻擊威脅方面發(fā)揮了重要作用。然而，Lumu公司最新發(fā)布的《2023勒索軟件調查報告》數(shù)據顯示，由于EDR/XDR措施被突破而造成的數(shù)據泄露數(shù)量正在持續(xù)上升。攻擊者為何能夠屢屢得手？
一直以來，針對惡意軟件的檢測與繞過都是一場防守者和攻擊者之間的軍備競賽，不斷有新的技術被應用到博弈之中。研究人員發(fā)現(xiàn)，目前的攻擊者正在大量使用檢測規(guī)避、漏洞利用和禁用監(jiān)控等方式來繞過EDR/XDR工具，以實施惡意攻擊。在本文中，將探討組織如何結合安全應對策略與服務，進一步加強EDR/XDR工具的可靠性，并確保網絡安全防護措施能夠繼續(xù)發(fā)揮出作用。
研究人員發(fā)現(xiàn)，目前攻擊者用于繞過EDR/XDR防護措施的主要方法包括：
1、CPL和DLL側加載
CPL文件起初是為了在Windows操作系統(tǒng)上快速訪問控制面板中的工具而創(chuàng)建的，現(xiàn)在已經成為不法分子隱藏惡意軟件的首選路徑之一。而動態(tài)鏈接庫（DLL）側加載技術讓攻擊者能夠誘騙應用程序加載偽造的DLL文件，而不是真實的DLL文件，從而實現(xiàn)了跨多個程序同時共享數(shù)據。
為了進行DLL側加載攻擊，攻擊者會利用微軟應用程序的DLL搜索順序來誘騙Windows應用程序加載有害的DLL文件。通過將合法DLL換成惡意DLL使應用程序加載它，攻擊者的代碼就可以感染整個目標系統(tǒng)。
2、惡意代碼注入
攻擊者會使用代碼注入將惡意代碼嵌入到合法的應用程序或進程中，從而逃避EDR或EPP系統(tǒng)的檢測。通過在另一個活動進程的地址空間中執(zhí)行任意代碼，惡意代碼可以隱藏在合法進程的后面，因而更難被識別出來。
研究人員發(fā)現(xiàn)，目前有一種流行的代碼注入技術是進程鏤空（process hollowing），即攻擊者使用Windows API的CreateProcess()函數(shù)創(chuàng)建一個處于掛起狀態(tài)的新進程。然后，該進程通過使用相關API函數(shù)，從新進程的地址空間中刪除合法二進制代碼的內存頁，從而使新進程中留下空白的地址空間。
3、用戶域API攔截
API攔截也是目前被攻擊者經常使用的檢測繞過技術，可用于監(jiān)視進程執(zhí)行和檢測更改。“攔截”實際上是截獲應用程序之間API調用的行為，這原本是專為開發(fā)人員提供的合規(guī)幫助工具，但是也為網絡攻擊者非法攔截應用程序提供便利，它們正在使用這種技術攔截合法API調用，并操縱它們來達到檢測繞過的目的。用戶域API攔截就是攻擊者大量采用的一種方法，用來攔截應用程序對用戶空間內的系統(tǒng)庫或API的函數(shù)調用。通過將函數(shù)調用重定向到它們各自的代碼，攻擊者可以操縱合法應用程序實現(xiàn)其不良意圖。
4、沙箱逃逸
在新一代XDR方案中的一個常見功能就是沙箱，可以在特征碼檢測基礎上，從安全虛擬環(huán)境中觸發(fā)未知惡意軟件，這對防御者而言非常有用。但這種防護措施也會被攻擊者繞開，他們會將惡意軟件中添加激活惡意行為的條件，比如增加與受害者的互動，檢測自身的運行環(huán)境，又或者設置特定的觸發(fā)時間等。
5、ChatGPT工具
研究人員發(fā)現(xiàn)，惡意人員會通過多形態(tài)鍵盤記錄器BlackMamba等工具，在沒有人為控制的情況下自動篡改代碼，這套工具的設計原則是基于一套自動化開發(fā)代碼規(guī)則，將C2基礎設施替換成復雜的自動化惡意代碼，然后將相關數(shù)據傳輸給攻擊者。隨著ChatGPT等工具的不斷完善，開發(fā)者也開始利用這些智能工具來創(chuàng)建能夠生成惡意軟件變體的代碼。這意味著傳統(tǒng)BlackMamba工具可以自動生成多個變體的惡意軟件代碼，不斷篡改自身的代碼結構和特征，以逃避EDR/XDR（終端檢測與響應）系統(tǒng)所采用的檢測算法。這樣使BlackMamba在被檢測和阻止之前能夠保持更大程度的隱蔽性和可逃避性。
針對以上安全防護挑戰(zhàn)，增強EDR/XDR系統(tǒng)的應用可靠性，研究人員給企業(yè)組織提出以下可參考建議：
●積極利用威脅情報
研究發(fā)現(xiàn)，整合最新的威脅內容和情報將使得EDR/XDR系統(tǒng)變得更加可靠。企業(yè)組織應該積極利用威脅情報內容，并定期分析新興趨勢，及時了解不斷變化的威脅態(tài)勢。這有助于主動識別新的惡意軟件變體和攻擊手法，確保及時檢測發(fā)現(xiàn)和響應。此外，加強與針對特定行業(yè)的信息共享平臺合作，可以為企業(yè)提供更有效的信息，有助于了解最新的攻擊技術和攻陷指標。
●構建縱深防御體系
由于EDR/XDR檢測繞過難以避免，因此企業(yè)需要協(xié)同其他安全工具來防止未授權訪問。在網絡安全領域中，縱深防御代表著一種更加系統(tǒng)、積極的防護戰(zhàn)略，它要求合理利用各種安全技術的能力和特點，構建形成多方式、多層次、功能互補的安全防護能力體系，以滿足企業(yè)安全工作中對縱深性、均衡性、抗易損性的多種要求。目前，縱深防御已經成為現(xiàn)代企業(yè)網絡安全建設中的基本性原則之一，包括了部署網絡分段、防火墻規(guī)則、入侵防御系統(tǒng)和反惡意軟件解決方案。
●完善事件響應計劃
對于現(xiàn)代企業(yè)組織來說，必須時刻準備好應對突發(fā)的網絡安全事件。在嚴重安全事件發(fā)生時，需要能夠第一時間制定應急處置方案，充分調動內外部團隊資源，并讓所有成員明確自己的任務。因此，提前制定專門針對網絡威脅事件的全面事件響應計劃至關重要。這包括用于隔離受感染系統(tǒng)、遏制傳播以及從安全備份恢復關鍵數(shù)據的預定義步驟。企業(yè)還應該主動測試響應計劃的有效性，通過反復的練習，不斷優(yōu)化改進安全事件響應計劃。
●增強網絡安全彈性
不斷發(fā)生的勒索攻擊和供應鏈攻擊都證明了，在網絡安全世界中，彈性比以往任何時候更加重要。雖然部署EDR/XDR等防御能力仍然不可或缺，但這還遠遠不夠。面對當今包羅萬象、不斷演變的威脅場景，需要將網絡風險防護策略深入到整個組織，同時還要提升敏捷性。要想增強網絡安全彈性，不僅僅是網絡安全團隊的事情，而是關乎整個企業(yè)的事情。要實現(xiàn)這一目標，就需要整個組織的網絡安全知識、技能和意識得到持續(xù)提升。
