挫败攻击，传递善意：F5免费提供安全事件响应服务

大多数攻击者并非专门针对您，至少一开始不是。他们通常会先大范围寻找目标，然后再锁定存在其试图利用的特定漏洞的组织。除非您属于价值特别高的目标（例如金融机构、大型零售企业或政府机构），否则攻击并非专门针对您。您很可能只是恰好存在攻击者正在寻找的弱点。当然，遭受攻击时，这并不能带来多少安慰。

从更宏观的角度来看，攻击者通常都在寻找同类目标，因此从理论上说，共享信息大有裨益。然而在实践中，这种做法往往难以奏效，因为大多数组织都没有相应机制来：a）吸取行业以往安全事件的教训；或b）以匿名方式分享自身经历，帮助其他组织避免重蹈覆辙。因此，关于利用新发现（或已知）漏洞的当前活跃攻击活动的信息，传播范围远未达到应有水平。我们也不断看到数据泄露事件登上新闻头条，而这些事件往往源于相同的底层漏洞和利用手段。以2017年为例，有多少WannaCry受害者当时仍在运行已被广泛指出存在问题的生命周期终止（EOL）或不受支持的软件？答案是：很多。

平心而论，结合当时的情境，这些情况大多可以理解。安全专业人员在遭受攻击、可能已发生数据泄露并承受紧急事件响应压力时，首先想到的通常不是向更广泛的社区提供信息。与此同时，在事实查明之前，法务部门也会密切关注事态，并尽力控制事件相关信息的传播。即使没有承受巨大压力，而且仍愿意帮助他人，究竟能做些什么来帮助整个行业？一种选择是将发现的文件分享到VirusTotal，但除此之外，可能也做不了太多，随后还得回到保护所在组织这一更紧迫的任务上（或许更现实地说，还要保住自己的工作）。理想情况下，您会希望有一支技术娴熟的增援团队随时待命，能够迅速协助应对危机。这些专业人员可以分析信息，立即提供缓解建议，并帮助您和其他网民更充分地做好网络防护准备，以抵御未来可能发生的攻击。

回归正轨

这正是F5可以发挥作用之处。如果您是F5客户，支持合同中已包含免费的紧急事件响应协助。这样不仅能确保您在关键时刻获得所需帮助，还能通过分析、汇总和提炼多家组织的经验，让更广泛的客户群体从中受益。如果面临迫在眉睫的威胁，只需致电F5技术支持并说明正在遭遇安全事件，即可直接转接至F5安全事件响应团队（SIRT）。这支全球团队由具备丰富事件响应经验的安全工程师组成，支持十多种语言，全年无休、全天候提供服务。团队也会进一步探讨相关的整体安全议题，帮助您更充分地应对未来事件，但F5 SIRT的首要目标是协助您迅速控制损失，并为企业制定长期缓解方案争取时间。

F5 SIRT全球团队还可利用客户环境中F5产品或服务提供的多种缓解方案，例如Advanced WAF（包括Proactive Bot Defense、CAPTCHA等）、AFM、IP Intelligence（IPI）、GeoIP、各种暴力破解防护方案及其他多种方案；还可协调F5 Silverline团队，或在适当情况下建议增加基于云的DDoS或WAF防护。在适用情况下，可通过F5销售团队获取这些解决方案及其他解决方案。

SIRT团队尤其擅长使用F5的可编程iRules，可快速开发和部署这些规则来调整流量。速度有多快？虽然具体时间始终取决于问题的复杂程度，但可定制的iRules可在几分钟内准备就绪，并由客户在几小时内完成部署（当然，需要遵循适当的紧急变更控制流程）。

来看一个简单示例：某F5客户的RDP服务器部署在F5设备后端，遭到了暴力破解攻击。这些服务器需要向互联网开放以支持其业务，但只需允许特定网段访问。为缓解此次攻击，F5 SIRT协助开发了一条iRule，使用数据组将客户端IP与一组“已知且可信”的外部网络进行比对，并丢弃并非来自这些网络的所有流量。此举有效缓解了攻击，并改善了客户的安全状况。此外，这种方法仍支持在可信列表中添加或移除网络，客户可在GUI中配置特定数据组，以抵御未来的类似攻击。

返回社区

如果在事件调查过程中发现相关信息，例如此前从未在实际环境中出现或尚未得到充分了解的新型漏洞利用手段、攻击活动、恶意软件或漏洞，F5 SIRT可以借助公司内部的跨团队协作网络，获取更多专业见解。这种方法能够有效汇集F5威胁研究人员、安全产品开发人员及其他专家的知识，共同分析调查结果，并为后续提供更完善的补救措施。如果某项发现适合公开并有助于整个行业，F5不会披露任何特定客户或具体事件的详细信息。公开内容仅限于特定威胁的发现及其行为，例如我们对PyCryptoMiner所做的分析，并酌情提供一般性指导。

F5专家团队随时准备提供协助，让您能够更好地保护和管理基础设施；遭受攻击时，也无需经过繁琐的流程和文书工作即可获得所需帮助。此外，这种宝贵的知识共享方式还有助于避免其他客户遭遇同样的情况，并逐步提升贵组织的安全性。

那么，F5能从中获得什么？我们当然希望企业保持正常运营，成功、安全地开展业务；客户的成功也会推动F5取得成功。此外，我们认识到，安全事件不仅会影响受攻击的实体，往往还会波及其客户和合作伙伴，有时影响范围甚至更广。（例如，用户经常在多个网站使用相同或相似的密码，这会大幅扩大安全事件的影响范围。例如，研究发现，Sony和Yahoo用户有59%的情况会为这两个账户使用相同的密码。）毫不夸张地说，这种连锁影响可能波及所有通过互联网开展业务的主体。（再补充一点：研究表明，如今每位互联网用户平均对应3条遭泄露的记录。）

我们，也就是整个行业，可以通过创造机会来分享相关攻击详情和关键经验，更有效地解决导致系统易受攻击的根本问题。借助F5 SIRT，客户可以从自身做起，在改善自身安全状况的同时，为行业整体安全作出有益贡献。

如需了解更多信息或联系F5安全事件响应团队（SIRT），请访问其网页。