随着云计算、大数据、物联网等新技术的广泛应用，各行业数字化转型加速，急需更敏捷、更高效、更灵活的IT架构。其中，云计算作为推动数字经济发展的重要驱动力，促使云主机逐渐成为企业运行业务系统的主要工作负载。然而，信息技术的快速更迭，在为企业带来利好的同时，也使其不断面临安全风险，数字时代的网络攻击正在不断升级！
近年来，针对公众服务、民生服务、基础生产等领域的网络攻击层出不穷，尤其是近日爆出的Apache Log4j2漏洞，再次引发了大众对于网络安全问题的关注。云平台作为关键信息基础设施之一，已成为高级持续性威胁攻击的焦点，攻击者甚至利用云平台作为跳板实现横向复制攻击。
高级持续性威胁（下文简称：APT）是一种高级、长期、有组织、高隐蔽性的网络攻击。云主机自身具备东西向流量直接交互、批量集中运行、复用镜像创建等特点，导致其极易遭受APT攻击。技术高级：APT攻击由高技术手段支撑，具备更高的定制程度和复杂程度，需要花费更多的资源研究既定目标的突破点。长期潜伏：为了实现最终目的，攻击者需要投入大量的时间收集目标信息，持续监控攻击目标，对目标建立长期的访问能力。组织策划：APT攻击是人为参与策划的定向攻击，锁定重要行业部门为攻击目标，对国家安全、经济发展、社会稳定构成严重威胁。极易扩散：云计算技术带来的东西向流量不可视、安全域失效、镜像是否安全的新挑战加剧了APT攻击的横向扩散。一台云主机的失陷，将导致企业业务系统的全面瘫痪，牵一发而动全身。
APT攻击从锁定目标到目的实现要经历多个阶段，即攻击链，大致可分为侦察、工具选择、外部渗透、感染隐藏、安装植入、命令与控制、目标行动这七个阶段。![]()
为了更有效地防御APT攻击，天融信对新一代云主机安全产品 - 天融信自适应安全防御系统进行了全面升级。天融信自适应安全防御系统基于Gartner 提出的自适应安全架构，从预测、防御、检测、响应四大维度构建多维安全能力，并集资产管理、风险发现、威胁监测、微隔离、安全基线、安全检测、安全分析等功能为一体，可为用户提供持续性的监控与分析，全面加强监测和响应能力。
![]()
天融信自适应安全防御系统由管控中心和安全探针组成，采用松耦合部署模式，能够全面兼容各大云计算平台，有效帮助企业实现混合多云环境中主机的统一管理与防护，全面提升用户整体安全运营水平，让针对云主机的APT攻击无所遁形。
根据云上APT攻击的特点，自适应安全防御系统的核心一定是持续的，系统需要站在攻击者角度去实现云主机的安全防御。在全方位立体化的网络边界防护基础上，将安全向后移，主动进行针对攻击痕迹的持续性监控和分析，为企业提供高可用的安全防御策略，帮助其筑牢最后一道安全防护线。实现云主机的安全防御，大致步骤可分为以下五步：
第一步：转换安全防护思维
区别于大规模“炫耀式”攻击，APT攻击一贯是“闷声发大财型”，悄悄入侵，慢慢渗透。“看似水面风平浪静，但也许水下暗潮汹涌”，系统看似稳定运行，并不代表没有安全威胁，因此需要从应急响应转换到持续响应的安全思维。传统应急响应认为攻击是偶发的，后者则认为攻击是不间断的，应该假设自己处于持续性攻击中，全面持续加强监测与响应能力。攻击者在目标确定后，会进行信息收集，如：使用的应用系统、运行的网站、暴露在外的端口等。企业需要明晰自己的重点“保护对象”，减少资产暴露面，实时监控资产变更情况，并在分析出对攻击者吸引力较大的资产后，尽快将其列为重点监控资产。 攻击者在渗透手段确定后，会制作或者采用特定的恶意软件，其中就涉及对弱点的利用，如：弱口令、高权账号、系统与应用的漏洞等均是攻击者的优先选择。基于弱点的安全风险实时识别是云主机加固的重要前提，不仅需要加强识别系统和应用的漏洞，还应洞察人为配置导致的安全风险。根据发现的弱点对症下药，采取有效的整改措施。为实现对APT攻击的有效防御，不仅需要在网络边界部署下一代防火墙、WAF、IDS、IPS等安全设备，还需在云主机层面构建由点到面的持续性检测能力，打造全面的安全壁垒。针对采用加密技术的APT攻击，全面有效的云主机防护可以起到很好的防御效果，根据APT攻击持续性、复杂性的攻击特点，构建持续性的多维度检测能力，让APT攻击的异常行为无所遁形，例如每一个异常的提权行为、反弹行为、暴力破解、异常登录、异常进程、可疑操作、端口扫描、病毒木马等。
“东西向流量不可视”一直以来是云主机安全建设的重点内容，若云主机之间缺乏有效的访问控制措施，APT攻击在内部横向扩散的概率将会大幅度提高。因此，云主机需要重视安全访问控制，其控制措施不仅可以基于主机组和IP组，还应基于具体的服务，从而灵活设置控制策略。没有网络安全就没有国家安全，作为中国领先的网络安全、大数据与云服务提供商，天融信将持续提供创新性的产品、技术与解决方案，为数字时代关键信息基础设施网络安全保驾护航。