2017年，全球最大的信用报告机构之一的Equifax遭受了前所未有的影响和规模的网络破坏。 网络犯罪分子盗窃了超过145亿条个人身份信息记录。 由于这种违规行为的性质，Equifax的首席执行官辞职，国会开始调查，Equifax的股票受到打击，并提起了50个州的集体诉讼。
违反
2017年3月2日，一位安全研究人员发现了Apache Tomcat Struts 2 Web应用程序中的一个漏洞，并将其编号为CVE-2017-5638。Equifax公司使用该Web应用程序允许消费者提交信用报告差异。漏洞被发现几天后，软件补丁于2017年3月7日发布并公开。补丁发布后不到24小时，一个网站上就出现了一篇博客文章，介绍如何利用此漏洞远程访问运行未打补丁软件的计算机。2017年3月10日，该漏洞利用程序以插件的形式发布到流行的开源漏洞利用工具包Metasploit中，黑客开始使用该工具扫描互联网上存在此漏洞的服务器。2017年5月中旬，黑客成功攻击了Equifax公司的服务器。黑客未经授权进入了 Equifax 的网络，并一直潜伏在 Equifax 的网络内窃取数据，直到2017 年7 月 29日才被发现。
为什么会发生违反？
有人会认为，一个拥有Equifax规模并负责保护145亿美国人数据的组织，能够在数据被窃之前检测到此漏洞，更不用说2.5个月了。 所以发生了什么事？ 根据报告，Equifax已获悉此漏洞，但是未采取任何措施来修补服务器。 一旦服务器未打补丁并且黑客开始利用此漏洞，“可疑警报”就会响起，但是Equifax不会采取任何措施。 用Equifax的前首席执行官的话来说，他们每年都会收到成千上万的警报，很难从不太重要的警报中量化出重要的警报。 这清楚地突出了安全工具问题和人员问题。 当前，组织所部署的工具很难从不太重要的事件中识别出关键事件，并且总是会出现人为错误，并且没有足够的人员来应对威胁。
可能做了什么？
首先，如果 Equifax 能够重视编号为 CVE-2017-5638 的漏洞公告并迅速修补其服务器，人为错误本可以避免。其次，各组织需要开始淘汰那些会给人以虚假安全感的过时工具，转而采用能够解决现代问题的新工具。例如入侵检测系统 (IDS)、安全信息与事件管理器 (SIEM) 等工具。SIEM独立运行且非全面部署在基础设施中的恶意软件沙箱只会导致警报噪音、盲区和有限的检测能力。入侵检测系统 (IDS) 主要基于特征码检测，这意味着它们可以检测已知攻击。但对于零日漏洞，即没有针对新型攻击方法的特征码，IDS 系统则无法有效检测。 SIEM 工具房已经变成了堆放原木、原木和更多原木的场所。 SIEM 工具虽然有用，但必须经过编程才能运行查询来查找你想要查找的内容。但是，那些你不知道的、恶意的东西又该怎么办呢？
可以采用的一种方法是在整个Equifax基础结构中普遍部署可见性框架，以消除盲点，收集多种类型的基础结构数据，然后在数据集之上运行机器学习算法以发现异常。 这些新框架被称为突破检测系统，并围绕大数据技术和人工智能构建。
结束语
我们在网络安全行业中都认识到，数据泄露不可避免，网络处于不断变化之中，永远无法实现百分之百的安全防护，而且网络攻击的数量每年都在增加。鉴于此，企业需要不断寻求保护其宝贵数据的新方法。在Stellar Cyber，我们相信目前使用的入侵检测工具，例如IDS、APT等，能够有效保护数据安全。 SIEM在不久的将来，它将发生翻天覆地的变化，面貌也将截然不同。
