NEITHNET 全套式防禦　缺資安人力也能完美駕馭

2022/05/01

以Omicron變種為主的疫情正方興未艾，與此同時，以獲利為目的的網路攻擊卻趁著企業員工採取分流、異地、居家辦公期間，大舉利用社交工程手法發動釣魚郵件，依據台灣本土文化、習慣用語、熱門時事議題設計郵件主旨與內文，吸引用戶點選夾帶惡意程式的附加檔，抑或是內文中嵌入導向釣魚網站的連結，導致資安事故自疫情以來持續激增，讓企業損失慘重。

深耕台灣市場的NEITHNET騰曜網路科技，在島內部署大量誘捕系統（Honeypot）蒐集了豐富的在地化威脅情資，相當熟悉專門針對台灣所設計的本土社交工程手法。NEITHNET騰曜網路科技技術經理Peter指出，從近期資安實驗室（NEITHCyber Security Lab）掌握的惡意樣本發現，駭客攻擊通常會先利用晚上或假日離峰時段，透過掃描工具窺看系統，一旦發現資安設定配置不當的漏洞，隨即執行滲透。對於此類IT人力有限、未設立專屬資安人員的單位而言，正可藉由騰曜網路科技自主研發的解決方案，來輔助控管風險並最大程度降低營運傷害。

三大關鍵技術助企業增強資安韌性

NEITHNET騰曜網路科技自主研發的解決方案，涵蓋NEITHInsight網路威脅情資、NEITHSeeker託管式偵測及回應（MDR），以及NEITHViewer資安事件管理平台。Peter說明，主軸是以NEITHInsight為核心進行情資收集，經過資安實驗室（NEITHCyber Security Lab）整理轉換成入侵指標（IOC），再讓企業IT環境既有部署的防火牆、統一威脅管理（UTM）、入侵偵測系統（IPS）等資安設備，得以介接餵入NEITHInsight提供的情資，提升企業IT環境對於外部攻擊威脅滲透入侵的偵測與即時攔阻能力。例如，偵測發現DDoS攻擊活動的來源IP位址，防火牆設備可逕行阻斷，減少分析比對需耗用的運算資源。

在方案中最受企業用戶讚賞的當屬NEITHViewer。過去NEITHViewer管理平台主要蒐集騰曜自家解決方案的日誌，依照企業IT維運需求進行關聯分析並呈現狀態指標，近期則功能再提升，除了原有利用設備導入Netflow流量進行分析再納入了流量複製（Traffic Mirroring）深度封包解析，並且搭配NEITHSeeker回應機制，強化對內網擴散的阻斷能力。

集網路封包，並根據多數網路設備支援的Netflow流量內容取得連線相關內容，並同時透過NEITHNET情資比對，當下立即可判定端點的連線請求目的地是否為惡意網站，同時檢查東西向的連線活動，諸如由惡意程式所發起的端點間橫向連線請求，或者利用Windows內建遠端桌面（預設3389連接埠）接取其他端點，但不符合平時習慣性的活動模式，NEITHViewer可全程掌握攻擊活動行徑。

收到告警後，IT或資安人員可透過NEITHViewer查看細節，檢視端點環境惡意程式滲透入侵的漏洞、橫向擴散採用的手法，釐清第一台被滲透的端點、攻擊程式、行為模式，再運用NEITHSeeker執行回應，讓攻擊活動以失敗收場。

NEITHNET騰曜網路科技自主研發解決方案，涵蓋NEITHInsight網路威脅情資、NEITHSeeker託管式偵測及回應（MDR），以及NEITHViewer資安事件管理平台，三大關鍵技術整合運行助企業增強資安韌性。

機器學習演算分析提高控管精準度

當前企業IT環境的資安防禦都由異質供應商的軟硬體組成，至少也包含防火牆與防毒軟體等，但就算建置了SIEM（資安事件管理）平台蒐集日誌，其關聯分析仍偏重於南北向網路傳輸行為，缺乏內網環境的東西向活動可視性。Peter指出，針對這個痛點，NEITHViewer解決方案採用Netflow與Traffic Mirroring，有效補足了內網環境的監控能力。也難怪在NEITHNET騰曜網路科技提供的三大解決方案中，NEITHViewer最令企業有感。

部署NEITHViewer若採IT人員熟知的連接埠Mirror方式，通常必須要拉實體網路線接取交換器連接埠，蒐集該交換器進出的網路封包。Netflow實作方式則較為單純，把網路設備設置日誌拋送的位址指向NEITHViewer即可彙整所有資料。之後即可基於NEITHInsight網路威脅情資運行分析比對，一旦發現惡意IP位址，可進一步針對發起連線的端點橫向行為深入解析，釐清感染範圍。

值得一提的是NEITHViewer近期再增添機器學習演算模型實作分析引擎，有助於判讀Netflow資料，掌握Layer 4以下的連線細節，釐清擴散感染的行為。相較之下，過去企業IT人員監控網路流量主要是預先設定臨界值（Threshold），超過點位則發出告警，但因難以準確計算每個應用伺服器的正常流量水準，只能依靠經驗配置參數值。

如今隨著機器學習演算法日漸成熟易用，企業IT長期累積的大數據正可用於訓練分析模型，以科學方式得到正常連線行為常態分布數值，並且依據企業IT環境微調降低誤差，提高偵測的準確度。