Firehunter APT沙箱安全技术方案
沙箱安全解决方案研华
研华科技安全沙箱项目Fortinet APT解决方案2015 年 11 月目录一、 APT高级连续性威迫介绍 .....................................错误 ! 不决义书签。
二、 Fortinet ATP 防守 ..........................................错误 ! 不决义书签。
三、怎样进行APT攻击防守 ......................................错误 ! 不决义书签。
APT 歹意代码分类 ..............................................错误 ! 不决义书签。
沙箱简介 .....................................................错误 ! 不决义书签。
沙箱挑战 .....................................................错误 ! 不决义书签。
四、 Fortinet针对研华 APT解决方案 ..............................错误 ! 不决义书签。
部署方式 ......................................................错误 ! 不决义书签。
FortiSandbox简介 .............................................错误 ! 不决义书签。
FortiSandbox解决常有沙箱的技术难题...........................错误 ! 不决义书签。
FortiGuard学习 . ..............................................错误 ! 不决义书签。
五、 Fortinet优势 ..............................................错误 ! 不决义书签。
华为FireHunter6000沙箱中文简版彩页-V1R7
华为FireHunter6000系列沙箱产品产品概述高级持续性威胁（APT）常常以钓鱼邮件方式入侵低防御意识人群，以物联设备漏洞为切入点，潜伏到企业高价值数据资产区域，在传统防御手段未检测感知以前，窃取或破坏目标。
APT攻击通常主要攻击涉及国计民生的基础设施，例如金融、能源、政府等，攻击的实施者会经过大量精心的准备和等待，利用0-Day漏洞、高级逃逸技术等多种技术组合成未知威胁恶意软件，它们可以绕过现有的基于特征检测的安全设备，非常难以防御。
华为FireHunter6000系列沙箱产品是华为公司推出的新一代高性能APT威胁检测系统，可以精确识别未知恶意文件渗透和C&C（命令与控制，Command & Control，简称C&C）恶意外联。
通过直接还原网络流量并提取文件或依靠下一代防火墙提取的文件，在虚拟的环境内进行分析，实现对未知恶意文件的检测。
凭借华为独有的ADE高级威胁检测引擎，华为FireHunter6000系列沙箱产品与下一代防火墙配合，对“灰度”流量实时检测、阻断和报告呈现，有效避免未知威胁攻击的迅速扩散和企业核心信息资产损失，特别适用于金融、政府机要部门、能源、高科技等关键用户。
产品特点50+文件类型检测，全面识别未知恶意软件●全面的流量还原检测：具备业内领先的流量还原能力，可以识别主流的文件传输协议如HTTP、SMTP、POP3、IMAP、FTP、SMB等，从而确保识别通过这些协议传输的恶意文件●支持主流文件类型检测：支持对主流的应用软件及文档进行恶意代码检测，包括支持PE、PDF、Web、Office、图像、脚本、SWF、COM等50+类型文件的检测4重纵深检测，准确性达99.5%以上●模拟多种软件运行环境和操作系统：模拟操作系统和多种软件运行环境：提供PE、PDF、Web启发式沙箱和虚拟执行环境沙箱。
虚拟执行环境支持多种Windows操作系统、浏览器及办公软件●动静结合检测：通过静态分析，包括代码片段分析、文件格式异常、脚本恶意行为分析等，来缩小可疑流量范围；通过指令流监控，识别文件、服务操作，来进行动态分析，最后通过行为关联分析，判断定性●高级抗逃逸：多种抗逃逸技术，防止恶意软件潜伏、躲避虚拟机检测秒级联动响应，快速拦截未知恶意软件●业内一流的性能：提供业内一流的沙箱分析能力，同时支持通过横向扩容方式组成沙箱分析集群。
华为企业网络安全产品全家福
NIP6510E
• 固定接口：16GE+8Combo+2WAN+
2*10GE SFP+ • 1U机架式 • 赠送1年知识库升级
NIP6550E
• 固定接口：2*40GE(QSFP+)+12*10GE
(SFP+)+12GE • 1U机架式 • 赠送1年知识库升级
NIP6610E
• 固定接口：4*40GE(QSFP+)+28*10GE
USG6630E
• 固定接口：2*40G(QSFP+)+ 12*10GE(SFP+)+12*GE
• 1U • 标配交流/直流冗余电源
USG6650E
• 固定接口：2*40G(QSFP+)+ 12*10GE(SFP+)+12*GE
• 1U • 标配冗余电源
USG6680E
• 固定接口：4*40GE(QSFP+)+ 28*10GE(SFP+)+2*10GE(SFP+) HA
• 1U • 选配冗余电源
USG6560E
• 固定接口：2*10GE(SFP+)+ 8*GE Combo+16*GE+2 GE WAN
• 1U • 选配冗余电源
USG6580E
• 固定接口：2*10GE(SFP+)+ 8*GE Combo+16*GE+2 GE WAN
• 1U • 选配冗余电源
• 创“芯”：全新自研安全芯片，内置加速引擎，处理性能提升至业界2倍 • 智能：基于AI技术的高级威胁检测，联动云端，威胁检测准确率大于99% • 融合：采用虚拟化架构，多业务融合，灵活集成第三方检测能力，降低Capex80%
APT攻击防护方案
APT攻击防护方案：构建堡垒网络升级安全防护随着信息技术的高速发展，人类的生活跟网络紧密地联系在了一块儿。
在电子商务，网络支付极其发展的今天，各种安全问题也随之而来。
网络安全，已成为当今世界越来越关心的话题之一。
近年来，APT 高级持续性威胁便成为信息安全圈子人人皆知的"时髦名词".对于像Google、Facebook、Twitter、Comodo 等深受其害的公司而言，APT无疑是一场噩梦。
于是，引发了行业以及安全从业者对现有安全防御体系的深入思考。
在APT攻击中，攻击者会花几个月甚至更长的时间对"目标"网络进行踩点，针对性地进行信息收集，目标网络环境探测，线上服务器分布情况，应用程序的弱点分析，了解业务状况，员工信息等等。
当攻击者收集到足够的信息时，就会对目标网络发起攻击，我们需要了解的是，这种攻击具有明确的目的性与针对性。
发起攻击前，攻击者通常会精心设计攻击计划，与此同时，攻击者会根据收集到的信息对目标网络进行深入的分析与研究，所以，这种攻击的成功率很高。
当然，它的危害也不言而喻。
要预防这种新型的，攻击手法极其灵活的网络攻击，首先，应该对这种攻击进行深入的探讨、研究，分析APT攻击可能会发生的网络环节或者业务环节等；其次要对我们自己的网络进行深入的分析，了解网络环境中存在的安全隐患，从而具有针对性地进行防护。
下图是个比较典型的网络拓扑简图：（图一）参照这个网络拓扑，结合近几年发生的APT攻击，我们来分析下APT攻击。
1）2010年，Google被攻击事件：攻击者收集了Google员工的信息，伪造了一封带有恶意链接的邮件，以信任人的身份发给了Google 员工，致使该员工的浏览器被溢出，接着，攻击者获取了该员工主机的权限，并持续监听该员工与Google 服务器建立的连接，最终导致服务器沦陷。
前不久发生的Facebook被攻击事件，与这个极为相似。
2）2011年美国《华尔街日报》报道的一个安全事件：攻击者通过SQL注入漏洞，入侵了外网边缘的WEB服务器，然后以WEB服务器为跳板，对内外进行嗅探、扫描，进而入侵了内外AD服务器。
应对APT攻击的最新技术
应对APT攻击的最新技术2013-11-08网络安全，尤其是Internet互联网安全正在面临前所未有的挑战，这主要就是来自于有组织、有特定目标、持续时间极长的新型攻击和威胁，国际上有的称之为APT(Advanced Persistent Threat，高级持续性威胁)攻击，或者称之为“针对特定目标的攻击”。
这些攻击统称为新型威胁。
一般认为，APT攻击就是一类特定的攻击，为了获取某个组织甚至是国家的重要信息，有针对性地进行的一系列攻击行为的整个过程。
APT攻击利用了多种攻击手段，包括各种最先进的手段和社会工程学方法，一步一步的获取进入组织内部的权限。
APT往往利用组织内部的人员作为攻击跳板。
有时候，攻击者会针对被攻击对象编写专门的攻击程序，而非使用一些通用的攻击代码。
此外，APT 攻击具有持续性，甚至长达数年。
这种持续体现在攻击者不断尝试各种攻击手段，以及在渗透到网络内部后长期蛰伏，不断收集各种信息，直到收集到重要情报。
对于这些单位而言，尽管已经部署了相对完备的纵深安全防御体系，可能既包括针对某个安全威胁的安全设备，也包括了将各种单一安全设备整合起来的管理平台，而防御体系也可能已经涵盖了事前、事中和事后等各个阶段。
但是，这样的防御体系仍然难以有效防止来自互联网的入侵和攻击，以及信息窃取等新型威胁。
一．新型威胁的综合分析APT攻击主要呈现以下技术特点：1、攻击者的诱骗手段往往采用恶意网站，用钓鱼的方式诱使目标上钩。
而企业和组织目前的安全防御体系中对于恶意网站的识别能力还不够，缺乏权威、全面的恶意网址库，对于内部员工访问恶意网站的行为无法及时发现;2、攻击者也经常采用恶意邮件的方式攻击受害者，并且这些邮件都被包装成合法的发件人。
而企业和组织现有的邮件过滤系统大部分就是基于垃圾邮件地址库的，显然，这些合法邮件不在其列。
再者，邮件附件中隐含的恶意代码往往都是0day漏洞，传统的邮件内容分析也难以奏效;3、还有一些攻击是直接通过对目标公网网站的SQL注入方式实现的。
华为典型安全场景解决方案
前端系统
1 命令配置到ASG
2 同步场所信息、设备信息
后台系统（公安）
ASG
4 信息同步
Agile Controller
3 信息同步
WLAN AC
6 FTP+BCP方式上传审计数据（用户上网日志、用户网络虚拟身份轨迹）
5 FTP+BCP方式上传审计数据（用户终端上下线日志）
XX地市业务中心 （公共无线管控平台）
支持安全+Wlan+LTE款型小型分支多合一安全网关部署
价值
保障IPSec隧道质量，减少网络稳定性对业务流量造成的影响 确保分支和总部之间始终使用满足高质量的IPSec隧道通信 在IPSec足够稳定安全的情况下，可减少偏远地区对专线租用的依赖。
分支无线非经方案
场所信息、设备信息、 安全厂商信息
方案优势：
➢ 可对接24+以上公安网监平台 ➢ 用户上下线的日志通过ASG来发送给后台系统，AC只需把用户上下线的信息同步到ASG，无需和后台系
统对接
数据中心安全解决方案
Internet
FireHunter USG NIP
USG
WAF
DDoS 管理中心 USG
NIP
eLog
eSight
USG
管理中心 堡垒机
USG
USG
USG
… 非核心业务区 核心业务区 WEB服务 应用服务器 器
数据 灾ቤተ መጻሕፍቲ ባይዱ区
方案说明
在互联网出口，双机部署USG 防火墙对数据中 心进行隔离防护，同时部署NIP入侵防御设备， 阻断外界对数据中心的应用层攻击,旁路部署 FireHunter沙箱对未知威胁进行检测。
在数据中心的管理区，部署USG或NIP设备，阻 断各层面对管理区的威胁，部署UMA堡垒机对 运维行为进行监控和审计；
安全沙箱技术在隔离环境中运行可疑程序,分析其行为和威胁
安全沙箱技术在隔离环境中运行可疑程序，分析其行为和威胁安全沙箱技术是一种用于隔离环境中运行可疑程序的安全措施。
它能够提供一种虚拟环境，以便分析可疑程序的行为，并在不影响主系统的情况下识别和应对潜在的威胁。
使用安全沙箱技术可以将可疑程序隔离在一个受控的环境中，该环境与主系统完全隔离，通过限制其对真实资源的访问权限，以确保主系统不受到任何潜在安全风险的威胁。
在沙箱环境中，可疑程序被限制在一个受控的虚拟环境中运行，从而保护主系统的完整性和稳定性。
安全沙箱技术能够分析可疑程序的行为，以便及时识别和应对潜在的威胁。
它可以监视程序的系统调用、文件操作、网络通信和注册表访问等行为。
通过对这些行为的分析，安全沙箱可以识别出任何可疑或恶意行为，并及时采取相应的措施。
安全沙箱技术不仅可以用于分析病毒和恶意软件，还可以用于测试软件的兼容性和安全性。
在软件开发过程中，可以使用安全沙箱技术来模拟不同的操作系统环境，以确保软件在多个平台上都能正常运行，并且不会对系统的安全性产生任何威胁。
此外，通过使用安全沙箱技术，开发人员还可以识别和修复软件中的潜在漏洞，以提高软件的安全性。
尽管安全沙箱技术可以在很大程度上减少可疑程序对主系统的影响，但它也存在一些局限性和风险。
首先，完全隔离可疑程序和主系统并不总是可能的，因为一些高级恶意软件可能会尝试逃离沙箱环境并直接影响主系统。
其次，沙箱技术的分析和防御能力可能会受到恶意软件的进一步演变和改进的限制。
因此，及时更新和维护安全沙箱技术是非常重要的。
安全沙箱技术是一种非常有用的工具，可以帮助我们隔离和分析可疑程序的行为，并及时识别和应对潜在的威胁。
它能够保护主系统的安全性和稳定性，同时也可以用于软件测试和漏洞修复，在提高软件安全性方面发挥积极作用。
然而，我们也需要意识到沙箱技术的局限性和风险，不断进行更新和维护，以确保其有效性和可靠性。
安全沙箱技术是一种有效的方法，可以将可疑程序隔离在一个虚拟环境中进行分析，以识别和应对潜在的威胁。
01华为沙箱解决方案
华为沙箱解决方案产品形态介绍1客户应用场景2产品主要特性3产品优势4FireHunter6000系列：适用于数据中心恶意文件检测场景型号FireHunter6200FireHunter6300尺寸(W ×D ×H) 447mm ×748mm ×86.1mm （2U ）447mm ×748mm ×86.1mm （2U ）447mm ×748mm ×86.1mm （2U ）流量处理性能500Mpps1Gbps2Gbps文件检测能力1万/天5万/天10万/天集群能力（单集群支持的检测节点台数）NA1616部署模式旁路部署FireHunter6100客户应用场景2产品形态介绍1产品主要特性3产品优势4FireHunter6000标准型方案——与防火墙联动文件还原 FireHunter6000与防火墙联动，使网络具备防御恶意文件和网站等未知威胁的能力，从而提升整个网络的安全性。
部署说明方案优劣说明 优势1）防火墙与沙箱联动，实现未知威胁在线阻断2）防火墙可对加密流量进行检测 劣势FireHunter6000当前仅支持华为防火墙联动，第三方防火墙如需联动需要根据华为提供的接口定制开发检测结果SwitchFireHunter6000经济型方案——独立旁路部署流量镜像FireHunter6000旁路部署在企业网络出口的交换机上，独立接收核心交换机镜像的网络流量进行还原，提取其中的文件进行未知威胁检测。
网络管理员通过查看FireHunter 提供的威胁分析报告，制定相应的安全策略，从而进一步提升整个网络的安全性。
部署说明方案优劣说明优势：防火墙非华为品牌时，实现未知威胁检测劣势：无法与防火墙联动，实现威胁在线阻断多防火墙恶意文件检测结果共享FireHunter6000与多台防火墙互联，并使能联动一台沙箱发现威胁，多台防火墙同时进行威胁阻断，从而提升整个网络的安全性。
Firehunter APT沙箱安全技术方案
指令集监控 内存分析
沙箱典型部署场景
FireHunter
数据中心服务器区
数据中心服务器区
FireHunter
FireHunter
数据中心服务器区
部门A
部门B
部门C
部门A
部门B
部门C
部门A
部门B
部门C
沙箱与单防火墙联动部署
➢ FireHunter与防火墙联动，使网络具备防御恶意 文件和网站等未知威胁的能力，从而提升整个网 络的安全性。
共享性
沙箱作为目前最为有效的未知威胁 检测手段，其检测结果能否共享至 其他安全设备联动阻断至关重要。
华为沙箱——领先的未知文件检测机制
未知文件 未知文件 未知文件
?
?
?
VM
安全文件 恶意文件 安全文件
华为FireHunter6000系列沙箱
对APT攻击中恶意文件深度检测
价值：检测APT攻击的渗透阶段和控制建立阶段
• 从受攻击地域上看主要集中在北京、广西、江浙地区、 四川等。
APT/未知威胁防御面临的挑战
0Day漏洞正在商品化
0Day在黑市的标价
文件载体的APT攻击占据主流
非文件 载体攻 击, 5%
文件载体…
40%
利用钓鱼邮件附件
• 0Day漏洞一直是APT组织实施攻击的技术制高点。 • 商品化的0Day让APT攻击变得更容易。
web-browsing /newcos102.pdf
Behavior Sequence
Type
Behavior
Request
/international/l oadpdf.php
0:00:21
FireHunter6000沙箱技术白皮书
华为FireHunter 沙箱技术白皮书目录1概述 (3)1.1APT 下一代威胁背景介绍 (3)1.2APT 下一代威胁发展趋势 (5)1.3用户现网现状分析 (6)2安全防护解决方案 (7)2.2文件检测技术原理 (8)2.3CC 检测技术原理 (10)2.4典型应用场景 (11)2.4.1旁路独立部署 (11)2.4.2与华为防火墙（简称FW）联合部署 (11)2.4.3与华为大数据安全产品CIS 联动部署 (12)2.4.4与FW、CIS 基础版联动部署 (13)3产品特性 (14)3.1全面的流量检测 (14)3.2支持主流应用和文档 (14)3.3模拟主流的操作系统和应用软件 (14)3.4分层的防御体系 (14)3.5提供准实时的处理能力 (14)3.6提供一流的针对APT 威胁的反躲避能力 (15)3.7强大的CC 检测能力 (16)4产品规格 (17)5硬件配置 (19)1 概述2010 年Google 遭受Aurora 下一代威胁攻击，导致大规模的Gmail 邮件泄漏，对Google品牌造成严重影响；2010 年伊朗核设施遭受Stuxnet 攻击，导致核设施核心部件-离心机受损严重，此次攻击造成后果不亚于一次定点轰炸；2011 年RSA 遭受针对SecureID 的下一代威胁攻击，导致大规模的SecureID 数据泄漏，严重影响使用SecureID 的客户安全，对公司的安全性质疑严重影响公司的公众形象；2013 年3 月韩国银行业遭受一次定向型APT 攻击，导致大面积的银行主机系统宕机，严重影响银行在客户心中的形象；2015 年12 月，乌克兰电网遭受恶意代码攻击，至少有三个电力区域被攻击，导致了超过一半的地区和部分伊万诺-弗兰克夫斯克地区断电数小时停电事故；2016 年2 月，孟加拉国中央银行在美国纽约联邦储备银行的账户，遭受黑客攻击，被盗走超过1 亿美金。
2017 年4 月，全球爆发wannacry 勒索软件攻击，校园网、企业网受害严重。
安全沙箱技术在隔离环境中运行可疑程序,分析其行为和威胁
安全沙箱技术在隔离环境中运行可疑程序，分析其行为和威胁安全沙箱技术是一种用于隔离环境中运行可疑程序并分析其行为和威胁的技术。
它通过创建一个虚拟环境，在其中运行可疑程序，并监控程序在虚拟环境中的所有活动。
这样，即使可疑程序具有恶意行为，也不会对真实系统造成影响，保证了系统的安全性。
下面将详细介绍安全沙箱技术的原理、应用和优势。
安全沙箱技术的原理是通过虚拟化技术创建一个隔离的环境，使可疑程序在这个环境中运行，与真实系统完全隔离开来。
这个环境通常包括虚拟操作系统、虚拟文件系统、虚拟网络等组成部分。
可疑程序在这个虚拟环境中运行时，所有对系统资源的访问和操作都被记录下来，并且进行分析，以判断程序的行为和威胁。
通过这个分析，可以及时发现并阻止可疑程序的恶意行为，保护真实系统的安全。
安全沙箱技术在实际应用中有很多场景。
其中一个重要的应用是分析和处理威胁情报。
许多安全公司和研究机构使用安全沙箱技术来模拟和分析各种威胁，以便更好地了解威胁类型、行为和传播方式。
通过对可疑程序在沙箱环境中的行为进行分析，可以获取关于威胁的情报信息，进而研究和提供相应的安全解决方案。
另一个应用是检测和阻止恶意软件。
许多恶意软件具有自我保护和逃避检测的能力，但在安全沙箱中运行时，由于无法访问真实系统资源，这些恶意软件无法发挥其恶意功能。
通过分析沙箱中恶意软件的行为，可以及时发现并阻止其对真实系统的威胁。
安全沙箱技术的优势在于其隔离性和实时分析能力。
通过创建虚拟环境，安全沙箱可以将可疑程序与真实系统完全隔离开来，防止其对系统造成破坏。
同时，安全沙箱实时监控和分析可疑程序的行为，可以及时发现并阻止其威胁，保护系统的安全。
然而，安全沙箱技术也存在一些挑战和限制。
首先，沙箱环境需要消耗大量的计算资源，特别是在分析复杂的恶意软件时。
其次，某些高级的恶意软件可能会检测到沙箱环境，并采取逃避措施，从而避免被发现和分析。
此外，对于一些瞬时性的威胁行为，沙箱技术可能无法及时发现。
APT攻击防护方案
APT攻击防护方案APT（Advanced Persistent Threat）攻击是一种高级持续性威胁，它指的是对目标系统进行长期、持续性的攻击活动。
APT攻击通常由精心策划的攻击者执行，他们利用多种攻击技术和网络工具，在长时间内悄无声息地侵入目标系统、内网，并逐步获取敏感信息。
为了有效应对APT攻击，组织需要采取一系列综合的防护措施。
以下是一个APT攻击防护方案的详细解释：1.安全意识培训：提高员工的安全意识，教育他们识别和应对潜在的APT攻击。
培训内容应包括密码安全、电子邮件和附件安全、社交媒体安全等方面的知识。
2.强化网络安全：采用防火墙、入侵检测和防御系统（IDS/IPS）、安全信息和事件管理系统（SIEM）等技术来防止未经授权的访问和入侵行为。
定期评估和更新这些系统的配置和规则，以应对新的威胁。
3.多层次身份验证：使用多因素身份验证，如令牌、生物识别等，以增强对系统和敏感信息的访问控制。
这样即使攻击者窃取了用户名和密码，也难以绕过多因素身份验证的安全措施。
4.定期漏洞评估和修复：通过定期评估系统和应用程序的漏洞，及时修补或应用相关的补丁。
同时，采用强大的加密技术来保护敏感数据的存储和传输过程。
5.网络流量分析和行为分析：建立网络流量监控系统，对网络中的数据流进行实时分析，监控流量模式和异常行为，及时发现潜在的入侵和攻击行为。
6.数据备份和灾难恢复：定期备份重要数据，并将其存储在安全的离线环境中，以防止数据丢失或被植入恶意软件。
7.持续监控和改进：通过持续监控系统和网络的安全状态，及时发现并响应潜在的安全威胁。
同时，根据攻击事件的经验和教训，不断改进和加强安全防护措施。
8.安全供应链管理：与合作伙伴建立安全合作关系，进行供应链管理，核实他们的安全控制和实践。
防范供应链攻击，确保整个供应链的安全。
9.实施合适的权限管理：限制员工的权限，分配最小权限原则，控制对敏感信息和系统资源的访问。
同时定期审查权限，确保权限的适时撤销。
沙箱安全解决方案-研华
研华科技安全沙箱项目Fortinet APT解决方案2015年11月目录一、APT高级持续性威胁介绍 (3)二、Fortinet ATP防御 (4)三、如何进行APT攻击防御 (6)3.1 APT恶意代码分类 (6)3.2 沙箱简介 (7)3.3 沙箱挑战 (8)四、Fortinet针对研华APT解决方案 (9)4.1部署方式 (9)4.2 FortiSandbox简介 (15)4.3 FortiSandbox解决常见沙箱的技术难题 (16)4.4 FortiGuard学习 (18)五、Fortinet优势 (20)5.1安全与性能 (20)5.2灵活的部署 (21)5.3投资回报率高 (22)一、APT高级持续性威胁介绍随着更全面的安全应用程序和数据库技术的迅猛发展，研华科技现在有了更多的方法来进行实时的身份监控、权限和证书检查。
然而，日渐复杂的安全问题依然有增无减，使得其带来的威胁仍然不容忽视。
云计算的产生将给互联网带来天翻地覆的变化，研华科技坚定不移的走上了云计算道路的大趋势将不会受到任何挑战，但数据保护和虚拟环境中的风险管理却让人望而却步，毋庸置疑在云计算的发展道路上，安全问题已经成为了它最大的“绊脚石”。
高级持续性威胁(Advanced Persistent Threat，APT)，威胁着研华科技的数据安全。
APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。
这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。
APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。
这种攻击行为首先具有极强的隐蔽能力，通常是利用研华科技或机构网络中受信的应用程序漏洞来形成攻击者所需C&C网络;其次APT攻击具有很强的针对性，攻击触发之前通常需要收集大量关于用户业务流程和目标系统使用情况的精确信息，情报收集的过程更是社工艺术的完美展现;当然针对被攻击环境的各类0day收集更是必不可少的环节。
沙箱安全解决方案研华
沙箱安全解决方案研华随着互联网的迅速发展，网络安全问题也日益突出。
沙箱技术作为一种重要的安全解决方案，已经成为企业和组织在防范各种网络攻击和恶意软件的主要手段之一、本文将简要介绍沙箱技术的基本概念、工作原理以及研华沙箱安全解决方案的特点和优势。
一、沙箱技术概述沙箱是一种用于隔离恶意软件以及其他不受信任应用程序的环境。
它可以在一个隔离的容器中运行这些应用程序，以确保它们不会对主系统造成任何危害。
沙箱技术通过模拟操作系统和硬件环境，将恶意软件或者其他危险应用程序运行在虚拟环境中，从而可以对其进行实时监控、分析和检测。
沙箱技术有很多种实现方式，包括硬件沙箱、虚拟机沙箱、容器沙箱等。
不同的实现方式适用于不同的场景和需求。
例如，硬件沙箱需要物理设备来实现隔离，适用于对安全性要求非常高的环境；而虚拟机沙箱则是在已经存在的虚拟机环境上创建隔离的虚拟环境，适用于需要同时运行多个不可信应用程序的环境。
二、沙箱技术的工作原理沙箱技术的具体实现方式可以有所不同，但其基本工作原理大致相同。
一般来说，沙箱主要分为两个关键组成部分：监控组件和隔离组件。
监控组件负责实时监控应用程序的行为，并采集相关的行为数据。
具体来说，监控组件会记录应用程序对操作系统、文件系统、网络、注册表、进程等资源的访问和操作情况，并生成行为日志。
隔离组件用于隔离应用程序与主系统之间的所有接口和资源。
它会在一个独立的环境中运行应用程序，并通过虚拟化技术对其进行隔离。
隔离组件可以模拟操作系统和硬件环境，包括内核、文件系统、网络协议等，使得应用程序在沙箱中以为自己运行在真实环境中。
三、研华沙箱安全解决方案的特点和优势研华作为全球领先的工业自动化和物联网解决方案提供商，也为了加强对网络安全的保护，研华推出了一套完善的沙箱安全解决方案。
1.多种实现方式：研华的沙箱安全解决方案提供了多种实现方式，包括硬件沙箱、虚拟机沙箱和容器沙箱。
用户可以根据自身的需求选择合适的沙箱技术。
APT攻击的防范难度和全球四大防范策略
APT攻击的防范难度和全球四大防范策略APT（Advanced Persistent Threat）攻击是指由有组织、高度专业化的黑客团队或国家-sponsored攻击者对特定目标进行持续性的、隐蔽的网络攻击。
APT攻击通常使用复杂的攻击手段，以获取特定目标的机密信息、窃取财务信息、破坏网络基础设施或进行间谍活动。
由于APT攻击的高度复杂性和专业性，防范起来的难度较大，需要综合运用各种防护策略。
1.隐蔽性：APT攻击者通常使用先进的技术和高度定制化的攻击工具，使攻击活动不易被发现。
APT攻击可以持续数月甚至数年，攻击者借助目标系统中的各种脆弱点悄然渗透，并采取隐蔽的方式获取目标机密信息。
2.高度定制化：APT攻击者对目标进行深入调查和收集情报，以了解其安全措施和防护体系，从而有针对性地开展攻击。
攻击者会根据目标组织的特定环境和情况来设计攻击手段，使其更难被检测和防御。
3.高度专业化：APT攻击者往往是一些有组织和高度专业化的团队，他们掌握了先进的攻击技术和工具，并具有丰富的攻击经验。
他们不断进化和改进攻击手段，以应对目标的防御措施，给防范带来极大的挑战。
4.社会工程：APT攻击者往往利用社会工程学原理来获取目标组织的敏感信息，通过欺骗、伪装、诱骗等手段获取系统账号密码、机密文件等重要信息。
这种攻击手段对组织成员的警惕性和防范意识提出了更高的要求。
全球四大防范策略：1.威胁情报分享和协作：建立威胁情报共享平台，通过与其他组织、行业和安全厂商分享信息，获取来自全球的最新威胁情报，及时了解新型APT攻击手段和攻击者的行为特征，从而提前预警和采取相应的防御措施。
2.多层次综合防御：建立多层次的综合安全防御体系，包括网络安全、主机安全、数据安全等多个层面的保护措施。
通过使用防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、反病毒软件和入侵日志分析等工具来检测、防范和响应APT攻击。
3.持续监测和检测：建立实时监测系统，对网络活动、日志、异常事件进行持续监测和记录，利用高级分析技术和行为分析算法，识别APT攻击的痕迹和异常行为，及时发现攻击并进行相应的响应和处置。
APT威胁安全检测产品(沙箱与宿主机交互信息过程 )
沙箱与宿主机交互信息过程沙箱的作用就是跑出样本的行为，供威胁分析模块分析检测是否有威胁。
系统部分模块组织图沙箱与宿主机交互信息过程：分为两个方向：1 （宿主机—>沙箱）沙箱获取任务，拿到任务后拼接完整样本存储路径，然后去拿原样本2 （沙箱—>宿主机）沙箱拿到样本后会在本地执行样本，在样本执行过程中我们的get_log程序会抓取该样本的所有行为并记录在本地Test.log的文件中（log放在本地是没用的，需要传到宿主机让威胁分模块解析判断是否有威胁），把该log信息传到宿主机去。
详细过程：沙箱要任务（get）沙箱要任务（get）宿主机回复200ok宿主机回复200ok沙箱上传样本沙箱上传样本沙箱拿样本沙箱拿样本这个过程中(沙箱与宿主机)运行的程序有：沙箱中跑的程序：ExeAngrt.exe(负责取任务GET、拿样本GET、执行样本) Getlog.exe （负责抓取样本的行为信息）xxx 发送log的程序宿主机的服务程序：httpd（有两个作用1、80和443端口提供web界面的使用，8080端口提供沙箱GET响应。
）Gettask.fcgi (当8080端口收到get请求时，开启该程序。
处理该响应、判断是哪类型沙箱的请求，去相映Redis队列确认是否有任务，然后给出响应)Sendreuslt.fcgi（当8080端口收到post消息时会开启该进程，将该post消息中的样本log信息放到redis中的aba_l队列，供后续abaserver程序检测）Thttpd （自己开发的类httpd服务，开放8081端口只用来响应沙箱拿样本，根目录是/home/bds/sample）具体信息的交互顺序是：1 沙箱中ExeAnget.exe会自动启动，不停的向宿主机发送get请求（http://192.168.122.1:8080）确认宿主机是否有待检测的样本。
2 宿主机的httpd服务从8080端口收到get请求后，会开启gettask.fcgi进程先识别哪类沙箱在要任务，然后去redis队列中查看相映的队列是否有任务，无任务就回复沙箱等待，有任务就从对应的队列中pop一条任务，把该任务的Samples_id与其他信息封装到200ok的回应包给沙箱。
APT攻击防护方案
APT攻击防护方案APT（Advanced Persistent Threat，高级持续性威胁）是一种针对特定组织或个人的信息安全攻击，攻击者通常通过长期秘密的方式侵入目标系统，并持续进行数据窃取、间谍活动、病毒传播等恶意行为。
由于APT攻击的高度隐蔽性与专业性，常规的网络安全防护手段往往无法阻止其入侵与扩散，因此需要采取专门的APT攻击防护方案。
下面将介绍几种常见的APT攻击防护方案。
1.阶段式安全执行计划（SPI）：SPI是一种对企业网络进行整体规划与防护的方案。
其核心思想是将防护措施按照攻击的不同阶段进行划分，并为每个阶段实施相应的保护措施。
这包括建立入侵检测系统（IDS）、安全事件与信息管理系统（SIEM）、强化边界防护、加密传输等手段，以提高APT攻击的识别与应对能力。
2.安全分析监测系统（SAS）：SAS是一种集成了威胁情报、大数据分析、行为分析等功能的APT攻击监测系统。
它能够实时监测并分析企业网络中的异常行为和恶意活动，识别潜在的APT攻击，并通过自动化响应机制对网络进行迅速的隔离与修复。
3.强化权限与访问控制：通过对网络系统的权限设置与访问控制策略，可以最大程度地减少潜在的漏洞和攻击点。
这包括建立严格的身份验证机制、对敏感数据实施严格的访问控制、限制外部访问等手段，从源头上遏制APT攻击的入侵与扩散。
4.社会工程学与安全教育培训：APT攻击常常利用社会工程学手段诱骗员工泄露账号密码、点击恶意链接等，因此加强员工的安全意识教育与培训至关重要。
企业可以组织定期的安全意识教育培训，提醒员工保持警惕，以减少被APT攻击的风险。
5.恢复与应急计划：即使部署了多种防护措施，APT攻击仍有可能成功入侵系统，因此建立完善的恢复与应急计划非常重要。
企业应预先规划应急响应流程，确保在发现入侵时能迅速响应，及时隔离受影响的系统，并对损失进行评估与修复。
6.持续性审计与漏洞管理：持续性的安全审计是发现与修复系统漏洞的有效手段。
沙箱安全解决方案-研华
研华科技安全沙箱项目Fortinet APT解决方案2015年11月目录一、APT高级持续性威胁介绍 (3)二、Fortinet ATP防御 (4)三、如何进行APT攻击防御 (5)3.1 APT恶意代码分类 (5)3.2 沙箱简介 (6)3.3 沙箱挑战 (7)四、Fortinet针对研华APT解决方案 (8)4.1部署方式 (8)4.2 FortiSandbox简介 (10)4.3 FortiSandbox解决常见沙箱的技术难题 (11)4.4 FortiGuard学习 (11)五、Fortinet优势 (12)5.1安全与性能 (12)5.2灵活的部署 (12)5.3投资回报率高 (12)一、APT高级持续性威胁介绍随着更全面的安全应用程序和数据库技术的迅猛发展，研华科技现在有了更多的方法来进行实时的身份监控、权限和证书检查。
然而，日渐复杂的安全问题依然有增无减，使得其带来的威胁仍然不容忽视。
云计算的产生将给互联网带来天翻地覆的变化，研华科技坚定不移的走上了云计算道路的大趋势将不会受到任何挑战，但数据保护和虚拟环境中的风险管理却让人望而却步，毋庸置疑在云计算的发展道路上，安全问题已经成为了它最大的“绊脚石”。
高级持续性威胁(Advanced Persistent Threat，APT)，威胁着研华科技的数据安全。
APT 是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。
这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。
APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。
这种攻击行为首先具有极强的隐蔽能力，通常是利用研华科技或机构网络中受信的应用程序漏洞来形成攻击者所需C&C网络;其次APT攻击具有很强的针对性，攻击触发之前通常需要收集大量关于用户业务流程和目标系统使用情况的精确信息，情报收集的过程更是社工艺术的完美展现;当然针对被攻击环境的各类0day收集更是必不可少的环节。
灭火沙箱配置标准
灭火沙箱配置标准
灭火沙箱是一种用于动态分析恶意软件的工具。
配置标准可能会异构因组织需求而不同，但应考虑以下基本配置：
1. 操作系统：指定的操作系统应反映目标用户的实际使用情况，例如Windows 7、Windows 10等。
2. 用户帐户：应使用受限用户帐户，以限制恶意代码影响的范围。
3. 网络配置：应模拟真实网络环境，包括本地网络、互联网和其他子网。
4. 第三方应用程序：应包括一系列第三方应用程序，以便测试和识别与操作系统和应用程序的交互。
5. 安全软件：灭火沙箱安全软件包括反病毒软件和其他安全工具，以提供适当的保护和应对方案。
6. 记录和告警：应记录所有系统活动，包括对操作系统、第三方应用程序和安全软件的任何异常行为。
应配置告警规则以使安全人员度量、alerted以及面向网络安全行动形成清晰的流程。
7. 人员资源：应分配适当的人员资源来监视和分析沙箱活动，包括安全专家和
研究员。
以上应考虑到的Cfg,当灭火沙箱部署在安非那科下时，最高基本策略应该为：所有文件不执行、管理网络套接字，仅允许封装虚拟网络、本地凭据分组、网络访问控制等，并且需要高效的告警响应机制。
建议为减小攻击面，实际构建的灭火沙箱应依据实际需求和目标保护情况差异化制定，上述配置仅供参考。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
55%
利用钓鱼邮件Web链接
• 有95% 的网络攻击基于文件发起； • 其中40%利用钓鱼邮件、55%利用钓鱼邮件的恶意链接；
0Day的恶意文件检测迫在眉睫。
未知威胁防御已在法规＆标准中明确提出
网络安全等级保护基本要求 第1部分：安全通用要求
网络安全等级保护测评要求 第1部分： 安全通用要求
《网络安全法》 强调对高级持续性威胁的检测
沙箱主要原理
动态和静态检测相结合，并利用机器学习，发现威胁 虚拟环境运行可疑文件, 天然解决恶意文件的分片分段、
加壳等逃逸手段。
检测文件类型
Windows 可执行文件，EXE、dll WEB网页，如检测Javascript、Flash、JavaApplet等 各种办公文档，如Office、PDF、WPS等 各种图片文件，如JPEG、PNP、JPG等 各种压缩文件、加壳文件
沙箱的选择标准是什么？
全面检测
是否能全面检测恶意文件？包括 PE、office 、PDF、WPS、压 缩文件、web文件等等，越多越 好。
高效性
是否能快速的完成检测，在安全 事件发生后60秒里采取有效行动， 可以相比减少40%的支出。
准确
是否能准确检测恶意文件，少误 报。目前安全产品误报率惊人，真 正有效的告警只占19%，准确率越 高越好。
• 从受攻击地域上看主要集中在北京、广西、江浙地区、 四川等。
APT/未知威胁防御面临的挑战
0Day漏洞正在商品化
0Day在黑市的标价
文件载体的APT攻击占据主流
非文件 载体攻 击, 5%
文件载体…
40%
利用钓鱼邮件附件
• 0Day漏洞一直是APT组织实施攻击的技术制高点。 • 商品化的0Day让APT攻击变得更容易。
web-browsing /newcos102.pdf
Behavior Sequence
Type
Behavior
Request
/international/l oadpdf.php
0:00:21
Process Creation
Source Destination Application URL
Time 0:00:19
File Information
307960772bb54ae42d87e7ad8b1c600ded893fa5
Malware Session Information
192.168.1.200:32854
202.117.3.32:80
ntvdm.exe Wrote To C:\WINDOWS\Temp\scs1.tmp
ntvdm.exe Transfer C:\WINDOWS\Temp\scs1.tmp
关键技术： ▪ 操作系统监控：文件操作、注册表操作、服务、进程操作、内存、模块加载、网络操作 ▪ 多种抗逃逸躲避检测技术：环境检测、延时对抗、内部混淆、交互逃逸
AcroRd32.exe Created C:\WINDOWS\system32\ntvdm.exe
0:00:24 0:00:26 0:00:33
File Create File Write File Transfer
ntvdm.exe Created C:\WINDOWS\Temp\scs1.tmp
沙箱是未知威胁检测最为有效的手段
应对APT攻击，快速、准确的检测就是降低支出
误报的平均损失：每年130万美元
4 % 19 % 40 %
迟钝响应的损失：增加40%的支出
40 %
有效处理 有效报警 未报警
Source:Ponemon report
减少支出
在威胁事件发生后60秒内采取行动可以将 解决违规问题的成本平均降低40％
50+文件类型检测，全面识别未知恶意软件
Office
WEB
PE
EXE
JS
静态分析
• 文件附加数据识别 • 代码片段分析 • 变形代码识别 • API调用异常分析 • ------
动态分析
• 指令流监控 • 识别文件操作 • 识别注册表操作 • 识别服务调用 • ------
智能行为综合分析
SHA-256 Verdict
FireHunter基于行为特征检测
• 具备未知恶意文件检测能力 • 检测代码调用的API、组件等信息 • 检测软件本地的行为（文件、注册表等） • 检测软件的网络行为（上传下载外联等） • 检测软件代码的结构
FireHunter不仅具备动态虚拟执行环境模拟， 同样支持基于信誉、签名的检测机制 检测能力覆盖已知威胁和未知威胁
4重纵深检测，检出率达99%以上
1
信誉体系
2
静态检测
（病毒/文件漏洞……）
3
启发式检测
WEB 轻启发量式级检沙测箱
共享性
沙箱作为目前最为有效的未知威胁 检测手段，其检测结果能否共享至 其他安全设备联动阻断至关重要。
华为沙箱——领先的未知文件检测机制
未知文件 未知文件 未知文件
?
?
?
VM
安全文件 恶意文件 安全文件
华为FireHunter6000系列沙箱
对APT攻击中恶意文件深度检测
价值：检测APT攻击的渗透阶段和控制建立阶段
传统安全设备基于签名检测
• 针对未知恶意文件无检测能力 • 基于已知样本 • 代码签名匹配 • 具备检测滞后性 • 未知恶意文件样本未知、无法生成签名
基于签名威胁检测机制仍然扮演着重要的角色， 实际使用中可检测出60%-70%威胁事件，且检测 效率较高。
20% 80%
FireHunter检测机制
FireHunter6000
华为Firehunter APT沙箱安全技术解决方案
目录
1 APT攻击趋势及挑战 2 FireHunter产品介绍 3 成功案例
APT攻击趋势及挑战
• 2019年APT攻击有增无减； • 大部分APT组织有政府背景；
数据来源：华为安全威胁情报中心
• 2019年国内受攻击行业主要分布在政府、央企国企、科 研单位、金融和高校；
《国家电子政务外网标准-政务云安全要 求》明确提出对未知威胁的防御和态势感知要求
《网络安全等级保护》 APT/未知威胁检测写入等保标挑战 2 FireHunter产品介绍 3 成功案例
为什么需要FireHunter？
传统安全设备检测机制
防火墙、IPS 、IDS、WAF 等