恶意代码危害大！Orion 网络监控软件遭入侵！企业如何应对网络攻击渗透进行有效防范？

2022-07-15

2022 年 1 月底，美国知名 IT 公司 SolarWinds 旗下的 Orion 网络监控软件更新服务器遭黑客入侵并植入恶意代码。这次供应链攻击事件，波及范围极广，包括政府部门、关键基础设施以及多家全球 500 强企业。供应链攻击属于源头之害，其危害巨大，可导致信息泄露、弹窗攻击和被远程控制，数据遭窃取或篡改等结果;软件产品若存在危害代码，会导致用户远程登录的信息遭到泄露。

SolarWinds公司的Orion软件遭遇网络攻击：为什么难以发现

根据行业媒体的报道，一个名为“Cozy Bear”的黑客组织日前对IT管理软件开发商SolarWinds公司的Orion软件进行了破坏性的网络攻击，从而获得了进入美国政府部门和其他组织IT系统的权限。而大多数部门和组织并没有为这种对软件供应链的网络攻击做好准备。

黑客组织较近对大型网络安全机构FireEye公司的入侵是一次规模更大的网络攻击，该攻击是通过对主流网络监控产品进行恶意更新而实施的，并对一些政府机构和企业造成了影响。该事件凸显了对软件供应链网络攻击可能造成的严重影响，而大多数组织都没有为预防和检测此类威胁做好准备。

今年3月，一个黑客组织在一次网络攻击中获得了访问多个美国政府部门(其中包括美国财政部和美国商务部)服务器系统的权限。这一事件导致美国国家安全委员会当时立即召开紧急会议商议应对和解决。

黑客组织“Cozy Bear”的网络攻击破坏了SolarWinds公司开发的名为“Orion“的网络和应用程序监视平台，然后使用这一访问权限来生成木马并将其分发给软件用户。在这一消息传出之后，SolarWinds公司在其网站上的一个页面宣称，其客户包括美国财富500强中的425家厂商、美国十大电信公司、美国五大会计师事务所、美国军方所有分支机构、五角大楼、美国国务院，以及全球数百所大学和学院。

对SolarWinds公司的软件供应链进行攻击还使黑客能够访问美国网络安全服务商FireEye公司的网络，这一漏洞于日前宣布，尽管FireEye公司没有透露网络攻击者的名称，但据《华盛顿邮报》报道，网络攻击者可能是“APT29“或“Cozy Bear”。

FireEye公司在日前发布的一份咨询报告中表示：“我们已在全球多个实体中检测到这一活动。受害者包括北美、欧洲、亚洲和中东地区的政府部门、咨询机构、科技厂商、电信公司以及矿场，我们预计其他国家和垂直地区还会有更多受害者。我们已经通知受到网络攻击影响的所有实体。”

2022年3月至2022年6月之间发布的Orion 2022.4 HF 5至2022.2.1版本的软件可能包含木马程序。但是，FireEye公司在分析报告中指出，每一次攻击都需要网络攻击者精心策划和人工交互。

网络攻击者设法修改了一个称为SolarWinds.Orion.Core.BusinessLayer.dll的Orion平台插件，该插件是作为Orion平台更新的一部分分发的。这一木马组件经过数字签名，并包含一个后门，可与网络攻击者控制的第三方服务器进行通信。FireEye公司将该组件作为SUNBURST进行跟踪，并已在GitHub上发布了开源检测规则。

为了避免检测，网络攻击者使用临时文件替换技术远程执行其工具。这意味着他们用他们的恶意工具修改了目标系统上的合法实用程序，在执行之后，然后用合法的工具替换了它。类似的技术包括通过更新合法任务以执行恶意工具，然后将任务还原为其原始配置，从而临时修改系统计划的任务。

FireEye公司研究人员说：“防御者可以检查SMB会话的日志，以显示对合法目录的访问，并在很短的时间内遵循删除、创建、执行、创建的模式。此外，防御者可以使用频率分析来识别任务的异常修改，从而监视现有的计划任务以进行临时更新。还可以监视任务以监视执行新的或未知二进制文件的合法任务。”

这是FireEye公司所观察到的威胁参与者所展示的较好的操作安全性，它专注于检测规避和利用现有的信任关系。不过，该公司的研究人员认为，这些网络攻击可以通过持续防御进行检测，并在其咨询报告中描述了多种检测技术。

SolarWinds公司建议客户尽快升级到Orion Platform版本2022.2.1 HF 1，以确保他们正在运行产品的全新版本。该公司还计划发布一个新的修补程序2022.2.1 HF 2，它将替换受感染的组件并进一步增强安全性。

企业如何应对网络攻击渗透进行有效防范？

安企神电脑文件防泄密系统是一款专门保护企事业单位电脑文件、无形资产的电脑安全软件，可以有效防止通过U盘、移动硬盘、手机等USB存储设备以及邮件、网盘、FTP文件上传、聊天软件发送文件等各种管道泄漏电脑文件，是当前国内企事业单位防止电脑文件泄漏、保护单位无形资产和商业机密的重要工具软件。

安企神企业数据防泄漏系统（下载地址：http://www.wgj7.com/monitorusb.html）既可以单机安装，也可以基于C/S架构的以管理端和客户端的方式运行，从而可以满足不同规模的网络环境使用。同时，系统各个功能模块一目了然，所有功能均通过点点鼠标就可以完全启用，适合各层次网络管理人员使用。此外，系统集成了强大的自我防护能力，可以严防一些技术人员通过各种途径卸载或绕过监控，从而帮助企事业单位完全实现保护电脑文件安全、保护单位无形资产和商业机密的目的。

安企神电脑文件防泄密系统是一款保护电脑文件安全、严防企业商业机密外泄的产品。系统主要从三个维度进行管理，即存储设备控制、上网行为控制、操作系统控制，从而构建立体化、全方位信息安全防护平台。系统可以禁止一切USB存储设备连接电脑拷贝资料，不控制鼠标、键盘等非存储设备，还可以灵活管控光驱、红外、蓝牙、随身wifi、聊天软件、网盘、邮箱、注册表、应用程序等近百项功能。系统的管理方式快捷灵活，精准有效，目前已成功应用百万终端，积累了丰厚的行业经验。

系统主要提供了以下核心功能：
1、管理USB存储设备的使用

》禁止电脑连接一切USB存储设备，包括：优盘、移动硬盘、手机、平板等，不影响USB鼠标、键盘、加密狗等。
》设置特定U盘，即电脑只能识别白名单列表中的U盘。同时还可以对特定U盘进行二次权限设置。

》只允许从U盘向电脑拷贝文件，禁止电脑向U盘拷贝文件，或只允许电脑向U盘拷贝文件，禁止U盘向电脑拷贝文件。
》密码权限设置。设置从电脑向U盘、移动硬盘拷贝文件时需要输入管理员密码。
》禁用CD/DVD光驱、禁止光驱刻录功能，但是允许光驱读取、禁用软驱。
》监控USB存储设备拷贝记录。详细记录U盘拷贝电脑文件时的日志，包括拷贝时间、文件名称等。

2、网络泄密行为管理

》禁止聊天软件泄密。设置特定QQ、允许QQ聊天但禁止传文件、禁止QQ群传文件、禁止微信传文件等。
》禁止邮箱外传文件。禁止登录一切邮箱、允许登录特定邮箱、只允许收邮件禁止发送邮件等。
》禁止网盘向外传文件。禁止使用一切网盘、云盘，也可以设置使用特定网盘、云盘等。
》程序黑白名单管理。设置禁止运行的程序列表，或者设置只允许运行的程序列表。
》网页黑白名单管理。设置禁止打开的网址名单，或者设置只允许打开的网址名单。
》禁止登录论坛、博客、贴吧、空间等，禁止使用FTP上传文件、禁止手机和电脑通过网络互传文件等。

3、操作系统底层防护

》禁用注册表、禁用设备管理器、禁用组策略、禁用计算机管理、禁用任务管理器、禁用Msconfig、禁用安全模式、禁用光盘启动电脑、禁用红外、禁用串口/并口、禁用1394、禁用PCMCIA、禁用调制解调器
》禁用U盘启动电脑、禁用DOS命令、禁用格式化和Ghost、禁止修改IP/Mac、屏蔽PrtScn、屏蔽Esc键、屏蔽剪贴板、禁止网络共享、禁止查看进程、屏蔽Win键、屏蔽Ctrl+Alt+A键、禁用Telnet、开机系统自动隐藏运行

》设置全局白名单、禁止局域网通讯、禁用虚拟机、禁止创建用户、禁用有线网卡、禁用无线网卡、禁止安装随身WIFI、禁用蓝牙、登录密码设置、软件唤出热键管理、安装目录权限管理、UAC管理、恢复管理
》禁止开机按F8进入安全模式、禁止光驱启动操作系统、禁止U盘启动操作系统、禁止PE盘启动电脑等，防止各种手段绕过系统监控的情况。
总之，通过安企神电脑文件防泄密软件可以阻止通过各种途径泄密电脑文件、泄露公司商业机密的行为。同时，通过本系统提供的操作系统安全防护功能、网络行为控制功能，还可以进一步规范员工上网行为，提升工作效率，也间接保护了电脑文件安全，防止公司商业机密泄露的行为。
同时，通过安企神在信息安全领域多年的技术积累和实践经验，可以为提供个性化的二次定制开发服务，从而可以满足用户深度的、实时的电脑文件防泄漏管理需要，真正帮助企事业单位实现公司电脑文件安全管理、公司数据防泄漏和商业机密保护的较终目的。