时间： 2018-08-15 15:32 浏览次数：70 来源：未知
2018年8月3日，由中国互联网协会互联网金融工作委员会、金融科技创新联盟主办，由金融科技创新联盟金融网络安全专业委员会主任单位国泰君安证券股份有限公司承办的金融科技创新论坛（第八期）暨金融网络安全专业委员会第一次工作会议在上海国泰君安证券股份有限公司总部成功举办。
本次会议以“金融网络安全技术与挑战”为主题，华为网络产品线安全解决方案规划总监赖后华就《基于AI的主动防御助力金融业务安全》作主题演讲。
以下为赖后华发言实录：
各位领导、各位专家，大家下午好！
今天我给大家汇报一下华为在AI助力金融安全方面的一些成果。
我们主要是分几个方面来给大家做分享，首先看看当前金融数字化转型的网络安全挑战，其次是华为如何利用AI去应对新挑战，最后分享一下应用案例。
攻防的本质就是人或组织间的对抗，举个类似企业攻防的例子，咱们今天是怎么进这个房间的？首先到一楼大堂的时候，有一个通用的检查，我们认为这是安全里面的第一道基本的边界防御，不眼熟的、没有登记的不让进。然后上到四楼会议室门口的时候还有一个安检，防止存在安全隐患的东西进入会议室，并且在过道、会议室均会布置很多摄像头，持续分析异常行为，为本次与会成员提供贴身保护，这就类似安全分层防御的思路，边界传统防御、纵深持续分析、对关键资产重兵把守贴身保护。
网络空间安全对抗持续升级，我们先看看攻方的最新趋势。
趋势一是攻击复杂化，具体包括如下内容：
一是加密攻击导致现有方案失效。Gartner报道当前约60%、到2020年将有约70%的攻击采用加密，内容加密导致基于签名的匹配失效，这个是需要警惕的关键问题。
二是大量利用合法域名来控制内网主机，现有基于域名匹配的方案失效。
三是无文件攻击导致杀软失效的问题。有报道称无文件攻击占53%，可以达到10倍攻击效果，比如说打开了一个文件，这个文件本身是没有问题的，但是他会在内存加载恶意软件，这个恶意软件不落硬盘，导致杀软基于硬盘文件扫描检测的方式失效，给安全提出了新的挑战。
四是利用AI发起精准攻击。前面说过攻防的本质是人和人、组织和组织的对抗。黑客也使用人工智能来发起这个攻击，如一些报道的AI鱼叉式钓鱼攻击，如需要财务数据，就会利用AI从被盗数据中识别高管、并编写出非常逼真的业务邮件，通过嵌入恶意附件或网页地址，点击后植入恶意代码，然后控制机器来实现长期收集和窃取数据的目的。
趋势二是漏洞产业化问题。根据2017年的有关报道，威胁的总数和高危的数量是在翻番的，黑产市场从原来的明码标价，到现在攻击即服务。2018年RSA大会上，多个厂商演示2分钟内现场制作勒索软件，访问开源网站下载一个工具，几次鼠标点击就可以定制属于你的勒索软件，你可以选择传播方式、支持哪些语言、采用什么方式支付赎金，意味着现在的攻击门槛变低了。
上面主要讲攻击方的最新动向，我们讲了这么多就是想阐述攻击是非常复杂的，只要有足够价值，黑客就会想方设法去突破。接下来我们要讲防守方面的措施。
一是安保常态化，传统完全依赖静态、单点安全设备和技术的严防死守已经无法应对有组织有针对性的高级威胁攻击，安全防护重点需要过渡到主动防御和全网检测处置，企业需要积极主动增加安全投资、更多集成高级安全分析和认知计算的产品。
二是应急响应小时化，“永恒之蓝”事件的爆发是对重大安全事件应急响应的一次考验，它留给响应处置的时间只有24小时。
对于我们守方来说，我们如何应对上面讲的威胁呢？第一个就是你以前在一楼大堂的通用检查是需要保留的，第二道安检确认也是需要的，但是我们在房间里包括走廊里装摄像头也是需要的，这就是持续分析，我们要把投资更多地放到持续分析、异常发现上。
我们回顾一下下面这些大家都耳熟能详的案例，WannaCry来的时候，它是采用永恒之蓝漏洞植入你的机器，如果连通了就会没事，如果不连通就会发作，一些具备安全分析应急响应能力的企业，利用这个特定自行搭建外部黑客远控服务器，这样就争取了处置时间。
WannaCry全球爆发一个半月后，NotPetya勒索病毒再来，WannaCry故事重演，采用同样的永恒之蓝漏洞，同样是勒索，采用不一样的感染方式，为了躲避杀毒软件的检测，感染后修改MBR磁盘引导区，重启后直接引导到恶意程序，操作系统和杀毒软件都没有起来，从而绕过杀毒软件检测。另外还利用了威胁巨大的供应链攻击，这种方式存在于软件、硬件的开发、交付、使用环节，非常容易突破企业防线，黑客是直接攻破企业上游供应商的软件更新服务器，把恶意软件植到软件服务器里，导致下游企业在日常更新时软被植入恶意软件。
下面我们看一下媒体曝光的2017年针对金融攻击的大事记，其中Lazarus黑客组织堪称全球金融机构首要威胁，据媒体报道2016年孟加拉国8000万美金不翼而飞，厄瓜多尔、越南、菲律宾等多个国家的银行陆续曝出曾经遭遇其攻击，利用Swift银行间转账系统实施攻击和窃取。我们了解到海外一些国家，办公网机器可以直接访问生产网，远程可以登录生产网进行维护，面临巨大黑客攻击风险，苦不堪言。国内银行采用办公和生产网隔离，相对好很多。
金融系统作为国家关键基础设施系统、且存在大量价值信息，是政治、经济诉求黑客组织攻击的主要目标。
金融科技利用大数据、人工智能、区块链、云化等新兴技术助力金融业务转型升级，新技术应用打开更多攻击面、暴露更多安全风险，需要未雨绸缪。
下面我们来看看金融主要面临哪些网络安全挑战和诉求：
第一点，鱼叉式钓鱼攻击，黑客向潜在受害者发送其关注话题的邮件，受害者难以察觉点击后被感染，这种方法的成功率非常高，据报道90%的APT攻击利用鱼叉式钓鱼，也就是说邮件是我们防御关键的环节。
第二点，黑客利用未知漏洞入侵Web服务器，控制网站服务器，然后进行内网渗透，这样黑客就渗透到了生产网。
第三点，刚刚讲了，金融有很多软硬件供应商，如果上游更新服务被植入恶意软件，那么就会直接进入金融内网，如杀毒软件、ERP软件等。
第四点，银行办公网不能直接上互联网，确实比较安全，但是，由于各种原因，还是有部分人员可以访问互联网，或者部分老的业务系统没有装杀毒软件、或者杀毒不能更新，或者安全相对较弱的分行，各种情况都有，非常复杂。所以，这里就成为安全的短板，黑客会从薄弱的短板处进来。
第五点，内部威胁，外部没有攻进来的黑客我们不重点关注，但是攻入进来的黑客，如何第一时间准确发现。还有一个就是内部违规，金融存在大量价值信息，如何识别内外串通窃取信息、大量驻场合作方人员的信息安全管理，这些都需要有技术手段。
第六点，内外网U盘摆渡问题，只要做摆渡，就存在植入恶意软件的风险，多起ATM机器插入U盘后吐钱、伊朗U盘震网病毒都是这个导致的，这些都是免干预自动化恶意软件攻击的例子。
第七点，隐蔽外发通道问题，黑客可以利用协议无校验的弱点，直接在ping、DNS请求报文的载荷中放入外泄数据，就可以绕过现网安全设备传输出去。
针对上面的诉求，华为利用大数据和人工智能、机器学习、深度学习等高级安全分析技术，利用大量黑白样本，机器自动学习黑客的攻击方法，自动输出检测模型，利用机器来对抗不断升级的黑客攻击手段，覆盖钓鱼邮件/供应链攻击渗透、加密和非加密黑客远控通讯（含WebShell后门通讯）、侵入黑客攻击和员工内部违规行为、隐蔽通道外泄等关键攻击链环节。
首先我们来讲一下AI机器学习的基本原理。以前我们是利用程序员分析样本来编写签名或规则，如果黑客攻击手法变了，检测方法就会失效。解决办法就是我把大量的黑白样本都拿过来，通过特征供提取观察特征点，通过针对这些特征的训练，生成判断规矩。这里打一个形象的比喻，如我们判断一个人帅不帅，你可能看眼睛、鼻子、肤色、笑容、谈吐这些特征点，然后登记为调查表，根据这调查表形成一个很大的决策树（判断矩阵），这个决策树包括了所有人的意见，每个人的判断有个人倾向，众口难调无法用于判断，所以我们采用人大会议模式，各省派出代表团，每个代表团代表所在区域各领域的意见，大家举手表决，少数服从多数。这个在机器学习领域就叫随机森林。
第一类AI应用是基于Hypervisor行为捕获+AI分析的第三代文件沙箱：
当前市场上的第二代沙箱的检测软件和恶意程序共处一个操作系统中，这样会导致恶意软件探测到是沙箱执行环境而拒绝执行，并且依赖hook接口获取文件行为信息，语义和行为都不够完整、针对不同操作系统和应用还需要开发不同hook代码，并且还需要基于不同的恶意行为序列提前编写好恶意代码判断依据。
华为第三代沙箱利用在虚拟化层检测，也就是地下一层检测，恶意软件无法感知，且所有行为都会被虚拟化层捕获、跟操作系统和应用无关、病毒语义更完整，你在上面干什么，我在下面都能听得见，利用这个技术误报率得到了大幅度的降低、检出率得到大幅提升。
未知文件判定方面有三种AI应用，其一是利用机器学习判定是否异常，其二利用卷积神经网络的深度学习方法判定具体属于那种恶意软件，对于未知家族无法分类的，我们基于无监督聚类，识别大致分类，打个比方如1.5米以内的属于矮个、1.5米到1.8米算正常、1.8米以上属高个。
第二类应用是黑客远控通讯C&C检测，包括如下检测模型：
一是有监督学习检测加密流量攻击，黑客加密攻击将占70%，加密了之后你连之前能看清的狗（内容）、和它身上的胎记（签名）你都看不见了，导致基于签名的检测失效，但是他留下了一些具备区分度的微弱线索，这些线索具备一定的区分度，通过AI利用这些线索可以区分加密后的各种攻击行为。
四是有监督学习webshell通讯流量检测WebShell后门通讯行为，WAF（Web应用防火墙）可以拦截常见WebShell，但WebShell脚本容易变形和混淆，突破WAF，我们通过分析海量的WebShell通讯样本，利用特征训练出检测模型，可以识别不同的WebShell后门通讯行为。
快速准确及时检测至关重要，可视是安全的基础，也非常关键，如果不可视的话，我如何知道你检测的结果是真的，是谁、怎么进来、感染了那些终端、做了什么、对我有什么影响、我如何去遏制和修复，只有可视，才能判断灾情，辅助快速做出响应决策。
这个界面呈现的是全网安全态势感知，威胁来源于自身流量探针检测的威胁、利用第三方安全产品日志事件提取有效攻击，呈现主要资产的漏洞和事件情况、主要的漏洞及其分布的情况、主要事件和处理情况，辅助对全网资产、漏洞、事件有个整体把握。
华为是提供整体网络和安全解决方案的厂商，我们发现的问题后，可以联动控制器，联动园区、数据中心网络设备/安全设备/终端软件，实现威胁遏制，避免快速蔓延。
最后，我们分享一下金融行业的案例，我们上面讲的检测能力都体现到这个方案了，覆盖钓鱼渗透、C&C远控通讯、内部扩散、数据外发的攻击链防御，现网效果显著。
上面是华为基于AI的主动防御助力金融业务安全的分享。
谢谢大家！
