【亞信安全】-【2020年12月16日】近期，美國網絡安全供應商FireEye武器級別的紅隊攻擊工具被盜。為限制本次事件的影響范圍，其迅速提交針對本次被盜工具的防御方案，公布了”hundreds of countermeasures”(數百種對策)。可以預見本次丟失的武器級別的工具，可能是FireEye多年積累的干貨，影響力巨大，如果被別有用心的人利用，會產生難以估量的損失。

亞信安全情報分析團隊和核心技術部，作為一直長期關注紅藍攻防的研究團隊，第一時間整理此次事件，并進行了深入的分析。

以紅隊視角看FireEye武器分類

FireEye并沒有對本次被盜工具作出詳細的介紹，但我們的分析人員努力還原了它們的原貌，并且揭示這些工具的功能和影響。

紅隊被盜工具分為四類：

1. 基于開源項目的工具：這些紅色團隊工具是開源工具的略微修改版本，占比35%。

2. 基于內置Windows二進制文件的工具：這些工具使用稱為LOLBIN(不落地二進制文件)的內置Windows二進制文件，占比8.3%。

3. 內部為FireEye的Red Team開發的工具：這些工具是專門為FireEye的Red Team使用而開發的，占比40%。

4. 沒有足夠數據進行分析的工具：剩下的工具沒有足夠的數據來對其分析，占比17%。

【圖1. 工具來源分布圖】

本次泄漏工具的有效載荷中涉及CVE16個，但不包含0-day漏洞。

從本次粗略分析來看，被盜工具來源復雜，涉及CVE較多，且多分布于不同的攻擊緯度。鑒于這樣的情況，要求企業的安全防護的產品與策略要基于：既要從全局視角、大局觀點出發，也要兼顧黑客思維的局部觀點來構建，這樣的策略防護就離不開ATT&CK的指導。

基于ATT&CK模型看立體防御的重要性

ATT&CK的全稱是”Adversarial Tactics，Techniques，and Common Knowledge”，它是一個站在攻擊者的視角來描述攻擊中各階段用到的技術模型，這些攻擊模型通過TTP (Tactics，Technichques， Procedures)來描述。該模型已經成為行業通識，被大量的網絡安全公司使用，并且產生了良好的防御效果，尤其是目前比較流行的無文件攻擊等APT攻擊，具有良好的效果。

經過我們的分析，此次被盜的攻擊工具一共涉及以下ATT&CK的TTP策略：

【圖2. 被利用TTP攻擊策略】

從圖2中可以看到，本次被盜工具囊括12個攻擊階段中的11個，共包括約40個攻擊策略點。影響之廣、覆蓋之全，可見一斑，這也迫使我們安全企業必須從攻擊鏈的角度去考慮本次事件帶來的影響。

現代黑客的攻擊，都是基于這樣的一個假設：無論私有的中小企業，還是國有的大型企業，都建立了體系化防御的能力。所以在構建攻擊工具的時候，就不能單純的設想通過單一的工具直接獲得對方的控制權限，獲取想要的信息，同時還不會給對方留下把柄。要達成既定的目標，需要通過多樣化的攻擊思路，層層攻破，隱藏痕跡，才能達到目的。

【圖3. 被利用的TTP匯總】

例如在本次事件涉及的TTP中，據不完全統計，僅僅用來獲取對方各種情報的TTP高達15種，占比接近1/3;持久化執行的TTP高達9種，關聯的被盜工具可能有40多個，占比達到50%;這么多工具僅僅完成了攻擊鏈的訪問和持久化工作，還遠遠沒有達到獲取目標信息階段，就此可見這些工具利用的攻擊面非常廣，從普通的漏洞攻擊，到硬件的側信道攻擊，再到社會工程學等等。那么想從單一層面去作防御，無異于緣木求魚，顧此失彼。尤其要注意轉換基于特征庫的防御思維，并不是說特征庫無用，而是說需要立體化的防護手段方案，從底層的操作系統，到上層的各種應用、腳本文件執行等等這些都要布防。

接下來，我們將選取一些典型的工具，分析其TTP規則以解釋被盜工具和TTP規則之間的關聯關系。

1.ADPassHunt

它是一種憑證竊取工具，可搜尋Active Directory憑證。該工具的YARA規則中有兩個引人注目的字符串：Get-GPPPasswords 和Get-GPPAutologons 。Get-GPPPassword 是一個PowerShell腳本，用于檢索通過組策略首選項(GPP)推送的帳戶的明文密碼和其他信息。Get-GPPAutologons 是另一個PowerShell腳本，可從通過GPP推送的自動登錄條目中檢索密碼。這些腳本在PowerSploit中用作功能，PowerSploit是結合了PowerShell模塊和腳本的進攻性安全框架。

關聯的TTP規則：

MITRE ATT&CK Techniques

T1003.003操作系統憑證轉儲：NTDS

T1552.06不安全憑據：組策略首選項

2.WMIRunner

該工具用于運行WMI命令，結合WMI隱蔽攻擊策略，不利用第三方攻擊就可以實現持久化，即長期隱蔽于受害者主機，無法查殺。

關聯的TTP規則：

MITRE ATT&CK Techniques

T1047 Windows管理規范

還有很多其他工具和TTP規則的關聯關系，基于這些TTP規則，攻擊者可以泛化出各種工具的變種，達到攻擊的隱蔽、難以檢測、難以查殺等效果。

基于上述分析，我們得出結論，企業級用戶要想真正對此次泄漏攻擊工具做好防御工作，不僅僅需要防御原版工具的攻擊，同時也要積極做好上述工具IOC變種防御，采用立體化的防御策略。

以XDR形成立體化防護體系

基于上述分析，我們建議用戶要有一個立體化的防護體系來應對目前的事件，同時也能夠應對未來的變化。另外，消除威脅的方案不是一勞永逸，要順應目前攻擊的變化趨勢。

所謂立體化的防護，是指既有事前發現、事中處理攻擊的能力，也有能夠事后免疫相同威脅的方案;既有基于傳統防病毒的基本能力，也有基于AI的高級威脅解決方案;既有基于攻擊者的思維，也有基于防御者的能力。為此，我們推薦采用亞信安全的XDR解決方案，具有立體化防護能力，它不僅具有基于ATT&CK框架的威脅研判能力，同時支持大數據介入分析，機器學習研判等能力。

·基于ATT&CK框架的威脅防御能力

亞信安全XDR通過自有關鍵產品的偵測與響應優勢，提供省力的方式接入安全監測數據，利用大數據規范化數據格式、體系結構和連接性。通過各種關聯數據，持續分析生成準確的ATT&CK威脅視圖。

【圖4. ATT&CK框架威脅視圖】

·采用大數據、機器學習和云架構

XDR可以代表從EDR到新一代的飛躍。作為云計算的產物，XDR可以滿足安全團隊在存儲、分析和機器學習方面的可伸縮性要求。通過大數據、機器學習等能力，精準識別多緯度威脅，產生與之關聯的TTP規則，提供更加人性化的事前事后防御策略。

【圖5. TTP威脅分類】

·快速響應

XDR不只是像傳統的SIEM那樣被動地記錄和轉發警報，而是主動評定并呈現可操作的結果，通過關聯放大”弱信號”。因此，系統不會顯示”過去發生了什么，公司需要調查”的警報，而是顯示”在X上，有哪些類型的攻擊發生，通過Y的聯動，告知客戶攻擊者的路徑以及如何應對”。XDR重點從僅給出警告轉移到了提供補救響應的方案。

【圖6. 快速響應的威脅視圖】

亞信安全XDR代表了從單點筒倉到面立體聚合的真正轉變。隨著組織從COVID-19陰霾中解脫，XDR可以幫助企業在網絡安全上面對新技術和資源的局限，并應對組織及其數字資產不斷增長的威脅。

申請創業報道，分享創業好點子。點擊此處，共同探討創業新機遇！