目前，APT（高級持續(xù)性威脅）攻擊已經(jīng)對金融系統(tǒng)、交通、能源，甚至地緣政治造成巨大的影響。APT攻擊廣泛采用0day漏洞、高級定制木馬、專用攻擊設(shè)備進(jìn)行攻擊和信息獲取，具有難發(fā)現(xiàn)、難維護(hù)、難分析、難追蹤的特點(diǎn)。傳統(tǒng)的網(wǎng)絡(luò)安全防護(hù)手段已經(jīng)難以應(yīng)對APT攻擊。
針對金融行業(yè)，在過去的2015-2016年堪稱全球銀行的災(zāi)害年：
2016上半年發(fā)生了以孟加央行為代表的一系列發(fā)展中國家的央行和大型國有銀行被盜事件，受害者損失高達(dá)數(shù)千萬美元。
2016下半年發(fā)生了以臺灣第一銀行ATM機(jī)吐鈔事件為代表的一系列ATM機(jī)攻擊事件。
2015年針對金融高管的勒索郵件開始大規(guī)模傳播造成嚴(yán)重?fù)p失。
2015年SWIFT系統(tǒng)漏洞導(dǎo)致銀行造成過億美元損失；
針對這些層出不窮的攻擊，中國銀監(jiān)會于2016年發(fā)【2016】107號文：
【針對安全的部分，文件要求】政策性銀行、大型銀行、股份制銀行、郵儲銀行還要針對高級持續(xù)性威脅、精準(zhǔn)式網(wǎng)絡(luò)攻擊進(jìn) 行安全評估，對威脅和攻擊進(jìn)行分類場景設(shè)定，有針對性的排查系統(tǒng)漏洞、分析脆弱性,形成應(yīng)對此類攻擊的防護(hù)措施專項評估報告。
工作內(nèi)容分解如下：
通過銀監(jiān)會發(fā)【2016】107號文，我們看到金融行業(yè)在應(yīng)對高級持續(xù)性威脅攻擊方面已經(jīng)提出了監(jiān)管上的要求，銀行必須要有相應(yīng)的技術(shù)手段及可行的方案應(yīng)對來自APT的攻擊。
金融行業(yè)企業(yè)在實施APT攻擊檢測之前，有必要了解一下APT攻擊的原理，在這里我們主要針對水坑攻擊和釣魚郵件兩種攻擊方式（據(jù)權(quán)威機(jī)構(gòu)公布在中國這兩種APT攻擊方式占全部APT攻擊的90%左右）進(jìn)行說明：
水坑攻擊：當(dāng)訪問者訪問互聯(lián)網(wǎng)上的鏈接時，有可能會訪問到水坑網(wǎng)站，如偽造的某銀行的官網(wǎng)，該網(wǎng)站會提示瀏覽器端的FLASH組件需要更新，此時訪問者由于對該銀行的信任而下載偽裝的升級包，升級包下載完成之后，會像正常的升級包一樣在客戶端進(jìn)行安裝，而該文件在后臺則會釋放惡意代碼，惡意代碼會外聯(lián)惡意網(wǎng)站并取得聯(lián)系，外部的APT攻擊組織接收到信息后，則會遙控下載更多的惡意組件，并對企業(yè)內(nèi)部網(wǎng)絡(luò)進(jìn)行攻擊、信息收集，進(jìn)而造成企業(yè)重大損失。
釣魚郵件 ：攻擊者采用偽裝某銀行的郵件服務(wù)器，向銀行的內(nèi)部員工發(fā)送《**銀行領(lǐng)導(dǎo)層重大人事任命》之類的郵年，這類郵件通常會是關(guān)系銀行員工切身利益的重要話題，員工急于了解真實情況，而忽略了郵件服務(wù)器的驗證，打開附件，附件會顯示偽裝的正常文件給員工閱讀，而該文件在后臺則會釋放惡意代碼，惡意代碼會外聯(lián)惡意網(wǎng)站并取得聯(lián)系，外部的APT攻擊組織接收到信息后，則會遙控下載更多的惡意組件，并對企業(yè)內(nèi)部網(wǎng)絡(luò)進(jìn)行攻擊、信息收集，進(jìn)而造成企業(yè)重大損失。
通過對APT攻擊過程的了解，我們可以看到其攻擊的過程主要依賴網(wǎng)絡(luò)、郵件和終端三個渠道來完成，因此主要防御的重點(diǎn)也落在這三個部分：
網(wǎng)絡(luò) ：主要監(jiān)控入口的HTTP/HTTPS流量，獲取協(xié)議中的文件附件，對其進(jìn)行靜態(tài)威脅情報檢測及動態(tài)沙箱攻擊檢測，以有效的檢測威脅；
郵件 ：對進(jìn)入郵件服務(wù)器的郵件進(jìn)行附件提取，獲取郵件中的文件附件，對其進(jìn)行靜態(tài)威脅情報檢測及動態(tài)沙箱攻擊檢測，以有效的檢測威脅；針對威脅郵件可以依據(jù)威脅等級設(shè)置阻斷策略，完成郵件阻斷；
終端 ：對外設(shè)傳入電腦終端的文件執(zhí)行檢測，并對不同渠道發(fā)現(xiàn)的威脅進(jìn)行威脅查找、威脅隔離及威脅處理；
通過三個渠道的有效結(jié)合，形成威脅發(fā)現(xiàn)、威脅記錄、威脅阻斷及處理的閉環(huán)處理過程。
針對APT攻擊，明朝萬達(dá)同中科院軟件所一起合作研發(fā)共同推出了“高級持續(xù)性威脅檢測系統(tǒng)”，該產(chǎn)品具有如下優(yōu)勢：
產(chǎn)品全面覆蓋網(wǎng)絡(luò)、郵件、終端三個不同的渠道，全面檢測APT攻擊，并進(jìn)行威脅協(xié)同處理；
網(wǎng)絡(luò)側(cè)，可以解析下行HTTP/HTTPS（需要流量解密設(shè)備協(xié)助處理）協(xié)議；
針對郵件側(cè)支持下行SMTP、IMAP、POP3協(xié)議；
針對終端側(cè)結(jié)合明朝萬達(dá)自有的可信網(wǎng)絡(luò)安全管理平臺軟件完成同APT管理控制中心的聯(lián)動，有效發(fā)現(xiàn)和處理APT威脅；
APT動態(tài)檢測引擎擁有全球最高的威脅檢出率，目前已經(jīng)在五大行之一的國有銀行以及國家其它涉密組織進(jìn)行驗證，在純動態(tài)檢測的情況下，檢出率最高；
完成同多家威脅情報廠商集成，支持威脅情報的靜態(tài)檢測，大大降低APT動態(tài)檢測的資源及時間成本，提高系統(tǒng)的響應(yīng)效率及檢測準(zhǔn)確率；
該產(chǎn)品也提供了很好的兼容性，提供接口可以完成同企業(yè)現(xiàn)有安全設(shè)備及應(yīng)用系統(tǒng)的集成，為其提供全企業(yè)統(tǒng)一的APT威脅檢測能力，同時也可以將檢測的報告和重大的安全事件提供給企業(yè)的SIEM、SOC之類的系統(tǒng)進(jìn)行統(tǒng)一安全態(tài)勢感知及威脅處理。
