做零日攻击和APT的克星 “沙箱”带火FireEye

尽管还是家私有公司，FireEye已经受到越来越多的关注，其反恶意软件沙箱技术甚至被比它更大更知名的安全厂商们所效仿。这些安全公司承认他们最近的一些技术有意变得“更像FireEye”，这其中就包括McAfee和Palo Alto Networks。Palo Alto推出的是基于云的反恶意软件技术，被成为“WildFire”，McAfee上周宣称获得了ValidEdge沙箱技术，以备在今年晚些时候开发新的产品线。

FireEye近来的发展确实令人艳羡：去年11月，它迎来McAfee 前CEO兼总裁Dave DeWalt，DeWalt转战到FireEye担任CEO一职;上个月，它获得5000万美金的新一轮风险投资。完成本轮融资后，FireEye融资总额已经达到8550万美元，其估值已达到12.5亿美元。Sequoia Capital、Norwest Venture Partners、Juniper Networks以及Silicon Valley Bank等投资机构都参与了本轮投资。FireEye近几年堪称炙手可热，就连美国中央情报局旗下的风投部门In-Q-Tel也参与了对其投资项目。据DeWalt透露，公司正准备IPO(首次公开募股)，可能最早将于今年完成。

实际上，这家由Sun Microsystems工程师Ashar Aziz于2004年创建的公司直到2006年之前都默默无闻。那么，FireEye 究竟凭借什么将业界的激情点燃?

答案是沙箱技术。

过去几年，僵尸威胁呈指数增长，零日攻击和有组织的行业间谍行动日益猖獗，FireEye 由此开始受到更多关注。FireEye研发工程师Alex Lanstein表示, 三年前谷歌对中国网络间谍的披露是一个转折点。各家公司开始将沙箱技术视为他们急需的又一个防御路线。

沙箱，是一种动态模拟分析技术，也就是利用虚拟化环境，來侦测恶意程序的行为。通过沙箱，你可发现电子邮件附件、共享文件或网站中的异常，把任何可疑的东西标注出来;在虚拟环境中测试嫌疑程序，看它们是不是真的有害，如果有害，这些威胁就被隔离、禁用。

实际上，沙箱并不难做，但真正的核心是如何对沙箱內的行为进行分析，判断哪些是恶意程式，又如何辨识出新的攻击手法。很多防毒软件都号称有沙箱，但多数偏向针对执行层的过滤，但现在很多APT攻击是通过文件层进行，这就需要更专业的模拟环境去进行检测。

不过，目前很火的沙箱技术也并非完美。沙箱分析非常耗费资源，如果大家都将档案放到云端分析，需要超过1小時才能获得分析結果，这就就无法做到即時阻拦，更应付不了在几分钟內即可快速变形的病毒攻击。