APT多维度分析和防御研究

“APT多维度分析及防御研究”需要遵循两大原则,即“广谱检测”和“精准定位”的策略。所谓“广谱检测”就是设计的检测方法不局限适用于某一特定的类型的僵尸网络、木马或者蠕虫。“精准定位”就是要求检测结果具有较高的准确性,不仅能确定有无,还要定位感染主机。为了满足上面两个原则,需要将多种检测方法整合到一起,多种检测方法在功能上互相补充,在结果上互相印证,才能获得较理想的结果。     

一种基于可信业务流的未知威胁检测方法

在APT攻击过程中,突破目标系统的防御机制后,下一步是在目标系统网络内部持续渗透,控制更多的主机并搜集有价值的数据。通常情况下,持续渗透阶段在网络内传播的未知恶意攻击检测是困难的。本文以生产网为研究对象,利用生产网流量相对可控的特点,提出了一种未知威胁检测方法。该方法基于业务归并网络流量,通过将流量分为可信流量和非可信流量,不断缩小攻击流量的范围并最终实现未知恶意攻击识别。通过原型系统在生产环境的测试表明该方法是可行的。     

APT多维度分析和防御探究

"APT多维度分析及防御研究"需要遵循两大原则,即"广谱检测"和"精准定位"的策略。所谓"广谱检测"就是设计的检测方法不局限适用于某一特定的类型的僵尸网络、木马或者蠕虫。"精准定位"就是要求检测结果具有较高的准确性,不仅能确定有无,还要定位感染主机。为了满足上面两个原则,需要将多种检测方法整合到一起,多种检测方法在功能上互相补充,在结果上互相印证,才能获得较理想的结果。     

内外双修实现对未知威胁监测

对未知威胁监测,常规手段都是基于内部技术的,常见的三个监测维度:文件处理、静态检测、动态检测。这些方式在一定范围内有效,却无法避免检测技术自身的局限性,对新攻击手法和未知漏洞的识别能力有限。数据量较小时,对可疑数据还原,通过内部检测技术对其进行相关分析,可由专家人工识别部分未知攻击行为。而大数据模式下,靠已知技术和人工来识别千变万化的未知破坏意图是完全不现实的。作为补充,利用大数据从外部IP的可信性角度做风险评估,减少噪音事件,把风险定位的圈子缩小,从路径和历史记录中筛选出可疑的行为,从而进一步通过内部行为分析对未知威胁进行准确的研判和定位是可行的。