數(shù)據(jù)泄露攻擊涉及未經(jīng)授權(quán)將敏感數(shù)據(jù)（例如個(gè)人數(shù)據(jù)和知識(shí)產(chǎn)權(quán)）從目標(biāo)系統(tǒng)轉(zhuǎn)移到單獨(dú)的位置。這些傳輸可以通過內(nèi)部威脅在內(nèi)部發(fā)生，也可以通過遠(yuǎn)程命令和控制服務(wù)器在外部發(fā)生。每次以數(shù)據(jù)盜竊為目標(biāo)的網(wǎng)絡(luò)攻擊都可以歸類為數(shù)據(jù)泄露攻擊。數(shù)據(jù)泄露通常發(fā)生在網(wǎng)絡(luò)攻擊殺傷鏈的第 6 階段，此時(shí)在受感染的系統(tǒng)遠(yuǎn)程網(wǎng)絡(luò)犯罪服務(wù)器之間建立連接。
了解通常在數(shù)據(jù)泄露之前的惡意進(jìn)程是緩解這些攻擊的關(guān)鍵。它們?yōu)閷?shí)施導(dǎo)致最終數(shù)據(jù)丟失事件的安全控制提供了機(jī)會(huì)，從而顯著混淆了攻擊序列。盡管數(shù)據(jù)泄露通常伴隨著數(shù)據(jù)泄露，但由于有價(jià)值的數(shù)據(jù)已經(jīng)在傳輸中，因此數(shù)據(jù)盜竊具有更高的安全嚴(yán)重性分類。一些入侵檢測(cè)和威脅情報(bào)系統(tǒng)可以在黑客入侵敏感資源之后和任何數(shù)據(jù)丟失之前攔截他們。這種攔截需要在權(quán)限升級(jí)之前發(fā)生，這是敏感資源訪問之前的一個(gè)階段，因此是數(shù)據(jù)泄露。
如何檢測(cè)數(shù)據(jù)泄露
數(shù)據(jù)泄露不易檢測(cè)，因?yàn)槭录ǔｋ[藏在合法的日常流程之后。下面的每個(gè)檢測(cè)選項(xiàng)都為網(wǎng)絡(luò)流量分析提供了獨(dú)特的優(yōu)勢(shì)。共同使用時(shí)，可以實(shí)現(xiàn)多維分析，以提高安全操作的效率。
1. 使用 SIEM：安全信息和事件管理系統(tǒng) (SIEM)可以實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)流量。一些 SIEM 解決方案甚至可以檢測(cè)用于與命令和控制服務(wù)器通信的惡意軟件。
2.監(jiān)控所有網(wǎng)絡(luò)協(xié)議：監(jiān)控所有開放端口流量以檢測(cè)可疑流量，通常為 50GB+。此類發(fā)現(xiàn)應(yīng)導(dǎo)致更有針對(duì)性的分析，因?yàn)樗鼈兛赡苤皇呛戏ǖ呐c業(yè)務(wù)相關(guān)的連接。
3. 監(jiān)控外部 IP 地址連接：與不常見 IP 地址的企業(yè)連接可能表明數(shù)據(jù)泄露。安全團(tuán)隊(duì)?wèi)?yīng)保留所有已批準(zhǔn) IP 地址連接的最新日志，以便與所有新連接進(jìn)行比較。
4. 監(jiān)控出站流量模式：惡意軟件需要定期與 C&C 服務(wù)器通信以保持一致的連接。這些定期爆發(fā)的通信（稱為信標(biāo)）為檢測(cè) HTTP:80 和 HTTPS:443 等常用端口內(nèi)的數(shù)據(jù)泄露提供了機(jī)會(huì)。請(qǐng)記住，一些高級(jí)惡意軟件和勒索軟件菌株，如 SUNBURST，會(huì)隨機(jī)化 C&C 通信之間的延遲。
如何在 2022 年防止數(shù)據(jù)泄露
防止數(shù)據(jù)泄露的關(guān)鍵是實(shí)施安全解決方案，以解決數(shù)據(jù)泄露攻擊的所有常見向量 ANCHOR LINK TO BELOW。這可以通過以下控件列表來實(shí)現(xiàn)。
1. 實(shí)施下一代防火墻 (NGFW)：如果沒有防火墻，則不會(huì)監(jiān)控出站連接，從而可以無縫建立 C&C 連接。下一代防火墻可調(diào)節(jié)所有流量協(xié)議中的所有出站流量。這些過濾器有時(shí)還集成了來自防病毒軟件的基于簽名的惡意軟件檢測(cè)，允許攔截和阻止已知的 C&C 惡意軟件行為。
然而，基于簽名的威脅檢測(cè)需要注意的是，它需要防病毒軟件保持最新。如果更新丟失或延遲，新的惡意軟件變種可能會(huì)在此期間溜走，并在未檢測(cè)到的情況下建立 C2 服務(wù)器連接。正因?yàn)槿绱?，簽名威脅檢測(cè)只能用作額外的安全網(wǎng)，以及實(shí)時(shí)分析流量的基于行為的阻止策略，例如 SIEM。
2. 實(shí)施 SIEM：SIEM 可以分析所有狀態(tài)的數(shù)據(jù)：
- 休息中
- 正在使用
- 在途中
- 這使得檢測(cè)和阻止未經(jīng)授權(quán)的傳輸成為可能，甚至來自筆記本電腦等端點(diǎn)。
3. 實(shí)施零信任架構(gòu)：零信任架構(gòu)在允許任何數(shù)據(jù)傳輸之前強(qiáng)制執(zhí)行嚴(yán)格的用戶驗(yàn)證。然而，防火墻和零信任架構(gòu)的缺點(diǎn)是端點(diǎn)性能可能會(huì)受到負(fù)面影響，因?yàn)樵谶B接到筆記本電腦之前需要不斷檢查所有出站連接。但是敏感數(shù)據(jù)丟失的好處遠(yuǎn)遠(yuǎn)超過了這些暫時(shí)的不便。
4. 關(guān)閉所有可疑會(huì)話：當(dāng)識(shí)別出可疑會(huì)話時(shí)，例如數(shù)據(jù)傳輸?shù)轿唇?jīng)批準(zhǔn)的 IP 地址，應(yīng)立即通過禁用用戶的 Active Directory 帳戶 ID 或斷開用戶的虛擬專用網(wǎng)絡(luò)會(huì)話來切斷連接。您還應(yīng)該立即查看并關(guān)閉與受感染用戶帳戶相關(guān)聯(lián)的所有訪問控制，以防止威脅參與者在連接中斷后切換到另一個(gè)用戶帳戶。
5. 實(shí)施數(shù)據(jù)丟失預(yù)防解決方案：數(shù)據(jù)丟失防護(hù) (DLP) 解決方案將所有數(shù)據(jù)傳輸映射到預(yù)先存在的策略以檢測(cè)可疑活動(dòng)。DLP 技術(shù)還分析所有數(shù)據(jù)傳輸?shù)膬?nèi)容以檢查敏感信息。
6. 檢測(cè)并關(guān)閉所有數(shù)據(jù)泄漏：數(shù)據(jù)泄露是被忽視的敏感資源暴露。當(dāng)它們被網(wǎng)絡(luò)犯罪分子發(fā)現(xiàn)時(shí)，它們會(huì)使入侵 IT 邊界的過程變得更加容易和快速。數(shù)據(jù)泄漏檢測(cè)解決方案將幫助您在這些數(shù)據(jù)泄漏促進(jìn)注入數(shù)據(jù)泄露惡意軟件之前發(fā)現(xiàn)并關(guān)閉它們。理想情況下，這樣的解決方案必須不僅能夠解決內(nèi)部數(shù)據(jù)泄漏問題，而且還能夠解決所有第三方數(shù)據(jù)泄漏問題。
7.修復(fù)所有軟件漏洞：軟件漏洞有助于惡意軟件注入，但不斷擴(kuò)大的攻擊面使這些暴露非常難以管理。所有網(wǎng)絡(luò)安全計(jì)劃都應(yīng)包括攻擊面監(jiān)控解決方案。這將幫助您在被網(wǎng)絡(luò)犯罪分子利用之前快速修復(fù)所有內(nèi)部和第三方漏洞。能夠解決第三方供應(yīng)商網(wǎng)絡(luò)的攻擊面監(jiān)控解決方案將幫助安全團(tuán)隊(duì)解決供應(yīng)鏈中的風(fēng)險(xiǎn)，以減輕供應(yīng)鏈攻擊造成的破壞。
數(shù)據(jù)泄露攻擊技術(shù)
數(shù)字化轉(zhuǎn)型正在擴(kuò)大攻擊面，為網(wǎng)絡(luò)攻擊提供豐富的數(shù)據(jù)泄露載體選擇。在高層次上，這些選項(xiàng)可以分為兩類，內(nèi)部和外部網(wǎng)絡(luò)威脅。
內(nèi)部人員威脅——惡意內(nèi)部人員通常是心懷不滿的員工，試圖對(duì)其雇主造成傷害。他們可以通過將網(wǎng)絡(luò)流量轉(zhuǎn)移到云存儲(chǔ)服務(wù)來通過物理載體（如閃存驅(qū)動(dòng)器）或數(shù)字載體來泄露數(shù)據(jù)。
外部威脅——網(wǎng)絡(luò)犯罪分子更喜歡外部數(shù)據(jù)泄露方法，因?yàn)檫@些攻擊可以從世界任何地方遠(yuǎn)程發(fā)起。這也允許數(shù)據(jù)傳輸攻擊自動(dòng)化并快速擴(kuò)展。
下面列出了前 6 大外部數(shù)據(jù)泄露威脅。
1. 命令和控制服務(wù)器
命令和控制服務(wù)器連接是最常見的外部數(shù)據(jù)導(dǎo)出威脅。遠(yuǎn)程攻擊需要在受感染系統(tǒng)和攻擊者的服務(wù)器之間建立通信通道——稱為命令和控制服務(wù)器（也稱為 C&C 或 C2 服務(wù)器）。這種連接的建立通常是由來自受感染網(wǎng)絡(luò)內(nèi)部的惡意軟件發(fā)起的。C&C 惡意軟件可以通過下面列出的任何其他攻擊媒介注入 - FIX UP。這些連接可以通過三種協(xié)議建立——DNS、HTTP 和 FTP。
域名系統(tǒng) (DNS)：DNS 協(xié)議將域名轉(zhuǎn)換為 IP 地址，以便可以區(qū)分和識(shí)別連接到 Internet 的每臺(tái)計(jì)算機(jī)、資源和服務(wù)。數(shù)據(jù)泄露通過稱為 DNS 隧道的過程與此協(xié)議一起工作。這是通過 DNS 查詢和響應(yīng)將數(shù)據(jù)傳輸?shù)?C2 服務(wù)器的時(shí)候。當(dāng)監(jiān)控所有其他端口時(shí)，DNS 隧道是一種流行的數(shù)據(jù)泄露技術(shù)。
超文本傳輸??協(xié)議 (HTTP)：HTTP 應(yīng)用程序協(xié)議用于將數(shù)據(jù)從用戶傳輸?shù)?Internet。它是最常見的通信渠道，這使其成為數(shù)據(jù)擠壓的主要目標(biāo)。當(dāng) HTTP 協(xié)議不安全時(shí)，威脅參與者可以在大量 HTTP 流量之間傳輸敏感數(shù)據(jù)而不會(huì)被檢測(cè)到。
文件傳輸協(xié)議 (FTP)：FTP 協(xié)議用于通過 Internet 將大文件傳輸?shù)?Web 服務(wù)器。為了讓網(wǎng)絡(luò)攻擊者破壞此協(xié)議，必須從公司網(wǎng)絡(luò)內(nèi)部對(duì)外部 FTP 服務(wù)器進(jìn)行身份驗(yàn)證。
2. 網(wǎng)絡(luò)釣魚攻擊
在建立數(shù)據(jù)泄露后門之前，必須將使此連接成為可能的惡意軟件注入目標(biāo)系統(tǒng)。這發(fā)生在網(wǎng)絡(luò)攻擊殺傷鏈的第 3 階段。長(zhǎng)期以來，網(wǎng)絡(luò)釣魚一直是網(wǎng)絡(luò)犯罪分子最喜歡的惡意軟件注入初始攻擊媒介。網(wǎng)絡(luò)釣魚策略基于古老的木馬攻擊方法。
在這些攻擊期間，一封看似無害的帶有受感染鏈接的電子郵件被發(fā)送給受害者。當(dāng)點(diǎn)擊這些鏈接時(shí)，受害者要么被發(fā)送到一個(gè)憑據(jù)竊取誘餌網(wǎng)站，要么啟動(dòng)一個(gè)秘密的惡意軟件安裝過程。
這是一個(gè)網(wǎng)絡(luò)釣魚電子郵件的示例，該電子郵件偽裝成來自 CDC 的有關(guān) COVID-19 的重要信息。社會(huì)工程是另一種形式的網(wǎng)絡(luò)釣魚，可以促進(jìn)惡意軟件注入的外圍攻擊。這些攻擊可能通過電話、電子郵件或社交媒體發(fā)生。在這些攻擊中，惡意行為者會(huì)偽裝成熟人（如客戶或客戶）聯(lián)系目標(biāo)。然后，他們?cè)噲D誘騙受害者泄露內(nèi)部敏感信息以訪問組織的網(wǎng)絡(luò)。
3. 出站電子郵件
駐留在電子郵件系統(tǒng)上的任何敏感信息都可以通過出站電子郵件輕松泄露。
這些數(shù)據(jù)可能包括：
- 日歷事件
- 數(shù)據(jù)庫(kù)
- 圖片
- 知識(shí)產(chǎn)權(quán)文件
4. 軟件漏洞
數(shù)字化轉(zhuǎn)型將組織及其合作伙伴的數(shù)字化表面連接起來。因此，軟件漏洞會(huì)影響與受感染方聯(lián)網(wǎng)的所有實(shí)體。這種影響可能會(huì)滲透到第三方甚至第四方的攻擊面。受損的第三方供應(yīng)商可能會(huì)導(dǎo)致其所有合作伙伴遭受數(shù)據(jù)泄露，這種攻擊策略稱為供應(yīng)鏈攻擊。
