揭秘APT攻击系列(三):深信服"下一代防火墙"金蝉难脱壳

    接上回说到，电影的真相就是“曼海姆的女儿假冒国家公务人员雇佣雷，名义上是去探测监狱的安全性，实际是利用雷救出其父曼海姆。”这是最典型的APT攻击模型，攻击者有计划、有目标地“窃取”被攻击者的“重要信息”。

　　不过从《金蝉脱壳》中，我们也可以找到APT防御的一些灵感：

　　1、电影中，“坟墓”监狱将每间牢房全部做成透明墙，并在每个区域部署摄像头，目的就是能够监控监狱内的每一个角落。

　　同样对于IT日常管理来说，网络可视化是保障网络安全的前提，能够识别用户、应用和内容，才能够真正识别各种安全威胁以便做出相应的安全防护。

　　2、电影中，即便是能够清晰地监控每一个角落，监狱中最重要的还是需要一个能够掌控全局、及时调度的决策者，他能够通过每个环节的分析判断，来及时调拨相应安保资源、部署安防策略。

　　与此类似，企业或组织的网络安全建设不能仅仅追求防护功能上的全面，重要的是还需要各个功能之间相互协作，根据遇到的问题智能调用各个安全功能，以实现功能最大化、速度最快化的防护效果。

　　3、电影中，“坟墓”监狱里，不同的犯人划分不同的监管区域，并且在经过装有特殊装置的安检门时，都会亮起囚服上有唯一的身份认证条码，所以想要冒名顶替或者以假乱真是绝对不可能的。

　　由此我们联想到对于重要的业务系统，同样需要多重的安全认证机制，以保障即使黑客获取管理员账号、密码也需要通过其他认证手段才能登录系统，比如短信认证、硬件特征码认证等等。

　　4、电影中，越狱专家雷?布雷斯林利用螺丝生锈遇热膨胀脱落的漏洞找到了越狱的突破口，怎料沿通道上来却发现，自己却深陷一片汪洋大海。

　　没有十全十美的网络，当然也没有绝对安全的防护。那么一旦被黑客利用了漏洞侵入了我们的系统，我们也需要相应的技术手段，对可能外发的敏感数据、篡改的内容进行阻止。

　　上述提到的几点APT网络安全防护理念，如果得到完美的结合，那么网络黑客即使是再狡猾的“金蝉”也难“脱壳”了。

　　深信服下一代防火墙NGAF就是这样一款真正解决客户APT攻击的下一代安全产品，它面向应用层设计，能精确识别用户、应用和内容，是国内知名同时融合FW、IPS、WAF、AV功能，并可以使各模块智能联动的安全产品，为APT防护提供主机层(恶意代码防护、僵尸网络隔离)、网络层(访问控制、边界隔离、入侵防护、漏洞扫描、内网嗅探)、应用层(恶意网址识别、OWASP TOP应用协议攻击、管理认证登陆、DLP)的 L2-L7层一体化安全防护。

　　更多网络安全信息，请关注【深信服安全】微信!■