Cloud Firewall protège contre les vers de minage en détectant et en bloquant le trafic malveillant en temps réel. Ce document explique comment utiliser Cloud Firewall et Security Center pour protéger votre environnement cloud grâce à la prévention, la détection et la réponse aux incidents.
Limites
-
Édition de Cloud Firewall
La détection et la défense contre les vers de minage sont disponibles uniquement dans les éditions Premium, Enterprise ou Ultimate de Cloud Firewall. Pour plus d'informations, consultez Achat de Cloud Firewall.
-
Édition de Security Center
Les fonctionnalités disponibles dans Security Center varient selon l'édition. Pour plus d'informations, consultez Fonctionnalités.
Modes de propagation des vers de minage
Le rapport 2018 sur le minage cryptographique dans le cloud, publié par l'équipe de sécurité d'Alibaba Cloud, a révélé que les grandes vagues de vulnérabilités zero-day sont généralement suivies d'épidémies rapides de vers de minage. Ces vers perturbent les activités en consommant les ressources système. Certains, comme XBash, sont même associés à des rançongiciels, entraînant des pertes financières et de données.
L'équipe de sécurité d'Alibaba Cloud a constaté que les vers de minage se propagent principalement dans le cloud en exploitant les vulnérabilités suivantes :
-
Exploitation des vulnérabilités courantes
Les vers de minage exploitent les vulnérabilités applicatives courantes, telles que les mauvaises configurations et les mots de passe faibles. Ils utilisent également des attaques par force brute contre des services tels que SSH, RDP et Telnet pour rechercher et infecter de nouveaux hôtes.
-
Exploitation des vulnérabilités zero-day et N-day
Les vers de minage exploitent également le délai entre la découverte et la correction des vulnérabilités zero-day et N-day, ce qui permet des infections rapides et à grande échelle.
Stratégie de défense
|
Phase |
Solution |
Actions |
|
Prévention |
Créez des politiques de contrôle d'accès dans Cloud Firewall pour autoriser uniquement le trafic de confiance. |
Créez une politique de contrôle d'accès sortant pour autoriser le trafic vers des adresses IP publiques de confiance et refuser tout autre trafic. Pour plus d'informations, consultez Politiques de contrôle d'accès. |
|
Activez Threat Engine dans Cloud Firewall pour bloquer les activités de minage. |
Utilisation de Cloud Firewall pour se défendre contre les vers de minage |
|
|
Utilisez la fonctionnalité Intrusion Prevention de Cloud Firewall pour détecter et bloquer le trafic d'attaque. |
||
|
Utilisez la fonctionnalité antivirus de Security Center pour bloquer automatiquement les virus, les connexions malveillantes et les webshells, empêchant ainsi les incidents de minage sur vos instances ECS. |
||
|
Gérez les alertes de sécurité dans Security Center pour détecter les programmes de minage et la communication avec les pools de minage sur vos instances ECS. |
||
|
Détection et réponse |
Utilisez la fonctionnalité Breach Awareness de Cloud Firewall pour détecter rapidement les vers de minage. |
Sur la page Breach Detection, identifiez les événements spécifiques et les adresses externes auxquelles ils se connectent. Pour plus d'informations, consultez Utilisation de Cloud Firewall pour détecter les vers de minage. |
|
Utilisez la fonctionnalité Intrusion Prevention de Cloud Firewall pour contenir rapidement les menaces. |
Activez Basic Protection dans Cloud Firewall pour bloquer les téléchargements de fichiers malveillants. Pour plus d'informations, consultez Comment utiliser Cloud Firewall pour contenir rapidement les menaces après une intrusion. |
|
|
Utilisez les politiques de contrôle d'accès de Cloud Firewall pour bloquer les connexions de minage de cryptomonnaies. |
Créez une politique de contrôle d'accès sortant pour autoriser le trafic vers des adresses IP publiques de confiance et définissez l'action pour le trafic vers les adresses des pools de minage sur Deny. |
|
|
Suivez les bonnes pratiques de Cloud Firewall basées sur le framework ATT&CK. |
Cloud Firewall propose des fonctionnalités telles que les règles de base, le correctif virtuel et le renseignement sur les menaces, qui couvrent divers risques du framework ATT&CK. Nous vous recommandons de suivre les bonnes pratiques de Cloud Firewall basées sur le framework ATT&CK pour renforcer la sécurité de votre réseau. |
|
|
Post-intrusion |
Utilisez Security Center pour retracer la source de l'attaque du virus de minage. |
Affichage des résultats de l'analyse de la source de l'attaque Si aucune communication associée n'est détectée ou si aucune alerte n'est générée dans un délai de sept jours, le virus de minage ou le cheval de Troie a été supprimé. Pour plus d'informations sur l'affichage des résultats de la requête, consultez Breach Awareness. |
Défense contre les vers de minage avec Cloud Firewall
Défense contre les vulnérabilités courantes
Pour se défendre contre une attaque par force brute, telle que celles ciblant SSH et RDP, la fonctionnalité Basic Protection de Cloud Firewall inclut la détection conventionnelle des attaques par force brute. Elle calcule les seuils pour les tentatives de connexion et les échecs, et bloque toute adresse IP dépassant le seuil. Cette fonctionnalité utilise des modèles comportementaux basés sur vos habitudes d'accès pour bloquer les connexions anormales sans interrompre l'accès légitime.
Pour les exploits courants, tels que l'utilisation de Redis pour écrire des tâches cron ou l'utilisation d'UDF de base de données pour l'exécution de commandes, la fonctionnalité Basic Protection utilise la vaste bibliothèque d'échantillons d'attaques d'Alibaba Cloud pour créer des règles de défense précises.
Pour activer Basic Protection et vous défendre contre les vulnérabilités courantes, procédez comme suit :
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
Sous l'onglet Internet Border, définissez Threat Engine Mode sur Blocking Mode - Loose.
Sous l'onglet , activez l'interrupteur Basic Protection.
Dans le volet de navigation de gauche, choisissez . Sur la page IPS, consultez les journaux de blocage détaillés dans la liste.
Défense contre les vulnérabilités zero-day et N-day
Si les vulnérabilités zero-day et N-day populaires ne sont pas corrigées à temps, le risque d'infection par des vers de minage augmente considérablement. Cloud Firewall utilise un réseau de honeypots déployés pour analyser le trafic d'attaque suspect et recueille des informations sur les vulnérabilités auprès de la plateforme Alibaba Cloud Security Crowdsourcing. Ce processus permet la découverte rapide des exploits, l'acquisition de PoC et la création de correctifs virtuels, vous offrant un avantage décisif contre les attaquants.
Activez le correctif virtuel pour vous défendre contre les vulnérabilités zero-day et N-day. Pour ce faire, procédez comme suit :
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
-
Sous l'onglet Virtual Patching, activez l'interrupteur Virtual Patching. Vous pouvez ensuite afficher et gérer les règles de correctif virtuel dans la liste.
Après avoir activé cette fonctionnalité, le haut de la page affiche les statistiques des règles, telles que le nombre total de règles, le nombre de règles activées/désactivées, le nombre de vulnérabilités à haut risque et le nombre d'attaques actuellement bloquées, ainsi que la version de la bibliothèque de règles. Vous pouvez filtrer les règles selon des critères tels que Risk Level, Attack Type, Attack Target, Status, Supported Engine Mode et Current Action. La liste des règles comprend des informations telles que Rule ID, Rule Name, CVE ID, Risk Level, Current Action et Status.
Détection des vers de minage avec Cloud Firewall
Même avec des mesures de prévention des intrusions robustes à la frontière du réseau public, les systèmes peuvent toujours être infectés par des vers de minage. Par exemple, un ver de minage peut se propager d'une machine de développement au réseau de production via un VPN, ou une infection à grande échelle peut se produire si les images système ou Docker utilisées pour les opérations sont pré-infectées par un virus de minage.
Cloud Firewall propose la fonctionnalité Breach Detection, alimentée par l'analyse du trafic réseau (NTA), pour détecter rapidement et efficacement les infections par des vers de minage. Grâce à son réseau de renseignement sur les menaces, Cloud Firewall identifie les adresses des pools de minage, détecte les téléchargements de chevaux de Troie de minage, reconnaît les protocoles de communication de minage et émet des alertes en temps réel pour les activités de minage sur vos hôtes.
Utilisez la fonctionnalité Quick Blocking sur la page Breach Detection pour détecter les vers de minage et bloquer la communication entre les chevaux de Troie de minage et les pools de minage au niveau du réseau. Pour activer le blocage automatique, procédez comme suit :
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
-
Sur la page Breach Detection, localisez un événement spécifique dans la liste et cliquez sur Details dans la colonne Actions.
Dans le panneau Event Details, vous pouvez afficher l'adresse externe à laquelle le programme de minage se connecte.
Connectez-vous au serveur affecté, localisez le processus de minage et supprimez-le.
Confinement rapide des menaces
Si un serveur est déjà infecté par un ver de minage, Cloud Firewall peut aider à contenir la menace et à minimiser les pertes commerciales et de données en bloquant les téléchargements de fichiers malveillants, en interceptant la communication C&C et en renforçant le contrôle d'accès pour les zones commerciales critiques.
-
Bloquer les téléchargements de fichiers malveillants
Après qu'un hôte a été infecté par un ver de minage, il tente souvent de télécharger des fichiers malveillants supplémentaires. La fonctionnalité Basic Protection de Cloud Firewall inclut la détection de fichiers malveillants. Elle utilise des mises à jour en temps réel des signatures uniques et des hachages flous pour les vers de minage courants. Si un hôte infecté tente de télécharger de nouvelles charges utiles d'attaque, Cloud Firewall effectue des vérifications de sécurité, y compris la reconstruction de fichiers et la correspondance des signatures sur le trafic. S'il détecte un téléchargement de fichier malveillant, il génère une alerte et bloque le téléchargement.
Activez l'interrupteur Basic Protection sous l'onglet de la page IPS Configuration pour bloquer les téléchargements de fichiers malveillants.
-
Intercepter la communication C&C
Après qu'un hôte a été infecté, le ver de minage peut essayer de communiquer avec un serveur de commande et de contrôle (C&C) pour recevoir d'autres commandes malveillantes ou pour exfiltrer des données sensibles. La fonctionnalité Basic Protection de Cloud Firewall intercepte cette communication C&C en temps réel grâce aux méthodes suivantes :
Elle analyse et surveille les données de vers à l'échelle du réseau et le trafic des serveurs C&C pour créer des signatures pour le trafic anormal. Elle surveille en continu les changements dans la communication C&C et extrait les modèles d'attaque pour assurer une détection rapide.
Elle apprend automatiquement à partir des données de trafic historiques pour construire un modèle de détection de trafic anormal, ce qui aide à découvrir des vers de minage inconnus potentiels.
Elle utilise la visualisation de big data pour profiler le comportement d'accès IP à travers le réseau. Elle emploie l'apprentissage automatique pour identifier les adresses IP et les domaines d'accès anormaux, corrèle ces données avec les informations d'attaque à l'échelle du réseau et maintient une bibliothèque de renseignement sur les menaces C&C. Cela permet une mise en correspondance en temps réel avec le trafic du serveur pour bloquer les connexions C&C malveillantes.
Activez la fonctionnalité Basic Protection sur la page pour intercepter la communication C&C.
-
Activer un contrôle d'accès strict pour les zones commerciales critiques
Les services critiques doivent souvent être exposés à Internet, mais les analyses et les attaques provenant d'Internet constituent une menace pour vos actifs, ce qui rend difficile un contrôle d'accès externe granulaire. Cependant, pour les connexions sortantes initiées à partir d'une instance ECS, d'une adresse IP élastique ou d'un réseau interne, le nombre de domaines de destination ou d'adresses IP est généralement contrôlable et limité aux services légitimes. La mise en œuvre d'un contrôle d'accès basé sur les domaines ou les IP sortants peut empêcher un hôte ECS compromis d'implanter des chevaux de Troie de minage ou de communiquer avec des serveurs C&C.
Cloud Firewall vous permet de définir des règles de contrôle d'accès basées sur les noms de domaine de destination (y compris les domaines génériques) et les adresses IP. Pour protéger les services commerciaux critiques, configurez une politique de contrôle d'accès Outbound stricte. Cette politique permet à vos services critiques de se connecter uniquement à des domaines de destination ou des adresses IP spécifiques, tout en refusant toutes les autres connexions sortantes. Cette approche empêche efficacement le téléchargement et la propagation des vers de minage et arrête les activités de persistance et de monétisation post-intrusion.
Par exemple, votre réseau interne établit des connexions sortantes vers un total de six adresses IP, où les services NTP sont tous identifiés comme des produits Alibaba Cloud et le serveur DNS est une adresse connue comme 8.8.8.8. En suivant les recommandations de sécurité de Cloud Firewall, créez une politique pour autoriser le trafic vers ces six adresses IP et refuser toutes les autres connexions sortantes. Cette configuration empêche les activités malveillantes telles que les téléchargements de logiciels malveillants et la communication C&C sans affecter les opérations commerciales normales.
Sous l'onglet Outbound de la page de la console Cloud Firewall, créez une politique de contrôle d'accès sortant pour autoriser le trafic vers des adresses IP publiques de confiance et refuser tout autre trafic sortant.
La propagation massive des vers de minage est motivée par des vulnérabilités applicatives persistantes, l'émergence fréquente de vulnérabilités zero-day et l'efficacité élevée de la monétisation par le minage de cryptomonnaies. Intégrez Cloud Firewall de manière transparente pour protéger vos applications contre un large éventail d'attaques basées sur Internet. Grâce à sa puissance de calcul étendue et à son renseignement sur les menaces à l'échelle du réseau, il détecte rapidement les nouvelles menaces pour vous protéger contre les vers de minage. Cloud Firewall s'adapte également de manière élastique à votre activité, vous permettant de vous concentrer sur la croissance sans vous soucier de la sécurité.