安芯网盾：下一代EDR检测技术

当构建安全防线时，往往采用安全模型与产品相组合的形式，以期望达到预期效果。
其中人员是核心，策略是桥梁，技术是保证。

恶意软件检测

无文件攻击RAM，主机安全和服务器安全是防御的最后一道线。

6个环节包括预警、保护、检测、响应、恢复和反击。它们具有较强的时序性和动态性，
能够较好地反映出信息系统安全保障体系的预警能力、保护能力、检测能力，响应能力、恢复能力和反击能力。
安全模型与产品相组合概念如下：

大趋势下，为了提高自身安全性，操作系统趋向收缩第三方软件的权限，封闭性逐渐增强。这意味着，通过传统API Hook的监控方式能力越来越受限，传统防护手段效果变弱，只在应用层或系统层进行防护的产品很难第一时间发现并阻断威胁，最终导致数据量减少、检测率低、误报率高。基于传统安全运营中心 (SOC) 的安全组织已经被证明在没有适当的检测和自动化工具的情况下效率较低。

另外传统的病毒木马威胁数量也还在不断的增长，基于行为分析的识别技术也是当前最重要的检测识别技术（这种技术被称为下一代杀毒技术NGAV），这种技术的实现除了依赖操作系统提供的接口外，还得在操作系统上挂大量的钩子，这样才能监控到足够多的行为，有了足够多样的行为数据后，基于行为分析的检测识别技术才能识别更多的威胁攻击，而且误报率才能足够低，但是目前操作系统越来越封闭（比如64位的Windows操作系统）已经不允许挂钩子了，这势必会大大削弱这种方法的检测效果，而这又是当前十分重要、主流的一种病毒木马威胁检测方法。

比如像EDR软件，它会更注重数据的采集，把采集到的数据放入Server端，在Server端做大数据分析，分析识别威胁。这些传统的安全产品肯定也能解决一些安全问题，但是它存在两个弊端，一是现在操作系统越来越封闭（如：Windows 64位系统已经不允许挂钩子了），这会导致这些软件的采集数据的能力越来越弱，二是有些软件把数据上报到Server端分析，等Server端分析出来威胁，Agent端已经无法阻断响应了，威胁已经运行完毕，正因这有延时，无法实时响应。因此它们无法提供强劲的运行时保护能力。

其实，从内存角度保护主机安全的思路并不复杂，但为什么此前少有企业专耕于此？
姚纪卫是几款著名的安全软件如PCHunter、LinxerUnpacker的作者，前款被国际权威机构评为全球最优秀的AntiRootkit安全软件，后款被评为当时最强的基于反病毒虚拟机技术的通用脱壳机。姚纪卫告诉AI掘金志，总的来说，相比其他安全产品，内存保护技术的应用，对技术者要求高，开发难度更大。既要懂安全，又要懂操作系统，需要熟悉操作体系结构和系统原理，还需要熟悉各类攻击方式。这方面的双料人才比较少。也正因如此，此领域有大公司跟进，但小公司跟进的较少。

姚纪卫指出，基于行为分析的检测方案是目前整个安全行业在主机层面针对高级威胁检测的共识，而基于行为分析的产品也将是未来的主流趋势。不同的是，每家企业都有自己独特的行为抓取方式，或通过应用层、或通过驱动层，但大多依然依附于操作系统之上。内存保护技术能有效绕开当前操作系统的一些限制（比如PatchGuard等），实现对系统中各类行为的有效监控。

2005年，X86 CPU开始引入硬件虚拟化技术，此后CPU也经过多次迭代，硬件虚拟化技术也不断完善，这为这项技术应用于安全方向提供了良好的硬件基础，大概在2010年开始有人尝试把这项技术应用到安全上。

智能内存保护系统通过硬件虚拟化可以监控CPU执行的指令集，通过对部分敏感指令的监控，并结合操作系统上下文就可以知道操作系统中运行进程到底执行了什么动作，从而破解操作系统的一些限制，采集到更多的程序行为，这样可以大大提升威胁识别率，并大幅降低误报率。

为了抓取足够全、足够细的数据，安芯网盾通过硬件虚拟化技术，可以检测0day攻击、无文件攻击等传统安全软件检测能力薄弱的高级威胁。显著提高检测率，据悉检测率达90%以上。此外，这一产品基于Agent架构，启动相关服务和脚本即可运行，而且在运行时CPU占用率不超过5%，内存占用率不超过100M。Agent在主机底层信息上具有较全面探针能力。

漏洞检测

更糟糕的是，众多企事业单位在 0day 漏洞面前，因业务的复杂性，面临着无补丁可打，或有补丁无法打的尴尬境地，使得黑客有可乘之机，造成无法挽回的财产和社会声誉损失。
0day 漏洞可以在“几小时或几天内”被挖掘出来，但开发人员通常需要几周或几个月的时间来打补丁或者更新。没有代码是不具备漏洞的。如何防御漏洞是需要一个解决方案的。

未知威胁漏洞的检测方案是基于行为统计的监控，包括大量流量、日志进行分析。四个步骤：采集、大数据分析、AI过滤、人工判定。日志是对攻击活动的客观表述，是攻击意图推理的前提条件，活动记录的越详细，分析推理结论的准确性则越高。

参考文献
https://mp.weixin.qq.com/s/YWrIZ6fCAvzn4WXdvXt6qA