虛擬雲網路

網路虛擬化NSX 技術文章系列二百六十六: VMware網路安全新方案簡述(三)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

無論是防火牆、入侵偵測防禦、以及我們在本系列尚未討論的網路流分析 (Network Traffic Analysis) ,主要都是針對網路連線的檢查與特徵比對,但對於藉由網路傳輸內夾帶的檔案本身,可能是可執行檔 (Executable File)、文件 (Document)、執行腳本 (Scripts)、甚至如媒體檔、壓縮檔、資料檔等等,通常不是網路連線檢查的重點。但確認檔案本身是否惡意,能否容許用戶正常下載其實是很重要的,舉最常見的例子,如果企業內用戶誤點了惡意連結,連到Internet下載勒索病毒 (Ransomware) 像是 darkside 這類,在相關的資安控管機制內能否進行偵測或是阻擋呢?

可以的,這是VMware網路安全新方案的強項,功能上叫做惡意軟體防禦 (Malware Prevention)。幾個功能與架構上的重點在本篇網誌內與大家進行介紹。

Malware Prevention利用Hash比對、本地端分析、與雲端沙箱進行檔案檢查

當NSX透過閘道或於虛機端抓取到要下載的檔案,首先會透過Hash值比對將檔案與由Internet取得的檔案資料庫進行比對,確認是否是已經認得的合法 / 非法檔案。這邊是第一個步驟。

若沒有結果,接著NSX會進行本地的檔案靜態分析,包含了不同的技術如檢查程式碼或檔案架構、分析API-Call與呼叫URL、Script與巨集分析等不同方式來判斷檔案是正常或惡意。

如果在前述步驟都無法確認,此時NSX Application Platform會將檔案送往Internet上之雲端沙箱 (Sandbox) 執行。VMware之雲端沙箱是由Lastline時代即領先安全業界的技術,透過基於全系統模擬的方式,包含惡意程式執行時使用的完整 CPU 指令集,是否有採用迴避技術、加密機制等都一覽無遺。而除了沙箱模擬器之外還有包含一些Lastline發展的統計演算法以及深度內容比對技術。透過相關技術,多面向比對下進行打分,即使是陌生的檔案也能確認是否有惡意行為。

透過上述Hash比對、本地檔案分析以及雲端沙箱的機制,無論伺服器下載的是已知或是未知檔案,都能在此流程內比對出是否為惡意軟體,提供需求的告警以及必要之阻擋。

Malware Prevention可同時於閘道以及vSphere端進行運作

Malware Prevention可以在兩個地方進行:閘道端(南北向)以及vSphere上(東西向),如下圖所示。

於閘道端,NSX Gateway會透過IDPS引擎抓取出南北向網路連線中之檔案來進行必要的比對。其中

  • 各式檔案支持類型完整,可支持的檔案格式列表可參考 https://docs.vmware.com/en/VMware-NSX-T-Data-Center/3.2/administration/GUID-0EDE5C08-F59D-45F3-8E48-0D7D038207ED.html 。目前於閘道端僅進行惡意檔案偵測,不進行阻擋。
  • 於閘道端進行檔案分析的主要問題在於若網路連線為加密,無法看到內容。因此要完整支持此功能,閘道端必須運作TLS Decryption機制,於NSX-T 3.2.1版已正式GA提供支持。

於vSphere端是透過Service VM,也就是Guest Introspection的機制,搭配VMTools來抓取虛機系統IO來取得檔案。因此

  • 如同Guest Introspection機制的限制,僅運作於Windows型態虛機
  • 因為是在虛機系統IO層面攔截檔案,不需要考慮加解密問題
  • 目前時間點,支持檔案類型僅有Windows Portable Executable (PE) 型態執行檔。除了偵測外亦可進行阻擋。

啟用Malware Prevention的相關資源準備

如同前面討論,Malware Prevention需要NSX Application Platform來做Hash比對以及將檔案送往雲端沙箱分析。因此部署前,必須先將NAPP安裝完成後,再進行啟用:

此外,當Malware Prevention於Gateway上面運作時,由於IDPS / TLS Decryption等效能要求,底層的Edge虛機必須安裝為最大的Extra Large型態。而Malware Prevention於vSphere上啟用時,每台vSphere上都需要配置一台對應的Service VM (SVM)來負責此台host上面所有虛機的檢查,各台虛機VMTools內也需要啟用Guest Introspection功能。

下圖是Malware Prevention的作業介面。當有偵測到惡意程式時,管理者可以在介面內看到事件資訊:

同時我們也可以點擊檔案,確認相關細節,下圖即為上述事件,偵測到darkside.exe檔案(知名的勒索軟體)的分析資訊:

關於Malware Prevention方案相關介紹就先到這邊。下一篇我們進行網路流分析 (Network Traffic Analysis, Suspicious Traffic) 的討論。

评论

发表评论

电子邮件地址不会被公开。

This site uses Akismet to reduce spam. Learn how your comment data is processed.