基于GAN-LSTM的APT攻击检测

高级持续性威胁(Advanced Persistent Threat,APT)带来的危害日趋严重。传统的APT检测方法针对的攻击模式比较单一,处理的APT攻击的时间跨度相对较短,没有完全体现出APT攻击的时间序列性,因此当攻击数据样本较少、攻击持续时间较长时准确率很低。为了解决这个问题,文中提出了基于生成式对抗网络(Generative Adversarial Netwokrs,GAN)和长短期记忆网络(Long Short-term Memory,LSTM)的APT攻击检测方法。一方面,基于GAN模拟生成攻击数据,为判别模型生成大量攻击样本,从而提升模型的准确率;另一方面,基于LSTM模型的记忆单元和门结构保证了APT攻击序列中存在相关性且时间间距较大的序列片段之间的特征记忆。利用Keras开源框架进行模型的构建与训练,以准确率、误报率、ROC曲线等技术指标,对攻击数据生成和APT攻击序列检测分别进行对比实验分析。通过生成式模型生成模拟攻击数据进而优化判别式模型,使得原有判别模型的准确率提升了2.84%,与基于循环神经网络(Recurrent Neural Network,RNN)的APT攻击序列检测方法相比,文中方法在检测准确率上提高了0.99个百分点。实验结果充分说明了基于GAN-LSTM的APT攻击检测算法可以通过引入生成式模型来提升样本容量,从而提高判别模型的准确率并减少误报率;同时,相较于其他时序结构,利用LSTM模型检测APT攻击序列有更好的准确率和更低的误报率,从而验证了所提方法的可行性和有效性。     

基于LSTM模型的APT攻击信道检测方法

高级持续性威胁(APT)对网络安全构成了严重威胁.与种类多、变化快的攻击代码相比,APT攻击中的控制命令服务器(C&C服务器)间通信往往具有特定模式,黑客使用域名生成算法(DGA)生成C&C域名用来逃避域名黑名单检测.通过对APT攻击中使用的域名进行分析,利用大量C&C域名和高信誉域名作为黑白样本,训练LSTM算法模型...     

基于蚁群算法的电力数据网络APT攻击预警模型

高级持续性威胁(Advanced Persistent Threat, APT)是通过预先对攻击对象的业务流程和目标系统进行多维度、多阶段、多对象的持续信息采集，隐匿地实现网络空间的数据窃取。电力网络具有天然的稳定性需求，其覆盖广、涉及面大、灾后损失大。当前APT攻击预警技术存在网络节点碎片化的有限安全域以及全域特征动态检测问题。本文提出基于蚁群算法的电力数据网络APT攻击预警模型。通过设计电力网络的全域可信系统模型，采用流形进行安全边界扩散，将碎片化节点进行柔性关联，确保全域安全控制。构建APT攻击的时效模型，实现攻击对可信系统的损害分析。将APT攻击特征等效为蚁群信息素，实现对APT攻击的自动跟踪和适应。通过实际测试表明，蚁群APT监测预警算法的预警精度有效提升12.6%。     

基于溯源图节点级别的APT检测

传统的入侵检测系统无法应对日益增多和复杂的网络攻击(如高级持续性威胁),因为可能在几个月内不能检测出隐蔽威胁事件并具有较高误报率。最近研究建议利用溯源数据来实现基于主机的入侵检测,溯源图是由溯源数据构造成的有向无环图。然而,以前的研究是提取了整个溯源图的特征,对图中的少量异常攻击实体（节点）不敏感,因此无法准确识别异常节点。提出了一种在溯源图节点级别上的APT实时检测方法。采用K-Means和轮廓系数相结合的方法对训练数据集中的良性节点进行聚类,生成良性节点簇,通过判断新节点是否属于良性节点簇来判别是否存在异常。在Unicorn SC-2和DARPA TC两种公共数据集上评估该方法,结果表明该方法准确率达到95.83%,并且能够准确识别和定位异常节点。     

基于网络行为的攻击同源分析方法研究

网络攻击威胁日益严峻,攻击溯源是增强防御能力、扭转攻防局势的重要工作,攻击的同源分析是溯源的重要环节,成为研究热点。根据线索类型的不同,攻击同源分析可以分为基于恶意样本的同源分析和基于网络行为的同源分析。目前基于恶意样本的同源分析已经取得了较为显著的研究成果,但存在一定的局限性,不能覆盖所有的攻击溯源需求,且由于恶意代码的广泛复用情况,使得分析结果不一定可靠;相比之下,基于网络行为的同源分析还鲜有出色的成果,成为溯源工作的薄弱之处。为解决现存问题,本文提出了一种基于网络行为的攻击同源分析方法,旨在通过抽取并分析攻击者或攻击组织独特的行为模式而实现更准确的攻击同源。为保留攻击在不同阶段的不同行为特征,将每条攻击活动划分为5个攻击阶段,然后对来自各IP的攻击行为进行了4个类别共14个特征的提取,形成行为特征矩阵,计算两两IP特征矩阵之间的相似性并将其作为权值构建IP行为网络图,借助社区发现算法进行攻击社区的划分,进而实现攻击组织的同源分析。方法在包含114,845条告警的真实的数据集上进行了实验,凭借实际的攻击组织标签进行结果评估,达到96%的准确率,证明了方法在攻击同源分析方面的有效性。最后提出了未来可能的研究方向。     

面向APT时空行为的受损主机检测

高级持续性威胁（APT）给企业、政府等组织带来沉重的损失。然而大多数检测方法没有同时考虑到APT攻击本质上的两个特性,即时间性和空间性。被入侵主机的行为模式与被入侵之前相比会产生一系列时序性的异常。在空间性方面,受损主机往往会继续渗透其他主机。因此,提出一种基于时空特性检测APT受损主机的方法。该方法针对APT攻击中必不可少的身份验证行为进行检测,构建主机认证图,从图中提取特征,利用LSTM学习主机的时序性特征,建立主机关联图,利用GAT提取主机间的空间特征。该方法利用神经网络提取特征,无须人工的特征选择。该方法在公共数据LANL上进行实验,F1得分达到了0.979。     

传统网络安全防御面临的新威胁:APT攻击

高级持续威胁(APT)攻击不断被发现,传统网络安全防御体系很难防范此类攻击,由此给国家、社会、企业、组织及个人造成了重大损失和影响。对近几年典型APT攻击事件和攻击代码进行了研究,分析了攻击的产生背景、技术特点和一般流程。彻底防御APT攻击被认为是不可能的,重视组织面临的攻击风险评估,建立新的安全防御体系,重点保护关键数据成为共识。为此,提出了建立一种新的安全防御体系,即安全设备的联动、安全信息的共享、安全技术的协作,并给出了基于社会属性、应用属性、网络属性、终端属性及文件属性的多源态势感知模型,以及安全信息共享和安全协作的途径。     

基于网络行为自学习的高级持续性威胁检测技术研究

高级持续威胁（APT）对网络安全构成严重威胁,其独特的高度不可预测性、深度隐蔽性和严重危害性使得传统网络监控技术在大规模复杂网络流量背景下面临前所未有的挑战。针对APT检测的迫切需求,依托大数据分析和云计算技术的快速发展,基于机器学习理论,对网络应用语义丰富的行为特征模式进行描述,通过网络协议反向分析和数据流处理技术的有机结合,建立了一套支持建立入侵容忍网络生态环境的新的APT自学习检测框架。     

基于LDA模型的海量APT通信日志特征研究

为实现高级持续性威胁(APT)的通信检测,提出一种对服务器端和主机端日志数据的检测方法。通过建立IP地址数据库,采用DBSCAN聚类算法对海量日志数据进行收集和处理得到异常通信日志。利用高级持续性威胁14种通信特征的隐含狄利克雷分布(LDA)建模对异常通信日志进行检测。实验结果表明,与潜在语义分析和概率潜在语义分析检测模型相比,LDA建模提高了APT通信检测的效率和准确度。     

隐蔽式网络攻击综述

近年来,随着信息化的推进,国民经济各行各业对网络的依赖性明显增强,网络信息安全问题成为关系国家和社会安全的突出问题。受经济利益驱动,加上各国之间的博弈在网络空间的体现不断加强,具有高技术性、高隐蔽性和长期持续性的网络攻击成为当前网络安全面临的主要挑战之一。文章对这种隐蔽式网络攻击进行了介绍和描述,分析其主要特点和对当前安全体系的挑战。在此基础上综述了国内外隐蔽式网络攻击检测等方面的最新研究进展。最后,对关键技术问题进行了总结,并展望了本领域未来的研究方向。     

面向低维工控网数据集的对抗样本攻击分析

针对工业控制系统的网络攻击日趋增加,凸显工业控制网络入侵异常检测的必需性.研究工作者已经提出了各种基于机器学习算法的工控网流量异常检测模型,然而对抗样本攻击阻碍了机器学习模型的广泛应用.目前关于对抗样本攻击的成果集中在特征丰富的数据集上.然而,工控系统由于网络拓扑结构相对固定,所以数据集特征较少.针对一个低维(特征少)的天然气工控网数据集,通过实验分析4个常见优化算法SGD,RMSProp,AdaDelta和Adam与对抗样本攻击能力的关系,分析典型机器学习算法防御对抗样本攻击的能力,并研究对抗训练对提高深度学习算法抗对抗样本白盒攻击的能力.此外,提出了一个新指标“同比损失率”来评估对抗样本的白盒攻击能力.大量实验结果表明：对于这个低维数据集,优化算法确实影响了对抗样本的白盒攻击能力;对抗样本对各典型机器学习算法具有黑盒攻击能力;和决策树、随机森林,支持向量机、AdaBoost、逻辑回归、卷积神经网络(CNN)等典型分类器相比,循环神经网络(RNN)具有最强的防对抗样本黑盒攻击能力;此外,对抗样本训练能够提高深度学习模型防御对抗样本白盒攻击的能力.     

基于 APT 网络攻击的技术研究

面临相对滞后的防御手段,APT网络攻击的危害性越来越大。本文对APT网络攻击的概念进行阐述,同时分析APT网络攻击的入侵途径和具体流程,总结APT网络攻击的行为特征和发展趋势,并提出防御APT网络攻击的安全策略。     

工业网络控制系统的安全与管理

随着“两化”融合的推进和以太网技术在工业控制系统中的广泛应用,引发的病毒和木马对SCA-DA系统攻击的事件日益频繁,直接影响到公共基础设施的安全,为工业生产运行和国家经济安全带来重大的安全隐患.从工业控制的角度,分析工业控制系统安全的特殊性,并提出针对工控系统安全的综合解决方案.     

工业控制网络多模式攻击检测及异常状态评估方法

面向工控网的攻击策略多种多样,其最终目的是导致系统进入临界状态或危险状态,因此,基于设备状态异常的攻击检测方式相较于其他检测方法更为可靠.然而,状态异常检测中存在攻击结束时刻难以准确界定的问题,构建攻击策略及系统异常状态描述模型,基于此,提出基于状态转移概率图的异常检测方案,实验结果表明该方案能够有效检测多种攻击方式.另外,针对语义攻击对系统状态影响的定量评估难题,提出基于异常特征和损害程度指标融合分析的攻击影响定量评估方法,实现系统所处不同阶段时状态的定量评估与分析.该项工作对于识别攻击意图有重要的理论价值和现实意义.     

网络攻击技术及发展预测

近年来,网上泄密事件频频发生。概述网络攻击及入侵对象的特点,详细介绍口令攻击、特洛伊木马、安全漏洞攻击、ARP欺骗攻击、拒绝服务攻击等8种目前常见的网络攻击方法。此外,就未来网络攻击技术所呈现出的自动化、智能化、简单化等6个方面的发展趋势进行了总结。     

攻击图与HMM工业控制网络安全风险评估

为了准确评估工业控制系统的网络安全风险,实现工业控制系统的有效防御,提出攻击图与HMM的工业控制系统风险评估方法,根据攻击行为的变化描述网络安全状态。首先建立工业控制网络攻击图模型,将网络攻击转化为网络状态转换问题,引入网络节点关联性（NNC）,对工业控制网络节点关联性进行研究,进一步分析网络的安全风险。然后HMM建立网络观测与攻击状态之间的关系,引入CVSS评价系统对工业控制系统的安全状态进行评价。最后,以火电厂集中控制系统为实验背景,进行案例分析。分析结果表明,该方法能够较全面分析工业控制系统的安全隐患,为安全管理人员采取有效的防范措施提供依据。     

网络安全检测系统的设计与实现

网络安全问题是当今互联网应用的重要课题之一,强化网络应用安全一方面需要加强网络安全应用意识,另一方面通过技术手段部署网络安全检测系统,实时审计网络应用内容,实现对网络应用环境的监控和保护。本文设计和实现一款网络安全检测系统,该系统能够对用户身份进行管理、通过获取主机信息和硬件信息管理软件和硬件,建立网址黑名单屏蔽危险网站浏览,并对网络传输文件进行审计,确保网络应用安全。