{{indPage.title}} /{{BreadCrumbs}}
ExtraHop 2021/10/07
ExtraHop 助力消除企業網路的可視性盲點,逼使入侵者形跡敗露、無從藏匿!
隨著入侵攻擊手法進化,近年時常可見駭客輕易跨過傳統邊界防禦、直接滲入受害企業內網,釀成可觀災情。使越來越多企業意識到內部環境分析的重要性,著手導入各類型「偵測與回應」(Detection and Response)解決方案;期初像是 EDR、XDR 等產品,或者 MDR 服務,相繼蔚為風潮。
然而近年 NDR(網路偵測與回應)展現後發先至氣勢,在全球市場的成長率節節攀升,風頭逐漸壓過 EDR、XDR 或 MDR。著眼於此,身為 NDR 領導廠商的 ExtraHop,決定攜手代理夥伴逸盈科技展開積極推廣作為,期望協助臺灣企業跟上 NDR 佈建熱潮,一舉破解隱含於企業環境的種種盲點,讓駭客難以繼續隱身在陰暗角落。
互補其他偵測與回應產品,破解企業環境的盲點
ExtraHop 亞太區技術總監朱孟穎表示, NDR、EDR、XDR 之所以不同,源自資料蒐集點的差異,如 EDR 取決於端點,XDR 取決於端點加上日誌(Log),NDR 取決於網路。至於 MDR意指 Managed Detection and Response,為專業托管服務性質,服務商透過用戶環境的端點、網路或日誌資料,協助進行事件辨識與判別。
「NDR 能與其他偵測與回應產品形成互補,破解企業內部環境的盲點,」朱孟穎說,現今許多企業佈建印表機、網路攝影機、數位電話機等大量 IoT 設備,但無法為它們植入 Agent,也難以進行 Logging,因而成為 EDR、XDR 偵測死角;又或者,譬如金融業或電信業都將資料庫視為關鍵資產,基於穩定運行考量,不傾向安裝 EDR 或 SIEM的Log來耗損系統資源,避免衍生風險。此時便可利用 NDR 的網路側錄方式,再搭配機器學習演算法來監測企業網路中 User、Active Directory、Application、Database、Storage 之間所有互動,進而針對異常事件展開響應,避免上述盲點淪為資安破口。
以往談到網路偵測,企業較為重視防火牆、Proxy、IDS/IPS 等邊界防禦系統,利用它們來分析縱向(南北)流量,雖不乏防護功效,但容易錯失發覺入侵者的黃金時間。假設攻擊鏈當中含有 A 到 Z 程序,依序代表駭客執行內部掃瞄、掌握關鍵資產,探索關鍵資產的漏洞、橫向移動、入侵、抓取資料…等步驟,最終 Y 到 Z 才是攻擊鏈的最後一哩,意指駭客往外拋資料;唯有走到這一步,防火牆、IDS/IPS才有機會發現敵人蹤跡。但從 A 到 Z 之間往往歷經數個月、數週或數小時,企業當然不樂見重點投資的防禦設備,竟然僅能守護從 Y 到 Z一小段,更希望及早掌握駭客入侵及橫向移動等行徑,因而需要借重內部網路的橫向(東西)流量分析來填補偌大缺口。
匯聚三大優勢,得以即時發現威脅、加速事件回應
時至今日,ExtraHop 憑藉旗 Reveal(x) NDR 產品,已在全球各產業建立廣泛客戶群。令人好奇 ExtraHop 擁有哪些獨特優勢,得以在競爭激烈的市場闖出一片天?
朱孟穎歸納三項因素。首先 NDR 是收封包的設備,如同人類擁有耳朵,聽得到企業網路流傳的訊息,但每個人對不同語言的辨識度與理解度,高低落差甚大。ExtraHop 能廣泛「認知」逾 75 種眾多網路協定,而非如多數廠商只能做到「識別」層次,猶如 ExtraHop 不僅能聽出有人講俄語、還可完全理解箇中語意。以資料庫應用為例,所有 NDR 產品均能識別「流量暴增」現象,但只代表統計學上的異常,不見得為資安事件;反觀 ExtraHop 24/7 收錄所有封包的 Metadata,並基於對眾多語言與協定的理解,深切掌握存取資料庫的所有用戶名稱、查詢哪些 Table 資料,及針對資料採取讀、寫或刪除動作…等一切細節,故能準確還原當初事件原貌,達到更佳的偵測與回應功效,將誤判機率降至最低。
其次 ExtraHop Reveal(x) 內建 SSL 解密專屬晶片,不需依賴第三方外掛,得以憑藉優異的吞吐效能解析加密封包內容,因而成功攔截諸多頑強的惡意入侵,如近期盛行一時的 PrintNightmare 漏洞攻擊便是一例。
第三,許多 NDR 產品重「D」而輕「R」,普遍缺乏完整的事件回應輔助機制,只是不停偵測、不停發警訊。ExtraHop 考量用戶接收到警訊後,仍需自行處理事件回應,故於 Reveal(x) NDR 內建分析平台,藉以迅速抓取眾多細部資料,以利用戶輕鬆快速地獲得完整佐證,精準判定該警訊是誤判、或真實事件。
附帶一提,ExtraHop 不論流量正常與否,都會全天候收錄所有 Metadata,並且長期保存。好處是萬一有新弱點被揭露,ExtraHop 不只如同其他友商,可保障用戶環境的當下安全,還能幫助用戶回溯反查過去數月的資訊,檢視當時有無設備對外連結惡意 IP,藉以根除駭客埋下的樁腳。去年底(2020)爆發 SolarWinds 供應鏈攻擊之際,ExtraHop 便協助許多用戶成功追查出潛伏許久的毒害。
逸盈科技第二事業處 Cloud Service 部產品經理林孟忠指出,逸盈除致力推廣與銷售 ExtraHop Reveal(x) 產品外,亦將憑藉長年代理資安產品累積的專業素養,一方面協助企業理解特定的資安知識,二方面則善用 ExtraHop 提供的 API、促成Reveal(x) 與第三方工具的整合,例如 Network TAP Switch、防火牆、SIEM、EDR/MDR 或網路存取控制(NAC)等,以發揮資安聯防效果。
事實上就有製造業用戶,曾利用 ExtraHop Reveal(x) 的機器學習演算法,成功捕捉到來自海外據點的 VPN 流量,從夜間至清晨依序執行內部掃瞄、橫向移動、侵入主機的可疑過程,研判風險偏高,故而發出即時告警,驅動 NAC 執行封鎖,讓潛在攻擊行動劃下句點,完美締造了網路偵測與應變的絕佳典範。