SOC平台案例：泰合安管平台针对利用MicrosoftOffice公式编纂器缝隙的监测与响应

颁布功夫 2018-05-31

1.案例概述
 
近期，某企业单元部署的TSOC平台发现了利用“Office公式编纂器缝隙（CVE-2017-11882）”的攻击行为。此缝隙是一个埋伏了17年之久的缝隙，属于Office内存粉碎缝隙，影响2017年11月前盛行的所有Office版本，攻击者能够利用缝隙以当前用户身份执行肆意号令（在2017年11月4日，微软颁布的安全补丁包中已蕴含此缝隙的建复法式）。
 
泰合北斗服务团队接到通知后，第一功夫通过安全治理平台进行响应措置，通过度析发现办公环境中某用户在不知情的情况下打开了一份恶意文档，导致触发Office公式编纂器缝隙（CVE-2017-11882），并衔接远程恶意地址接管攻击指令。

 

2.事务分析

 

2.1事务追忆
 
2018年1月11日，在某企业单元部署的TSOC平台中发现佑装L2_MC_office缝隙表链链接“的事务告警。
 


同时，该企业单元的内网环境中部署了TSOC-FC流采集器(TSOC-FC为泰合安全治理平台流采集探针，通过网络流量镜像或/和接管网络FLOW数据，对常见和谈解析如HTTP/DNS/FTP/SMB等和谈会话信息进行纪录，并将信息上传给TSOC进行综合分析)，对该告警事务进行追忆分析，发现流量日志中一个内网办公终端尝试接见“http://gamesarena.gdn”的日志纪录。

 

 


2.2事务分析
 
网络域名”http://gamesarena.gdn”的威胁谍报，通过威胁谍报查问到该域名和2017年11月份的”office公式编纂器”缝隙有关联。
 

 


将该事务的内网地址作为主张地址进行调查，查看近期表网对该内网地址的其他衔接事务，其中发现了“POP3_可执行的邮件附件传递“事务，附件名称为“2017.doc”。
 


对所有的事务进行关联分析，将整个攻击流程描述出来如下：
 

 


攻击者通过邮件的大局发送带有恶意附件的邮件给受害者，当受害者打开附件并启用编纂后，受害者的主机遇对衔接文档中的恶意地址，去获取攻击指令，但由于http://gamesarena.gdn目前已经无法接见，受害者主机无法获取进一步的指令。
 
2.3事务响应
 
针对该事务分析措置，泰合北斗服务团队依附泰合安全治理平台成立了监测规定，用于对该攻击行为进行实时监控和告警，规定如下：
 


针对本次案例中的问题，北斗团队建议用户采取如下措施：
 
1）建议装置2017年11月份微软颁布的补丁(KB2553204、KB3162047、KB4011276和KB4011262），用于建复CVE-2017-11882缝隙。
2）打开系统自动更新，实时更新微软官方的最新补丁。
3）对受害主机进行全面查杀。

 

3.实现语
 
凭据泰合北斗服务团队多年从事安全治理平台的运维经验，想要充分阐扬安管平台的价值，体显旖台在安全事务分析方面的成效，通常必要从项目建设与运维治理造度、安全治理组织、安全人员技术水平等几方面共同致力。其中安全技术人员必要相识最新的安全动态，实时调整安全防护战术和检测规定。运维安全治理平台，通常必要安全技术人员进行如下工作：
 
1、覆盖业务领域的全量日志网络；
2、日志的过滤与降噪；
3、日志尺度化与精密化梳理；
4、结合业务进行关键信息补全；
5、凭据攻击场景和攻击特点成立关联分析模型；
6、在关联分析过程中引用表部威胁谍报；

 

4.关于宝运莱官方网站泰合TSOC安全治理平台
 
宝运莱官方网站作为中国信息安全行业的领航企业，占有齐全的信息安全技术、产品、解决规划和服务能力，已经成为当局、电信、金融、能源、交通、造作等领域内国内高端客户青睐的品牌。
 
宝运莱官方网站专门成立了泰合产品本部掌管大数据安全分析领域及泰合系列安全治理类、审计类和流安全分析类系统的研发、征询、项目执行与运维。泰合产品本部门别在北京、上海、荆门、昭通等地设有研发中心。
 
◆2017年，宝运莱官方网站的泰合安管平台成为首个进入GartnerSIEM魔力象限的中国安管平台产品。
◆凭据赛迪汇报，从2008年至今，宝运莱官方网站的泰合安管平台已经陆续9年位居中国市场占有率第一名。
◆凭据IDC的汇报，从2015年至今，宝运莱官方网站的泰合安管平台已经陆续2年位居中国市场占有率第一名。