張曉藝

基于瀏覽器的網(wǎng)絡(luò)威脅已成為當(dāng)今網(wǎng)絡(luò)安全專業(yè)人士面臨的最大問題之一，對于組織來說，對這些難以檢測的攻擊實施有效保護(hù)至關(guān)重要。

在所有使用的軟件中，瀏覽器暴露最多，他們不斷與外界聯(lián)系，并經(jīng)常與網(wǎng)絡(luò)犯罪分子感染惡意軟件的網(wǎng)站和應(yīng)用程序進(jìn)行交互。瀏覽器是功能強大、數(shù)據(jù)豐富的工具，如果受到攻擊，可為攻擊者提供大量信息，包括個人地址、電話號碼、信用卡數(shù)據(jù)、電子郵件、ID、密碼、瀏覽歷史記錄和書簽等。

瀏覽器也是網(wǎng)絡(luò)犯罪分子在設(shè)備、個人網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)上建立立足點的理想工具。瀏覽器依賴于許多第三方插件（如JavaScript，F(xiàn)lash，ActiveX）來執(zhí)行各種任務(wù)。但是，這些插件通常帶有安全漏洞，網(wǎng)絡(luò)犯罪分子利用這些漏洞來訪問系統(tǒng)，這些漏洞允許攻擊者通過安裝勒索軟件、泄露數(shù)據(jù)和竊取知識產(chǎn)權(quán)等方式造成嚴(yán)重破壞。

在過去一年左右的時間里，網(wǎng)絡(luò)威脅急劇增加，專門利用基于瀏覽器的漏洞。這種受歡迎程度的提高不僅因為瀏覽器在戰(zhàn)略上是理想的黑客攻擊目標(biāo)，而且因為很難檢測到基于瀏覽器的Web威脅。大多數(shù)惡意軟件檢測和防護(hù)技術(shù)通過檢查下載或附件等文件來工作。但是，基于瀏覽器的威脅不一定使用文件，因此傳統(tǒng)的安全控制無法分析，除非組織實施不依賴于分析文件的高級工具，否則基于瀏覽器的攻擊可能不會被發(fā)現(xiàn)。

鑒于基于瀏覽器的攻擊功能強大且難以發(fā)現(xiàn)，因此很容易理解為什么它們變得如此突出。

基于瀏覽器的網(wǎng)絡(luò)威脅如何運作

作為基于瀏覽器的攻擊如何工作的示例，請考慮一個Windows用戶訪問看似良性但實際是惡意網(wǎng)站的情況，這可能是之前訪問過的網(wǎng)站，或者是點擊了誘人電子郵件的結(jié)果。一旦發(fā)生連接，用戶的瀏覽器就開始與站點進(jìn)行交互，假設(shè)系統(tǒng)使用的是JavaScript，（94%的網(wǎng)站都有，而且超過90 %的瀏覽器都啟用了它）瀏覽器會立即從惡意網(wǎng)站下載并執(zhí)行JavaScript文件。

JavaScript可以包含惡意代碼，能夠捕獲受害者的數(shù)據(jù)，改變注入新的或者不同的數(shù)據(jù)到他們的Web應(yīng)用程序，所有的背景對用戶不可見。例如，惡意軟件作者用于實現(xiàn)此目的的一種方法是在JavaScript中嵌入混淆的Adobe Flash文件。以下是典型情況的代表：

Flash代碼調(diào)用PowerShell，這是一個功能強大的OS工具，可以執(zhí)行管理操作并存于每臺Windows機器上；

Flash通過其命令行界面向PowerShell提供指令；

PowerShell連接到攻擊者擁有的隱藏命令和控制服務(wù)器；

命令和控制服務(wù)器將惡意PowerShell腳本下載到受害者的設(shè)備，該設(shè)備捕獲或查找敏感數(shù)據(jù)并將其發(fā)送回攻擊者。

在攻擊者達(dá)到目標(biāo)后，JavaScript，F(xiàn)lash，PowerShell腳本將從內(nèi)存中刪除，基本上沒有任何違規(guī)記錄。

打擊基于瀏覽器的網(wǎng)絡(luò)威脅

大多數(shù)惡意軟件檢測系統(tǒng)通過驗證鏈接、或通過安全性評估已知威脅的附件下載文件來工作。在此處描述的基于瀏覽器的攻擊中，安全系統(tǒng)可能沒有任何要分析的鏈接或文件，因此傳統(tǒng)的反惡意軟件技術(shù)通常無效。

盡管如此，仍有一些方法可以抵御基于瀏覽器的攻擊。即使沒有文件，最新和最先進(jìn)的惡意軟件檢測技術(shù)也可以評估JavaScript和Flash數(shù)據(jù)。這些創(chuàng)新工具從設(shè)備的內(nèi)存中提取JavaScript和Flash內(nèi)容，并檢查靜態(tài)和動態(tài)異常，例如：

（1）靜態(tài)-結(jié)構(gòu)異常

數(shù)組或字符串中存在不尋常的shellcode；

缺少或添加細(xì)分；

嵌入文件；

可疑的函數(shù)參數(shù)；

代碼注入的證據(jù)，如隱藏的iframe或異常標(biāo)記；

代碼混淆的跡象，例如編碼或特定的JavaScript函數(shù)（如加密或指紋識別）。

利用的跡象-結(jié)構(gòu)相似性，簽名

（2）動態(tài)-行為異常

異常進(jìn)程行為，代碼可能不會丟棄文件但可能會導(dǎo)致網(wǎng)絡(luò)連接異常，或者嘗試啟動異常進(jìn)程；

堆噴涂，通過利用瀏覽器漏洞將代碼插入預(yù)定位置；

嘗試修改系統(tǒng)文件或組件；

與已知惡意站點或命令和控制中心的連接；

逃避戰(zhàn)術(shù)，如拖延。

雖然通過分析組織員工遇到的每一點JavaScript和Flash內(nèi)容，可以查找上面列出的所有可能的異常，但這是不切實際的。對每個實例進(jìn)行全面測試至少需要一定程度的行為分析，這可能需要60秒或更長時間。鑒于公司的員工每天都會遇到大量的JavaScript和Flash，因此對所有員工進(jìn)行全面的行為分析是不可行的。

過濾方法可以評估基于瀏覽器的威脅

良好的惡意軟件檢測引擎可以分階段評估代碼，而不是讓每個JavaScript實例都進(jìn)行完整的靜態(tài)和動態(tài)分析，在初始階段，引擎僅執(zhí)行靜態(tài)分析，不需要執(zhí)行代碼。由于惡意軟件檢測系統(tǒng)可以實時執(zhí)行此操作，因此可以在此級別評估所有JavaScript和Flash內(nèi)容。成功通過此過濾器的代碼，大部分將在正常操作期間執(zhí)行，無需進(jìn)行其他測試。

惡意軟件檢測引擎在初始靜態(tài)分析階段遇到異常的情況下，可以更密切地檢查代碼。最嚴(yán)格和耗時的測試只需要在此前所有測試都表明存在大量惡意軟件風(fēng)險的罕見情況下進(jìn)行。靜態(tài)分析會識別可能是惡意的功能（例如數(shù)據(jù)加密），可以加密數(shù)據(jù)的代碼可能是勒索軟件，在這種情況下，系統(tǒng)還將執(zhí)行動態(tài)分析，以確定代碼是否確實是惡意行為，或者是否以良性和適當(dāng)?shù)姆绞绞褂眉用芄δ堋?/p>

靜態(tài)分析可以有效地檢測各種異常，例如異常宏、丟失或添加的結(jié)構(gòu)或段以及與網(wǎng)絡(luò)犯罪分子使用的命令和控制服務(wù)器的對應(yīng)等。如果發(fā)現(xiàn)其中一些功能非常明顯的惡意，系統(tǒng)可以立即將對象評為高風(fēng)險。如果有疑問，系統(tǒng)還會執(zhí)行動態(tài)分析來測試代碼執(zhí)行時實際執(zhí)行的操作。

如果靜態(tài)分析沒有發(fā)現(xiàn)任何可疑之處，系統(tǒng)可以將對象評分為低風(fēng)險并繞過動態(tài)分析。

通過使用這種分階段的方法，系統(tǒng)可以完全測試所有可疑對象，從根本上消除誤報。結(jié)合僅在必要時執(zhí)行動態(tài)分析所獲得的效率，測試所有JavaScript，F(xiàn)lash文件是否存在惡意軟件變得可行。

惡意軟件不斷發(fā)展，我們必須這樣做

網(wǎng)絡(luò)犯罪分子一直在努力尋找新的、更有效的方式來滲透我們的計算機、設(shè)備和網(wǎng)絡(luò)?；跒g覽器的網(wǎng)絡(luò)威脅最近的演變是一個難以檢測和有效的惡意新技術(shù)的例子。

由于傳統(tǒng)的反惡意軟件產(chǎn)品幾乎不可能有效地評估所有JavaScript和類似的基于瀏覽器的對象，因此企業(yè)通常容易受到新威脅的攻擊。為了有效地保護(hù)自己，組織還必須不斷升級其威脅防御工具，以應(yīng)對惡意軟件的最新變化。