阿碼外傳-阿碼科技非官方中文 Blog: 2014年5月23日

2014年5月23日

Proofpoint、阿碼赴紐約時代廣場納斯達克敲鐘,並宣布併購 APT 防禦公司 NetCitadel






在紐約曼哈頓的時代廣場上,面對著紐約時報總部的時代大樓,其每年最後一天的降球儀式,為紐約市民慶祝新年時的主要地點;左手邊是象徵著美國高科技與資本主義的納斯達克總部,右手邊則是象徵著美國音樂文化發展的百老匯。在這裡設立總部的還包含了路透社、安永會計師事務所(Ernst & Young)、摩根史坦利(Morgan Stanley)與MTV等。

今天,我們來到這裡的納斯達克總部,為納斯達克開市敲鐘,也發表我們在 APT 防禦方面的最新併購案。

有了阿碼這隻超強生力軍加入後,APT防禦將是整個 Proofpoint 往後的重點發展方向,而幫公司評估適合的併購對象,也成為我加入後的重點工作之一。完整的 APT 防禦,需要多種技術相互組合,而 NetCitadel 擁有的獨特全自動事件處理機制,正是我們客戶急需要的一塊。

各位知道,阿碼的 APT 惡意文件與網址偵測技術獨步全球,可以很有效地真測出零時差威脅。APT 翻成中文是「先進持續性威脅」,所以我們今天真測出此威脅,並不表示攻擊者今天才開始攻擊:極有可能,他已經攻擊一段很長的時間了,而往後,他仍然會持續進行攻擊。所以偵測到某威脅時,有幾個很重要的問題:

  1. 今天,我們保護了該使用者,但是過去,在客戶還沒使用阿碼之前,有沒有其他人已經被感染了?
  2. 而往後,如何確保其所有他同事皆不被該攻擊感染?
  3. 如何將需要「資安專家」人工甚至到場處理的諸多動作,給自動化?


這該如何達成呢?假設客戶某員工被我們檢測出來,收到了針對性攻擊的惡意文件,那麼我們是否能夠全自動地完成以下動作:

  1. 透過動靜態合一的分析,取得該惡意文件之最終目的:要植入的惡意程式,或要執行的機器碼(shellcode)
  2. 將該惡意程式的感染痕跡,當場做全自動的特徵取樣

如果可以做到以上,那麼我們就可以進一步地說:我們知道感染後的特徵了。這邊的重點,是「痕跡」。我們的沙箱與動靜態檢測,可以有效錄到整個感染的「行為」:期間,被呼叫的 API、產生的暫存檔、對記憶體的操作(如 heap spraying)等等都是。問題是,行為不是痕跡:行為,要於感染的過程中全程監控,才可以錄到,而對於一台正被使用中的電腦,如果要知道「是否已經被感染」,則我們需要的是能夠在我們的沙箱分析中,不但能夠自動分析識別惡意「行為」,而還要能夠更進一步地自動分析出感染後之「痕跡」

今年,在阿碼諸多同事的努力下,我們研究出了可以達成的技術!那麼接下來,我們需要有一套裝在每台電腦上面的軟體,持續不斷接受我們的引擎所自動分析出來之「感染痕跡」,並做以下處理:

  1. 掃描該電腦,確定是否有被感染?
  2. 如果有,則立刻通知管理者,
  3. 立刻自動跟網路上的防禦設備(如防火牆、IPS、UTM等)聯絡,請所有相關設備立刻阻擋一切與受感染機器相關之網路封包,等於將該機器自動拔除網路,
  4. 立刻自動跟網路上的防禦設備(如防火牆、IPS、UTM等)聯絡,針對我們自動截取判斷出來的惡意網域,封鎖一切封包,等於封鎖企業內部任何對於這些外部惡意機器的任何連線。此點可以將保護範圍擴大為企業內部的所有電腦,而不僅限於被我們測出來受感染者。


如此一來,我們就可以將我們自動偵測到的零時差威脅的應用擴大,運用「一即一切」的原理,從防衛一個時間點,擴展到防衛過去與未來的感染;從偵測到針對某員工的攻擊,擴展到對全部員工的防禦,並且能夠在發現威脅後,做最有效的即使處理,立刻阻隔攻擊者,防止資料外洩,降低損失。

要能夠支援多家的防火牆與網通設備,以及發展這樣一套在電腦上面常駐的「感染痕跡掃描器」,以阿碼現有的資源,可能需要一整年的時間,在諸多客戶表達極度需求的情況下,我們開始往併購方面努力。我們有兩個選擇:a) 找具有相關經驗的公司,併購後,請他們放棄目前產品,全力投入開發我們要的上述,或 b) 找公司是剛好有開發出上述需求的。

很幸運地,NetCitadel 正是 (b)!可是因為市場上專注於此之公司很稀有,大家都想要,併購的過程可說是一波三折,從原本年初我們覺得確定無望,大家相互安慰,到後來峰迴路轉,我方勝出,讓我覺得在商場上打拼,一半是努力,一半真的是命啊!

Proofpoint 在矽谷的公司中並不算大,我們于納斯達克上市也才兩年多。但是每每看到同事這麼地努力,處處想辦法提供客戶最好的產品,最好的服務,希望可以獲得客戶的青睞,都會很感動,也希望阿碼這邊一直持續創新,把東西做得更好。

的確,我們要的,不是漂亮的辦公室或出差時的高級旅館,我們要的,是客戶的肯定,是大家技術的提升,是一個能讓我們持續創新的舞台,是資源讓我們能夠持續併購與我們有相同夢想的團隊加入。新創公司,就是這麼令人著迷!

最後我想說,雖然感覺外面都是我在「出沒」與發聲,而今天我的照片也在時代廣場的大電視牆上了,但是我比任何人都清楚,能夠有今天的成績,是整個團隊七十幾人一起的努力,我只是大家推派出來的代表,或許因為我程式沒大家寫得好,但是我肯坐飛機吧!

對軟體產業來說,人才就是資產,人才就是一切,我們靠的是腦袋與創意而非資本,我們創出的是高利潤的服務而非高污染的工廠!很感謝這幾年一直默默在背後付出的阿碼團隊,你們實在是太辛苦了,我講不出什麼,只能夠說,真的謝謝各位!也謝謝一路以來支持我們的客戶跟長官,沒有您們的支持,阿碼不會有今天,而我們回報的方式,就是繼續努力奮鬥下去,並希望政府能認同台灣軟體產業的實力,扶植出更多成功的軟體公司!

Wayne 於紐約

附錄:

Proofpoint 官方新聞稿

NetCitadel規格


支援之 APT 偵測來源:
  1. 阿碼證點(Proofpoint TAP)
  2. FireEye MPS
  3. Palo Alto Networks WildFire
  4. HP ArcSight
  5. QRADAR
  6. GeoIP


支援之網通設備:
  1. Cisco ASA
  2. Cisco IOS
  3. Cisco NX-OS
  4. Juniper SRX (JUNOS)
  5. Check Point
  6. Palo Alto Networks
  7. Fortinet FortiGate


Photo credit:
Copyright 2000-2014, The Nasdaq Stock Market, Inc.
Reprinted with the permission of The Nasdaq Stock Market, Inc.
Photo credit: Peter Aaron/Esto


繼續閱讀全文...