基于Multi-Agent的Insider Threat预防检测模型

来自企业组织网络内部的合法用户引起的内部威胁(insider threat),给系统安全构成了极大的安全隐患,造成的危害与日俱增.传统的入侵检测工具是针对外部用户设计的,在解决Insider Threat问题上基本无能为力.为了有效地减少内部威胁,提出了一种基于Multi-Agents的预防检测模型,并给出了相关Agent的实现算法.它能够对用户的行为进行实时监测和风险评估,能够将在线用户的攻击进度实时报告给管理人员,通过一个量化手段辅助管理人员做出决策.另外,与其他模型有个显著的不同,该模型中本地规则库是针对不同内部用户动态生成的.     

基于Insider Threat的安全防御体系结构研究

对于Insider Threat(内部威胁)问题,如今依然没有一个标准化和综合的安全体系结构存在。本文从整体性角度出发,提出了一个多维度的Insider Threat安全防御体系结构ITSDA。它包含了七个纬度分支,并且各纬度不是相互之间孤立的,而是构成一个反馈环。ITSDA将辅助企业设计适合自身的体系结构,更好地抵御Insider Threat威胁。     

用安全网关对抗DOS攻击

由于网络开放的结构，各种攻击也不断威胁着网络服务系统的可用性，其中以拒绝服务（Denial of Service,简称DoS）攻击危害最大，最难以控制，而又最容易易发起，历为任何人都可以非常容易的在网上的某个地方下载自动的Dos攻击工具。 拒绝服务攻击的目的是利用各种攻击技术使服务器拒绝为合法用户提供服务。来自网络的拒绝服务攻击可以分为两类：停止服务和消耗资源。前者意味着毁坏或者关闭一个用户想访问的一个特定的服务；消耗资源是指服务进程本身正在运行，但攻击者消耗了计算机和网络的资源，阻止了合未能用户的正常访问。 利用具有网络流量控制能力的可生存性网关来保护网络，即将一个硬件网关布置在内部网络与Internet的接口，也就是内部网络的最外部边界。当内部网络在遭受到各种网络攻击时，该硬件网关能够阻挡攻击数据流量，尽量将攻击数据堵截在内部网络之外，保证内部网络的关键资源不被破坏。同时，该硬件网关还必须能够保证合法用户的访问能够顺利通过网关并获得服务。[编者按]     

APT技术分析与思考

APT高级持续性威胁(Advanced Persistent Threat),是一种新型的攻击手段,威胁着网络信息安全。本文通过APT攻击典型案例介绍了APT攻击的基本概念、攻击过程、攻击原理及攻击方法等,逐步找到防范策略。APT高级持续性威胁(Advanced Persistent Threat),是一种新型的攻击手段,威胁着网络信息安全。本文通过APT攻击典型案例介绍了APT攻击的基本概念、攻击过程、攻击原理及攻击方法等,逐步找到防范策略。     

数据中心APT攻击检测和防御技术

在云计算、大数据、人工智能技术的广泛应用下，APT(Advanced Persistent Threat，高级持续性威胁)作为一种新型网络威胁，正成为企业组织乃至国家机构的头号安全风险。面对严峻的网络安全形势，本文详细介绍APT攻击背景、攻击特点、流程及常见防御手段。并且针对数据中心的APT攻击，从检测和防御架构图、检测和防御拓扑图等角度设计数据中心安全架构，详细阐述各种检测和防御组件的功能和技术原理，实现全网威胁事件实时告警、攻击路径和安全态势实时呈现，让攻击和威胁消灭在萌芽状态，让安全事件可以追溯，为企业和机构提供一个弹性、灵活、按需扩展的APT攻击检测和防御方案。     

“证券幽灵”恶意威胁现身

近日,趋势科技(中国区)网络安全监测实验室(CRTL)最新监测到数起针对国内金融行业的APT(Advanced Persistent Threat,高级持续性威胁)攻击事件。该威胁变化多端,会导致用户重要信息数据泄露。趋势科技通过检测BKDR_CORUM家族、TSPY_GOSME家族、TROJ_JNCTN家族及China Pattern通用检测TROJ_GENERIC.APC等恶意病毒,目前将此威胁命名为"证券幽灵"。趋势科技特别提醒金融行业用户需要做出应急响应,评估内部网络风险,谨防韩国金融行业APT攻击事件的"翻版"。     

一种基于攻击图的高级持续威胁检测方法北大核心CSCD

针对传统入侵检测工具无法检测高级持续威胁(Advanced Persistent Threat,APT)攻击和威胁警报疲劳问题,文章提出一种基于攻击图的APT检测方法 ADBAG(APT Detection Based on Attack Graph),该方法根据网络拓扑、漏洞报告等信息生成攻击图,并利用攻击图对攻击者行为进行预先分析,有效解决了威胁警报疲劳问题。文章结合ATT&CK(Adversarial Tactics,Techniques and Common Knowledge)模型和APT攻击三相检测模型,设计了一种缺失路径匹配评分算法,从攻击全局角度分析和检测APT攻击。同时,设计了基于灰名单的多攻击实体关联方法,以保证生成的APT攻击证据链的准确性。在公开数据集上进行实验,实验结果表明,ADBAG可以有效检测APT攻击,并能够检测基于零日漏洞的APT攻击,进一步定位攻击影响范围。     

基于shell命令的内部攻击检测

信息系统不仅面临着外部攻击的威胁,同时也面临着来自系统内部的威胁。本文针对系统内部攻击,首先对信息系统的内部威胁和内部攻击进行简要阐述和分析。基于用户操作行为的一般规律,提出几种检测模型,通过对比检测结果找出检测效果好的检测模型。基于SEA公开数据集,采用词袋、TF-IDF、词汇表以及N-Gram几种方法进行特征提取,使用不同的机器学习算法建立检测模型,包括XGBoost算法、隐式马尔可夫和多层感知机(MLP)。结果显示：测试样本采用词袋+N-Gram特征模型和XGBoost学习算法的精确率和召回率较高,检测效果最好。     

浅析APT攻击以及防范的四大策略

APT攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞,利用这些漏洞组建攻击者所需的网络,并利用0day漏洞进行攻击.高级持续性威胁(Advanced Persistent Threat,APT),威胁着企业的数据安全.本文就APT攻击以及防范策略进行分析研究.     

面向内部威胁的最优安全策略算法研究

内部攻击行为具有很强的伪装性,这使得检测结果具有不确定性.攻击图模型经常用于描述攻击行为的多个攻击步骤之间的因果关系,但在计算最优安全策略时,很少考虑到当前观测事件所具有的不确定性,也没有从概率的角度刻画安全防护策略实施后对攻击成功概率带来的影响.在前人的概率攻击图模型研究基础上,首次提出了一种面向内部威胁的安全防护策略概率攻击图(measures probablitity attack graph,MPAG)模型,在该模型中较为完备地讨论了内部攻击的3类不确定性,并引入安全防护措施节点及其对攻击成功的概率影响.在该模型基础上,最优安全防护策略计算被证明是一个NP难问题,一种贪心算法被提出解决该问题,该算法能在多项式时间内动态计算近似最优安全防护策略集合.最后给出一个真实的内部威胁网络环境的概率攻击图实例,说明该模型及相应的贪心算法能根据当前观测事件及其置信概率,计算满足一定代价限制条件的近似最优安全防护策略集合.     

利用型网络攻击及其预防

利用型网络攻击是一类常见的网络攻击。该文对此类攻击的常见方法和典型攻击工具进行了较为系统的介绍,并针对攻击原理提出了一些有效的预防措施。一     

针对复合攻击的网络攻击预测算法

网络攻击以复合攻击形式为主,但当前的安全设备只能检测无法预测。针对该问题,提出一种基于攻击效用的复合攻击预测方法,通过该方法识别攻击者的最终意图,并预测攻击者下一步可能进行的攻击行为。该方法利用攻击意图描述复合攻击过程,建立基于攻击意图的复合攻击逻辑关系图,引入攻击效用的概念,表示入侵者在攻击过程中完成每步攻击所获得的收益大小,是复合攻击预测的参考。实验结果验证了该方法的有效性。     

利用型网络攻击及其预防

利用型网络攻击是一类常见的网络攻击。该文对此类攻击的常见方法和典型攻击工具进行了较为系统的介绍,并针对攻击原理提出了一些有效的预防措施。     

基于攻击意图的复合攻击预测方法研究

入侵检测系统仅能检测到攻击,但不能预测攻击者下一步的攻击.分析了基于攻击行为预测方法的不足,提出了一种基于攻击意图的复合攻击预测方法.该方法使用抽象的攻击意图表示复合攻击,采用扩展的有向图表达攻击意图间的逻辑关系,建立了攻击匹配的攻击意图框架,在复合攻击预测算法中引入了攻击检测度和攻击匹配度两个概念.最后,通过实验验证了该方法的有效性.     

基于攻击模式的攻击图自动生成方法研究

基于攻击图的网络漏洞分析是加强网络安全的重要方法。然而,当研究大规模网络时,怎样提高攻击图生成效率是当今研究的热点问题。该文在漏洞分析模型的基础上,提出一种攻击图自动生成方法的模型。从研究攻击者行为的角度入手,定义了攻击模式和相应的Prolog规则,来自动生成基本子攻击和攻击图,很大地提高了漏洞分析的效率。     

信息收集型网络攻击及其预防

信息收集型网络攻击是一类常见的网络攻击。该文对此类攻击的常见方法和典型攻击工具进行了介绍，并针对攻击原理提出了一些有效的预防措施。     

渗透攻击技术研究

计算机中存在一个单独的区块：活动内存,任何一个攻击者都愿意把手伸到这个存储有敏感信息完全未加密的区块。系统为了方便调用,在内存中存储了多种有价值信息;全盘加密机制也必须在内存的某个地方存储密钥、同样,Wi—fi密钥也是如此存储的。Windows在内存中存有注册表键值,系统和SAMhive。许多剪贴板内容和应用程序密码也在存储于内存中。即问题在于,内存存储了系统在某时刻需要的大量有价值信息。攻击者要获得它,需要使用一些同样的取证技术。本文有助于向渗透测试工具包中增加这些技术。     

信息收集型网络攻击及其预防

信息收集型网络攻击是一类常见的网络攻击。该文对此类攻击的常见方法和典型攻击工具进行了介绍,并针对攻击原理提出了一些有效的预防措施。     

基于CTPN的复合攻击检测方法研究

通过对复合攻击模式的深入研究,提出了一种基于攻击意图检测和预测复合攻击的方法,该方法对传统的Petri网描述攻击的方法进行了改进和扩展,基于CTPN对复合攻击场景建模,并利用模型对报警进行关联,不仅可以检测出复合攻击的存在,而且能预测即将要发生的攻击．该方法较以往的方法更简单实用,实验结果证明了此方法的有效性．     

基于攻击图的扩充Petri网攻击模型

鉴于网络攻击过程中存在攻击者被检测到的可能性,将攻击图转化成Petri网并进行扩展生成EPN模型,依据库所的攻击成本值求解网络攻击的最佳攻击路径和攻击成本,基于最大流概念定义系统最大承受攻击能力。从二维角度分析网络攻击,提出攻击可行性概念及基于攻击图的扩充Petri网攻击模型,该模型相关算法的遍历性由EPN推理规则保证。当原攻击图的弧较多时,算法的复杂度低于Dijkstra算法,攻击图的攻击发起点和攻击目标点间的路径越多,算法越有效。实验结果证明,该模型可以对网络攻击过程进行高效的综合分析。