+

WO2018177210A1 - 防御apt攻击 - Google Patents

防御apt攻击 Download PDF

Info

Publication number
WO2018177210A1
WO2018177210A1 PCT/CN2018/080223 CN2018080223W WO2018177210A1 WO 2018177210 A1 WO2018177210 A1 WO 2018177210A1 CN 2018080223 W CN2018080223 W CN 2018080223W WO 2018177210 A1 WO2018177210 A1 WO 2018177210A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
threat data
threat
phase
attack
Prior art date
Application number
PCT/CN2018/080223
Other languages
English (en)
French (fr)
Inventor
陈友琨
Original Assignee
新华三技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 新华三技术有限公司 filed Critical 新华三技术有限公司
Priority to US16/498,371 priority Critical patent/US11405419B2/en
Priority to JP2019552980A priority patent/JP6894003B2/ja
Priority to EP18774308.3A priority patent/EP3588898B1/en
Publication of WO2018177210A1 publication Critical patent/WO2018177210A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Definitions

  • APT Advanced Persistent Threat
  • APT attacks often have a complete, well-planned attack process.
  • FIG. 2 is a schematic diagram of an APTDS behavior trajectory analysis for a suspicious IP address according to an embodiment of the present application
  • FIG. 3 is a logic block diagram provided by an embodiment of the present application.
  • FIG. 4 is a hardware architecture diagram of a system provided by an embodiment of the present application.
  • APT attacks The characteristics of APT attacks are: 1) the purpose of the attack is more and more clear, the scope of the attack is more and more focused, and the attack field extends from a simple computer network to an industrial control system, and is increasingly targeted at large enterprises and national infrastructure and key equipment. 2) Attack behavior is difficult to detect. Because APT attacks generally use 0day vulnerabilities, new Trojans, and phishing methods, feature-based security detection methods are very difficult to detect effectively. For example, the Flame virus has the characteristics of worms, backdoors, Trojans, botnets, social engineering, etc. The program has a code size of 650,000 lines, which is 100 times that of ordinary spyware. 3) It is extremely concealed and lasts for a long time.
  • APT attacks can well avoid detection of defense facilities before the outbreak, and the incubation period is getting longer and longer, collecting a large amount of confidential information. Based on its concealment, there may be a large number of other undiscovered threats that are seriously threatening national security and citizen rights.
  • Kill Chain Based on the characteristics of the APT attack, the concept of Kill Chain is mentioned in the embodiment of the present application, and the kill chain may include a complete process of “discovery-location-tracking-targeting-attack-evaluation”. From the perspective of the kill chain, an APT attack process can be divided into seven phases:
  • Phase 1 Reconnaissance, using social engineering to select and understand the target network, and using scanning techniques to perceive the vulnerability of the destination.
  • Phase 2 Weaponization, mainly refers to the production of targeted attack tools, such as pdf files or office files with malicious code.
  • Phase 3 Delivery tool (Delivery), the delivery of attack tools to the target system, commonly used methods include mail attachments, websites (for example, Trojans), U disk, and so on.
  • Phase 4 Exploitation, using the target system's application or operating system vulnerabilities to trigger the attack tool to run on the target system.
  • Phase 5 Installation of the installation tool, remote control program (trojan, malicious plugin, etc.).
  • Phase 6 Command and Control establishes a communication channel with an Internet control server, such as a server that controls Trojans.
  • Stage 7 Actions on Objectives, perform the required attack behavior, such as stealing information, tampering with information, or performing other sabotage activities.
  • the above seven stages are not detected at every stage. For example, in the production tool stage, there may be no traces on the network, so it is impossible to find out. Therefore, based on the above-described kill chain model, the present application re-divides the APT attack process into multiple APT attack phases that can be detected, and classifies the threats appearing in the network into corresponding detectable ATP attack phases, for classification. A targeted defense strategy is adopted for threats to various APT attack phases.
  • APTDS APT Defense System
  • Step 101 The APTDS acquires communication data in the network.
  • the communication data may include events, traffic, threat intelligence, and vulnerability data.
  • the events herein may include security events, operating system events, database events, application events, and authentication events, where traffic may include Raw traffic related to APT attacks and traffic logs used to record network access traffic behavior.
  • the APTDS may actively send the communication data to each communication data source, or the communication data source may actively send the new communication data to the APTDS, which is not specifically limited.
  • FW Firewall
  • IPS Intrusion Prevention System
  • Windows Windows
  • database Authentication, Authorization and Accounting, authentication, authorization
  • billing billing servers, applications, etc., when the above entity observes an abnormal situation or finds an event that needs attention, it performs corresponding recording.
  • the FW or IPS determines that a source IP (Internet Protocol) address launches a DDOS (Distributed Denial of Service) attack
  • the source IP address of the DDOS attack and the object to be attacked are generated.
  • Information such as IP addresses is recorded as a security event.
  • the AAA server detects that an IP address is being authenticated, it will record the authentication status (such as pass or fail, whether there is a behavior to guess the password) in the local server as an authentication event.
  • an application detects a behavior that threatens an application, such as an IP address stealing, modifying, or deleting configuration data for that application, an application event is logged.
  • the database detects the behavior of the threat database, such as privilege escalation, SQL (Structured Query Language) injection, a database event is logged.
  • the entity with the security check function can send the event to the APTDS through the standard Syslog (a function that records the function recorded to the system); or the above entity with the security check function can record the event in the local file. And obtained by APTDS through HTTP (HyperText Transfer Protocol), FTP (File Transfer Protocol), etc.; or, APTDS proxy can be implemented and installed in the above entity with security check function.
  • the event is retrieved and the event is transmitted to the APTDS using a proprietary protocol between the APTDS proxy and the APTDS, such as a proprietary protocol based on the User Datagram Protocol (UDP).
  • UDP User Datagram Protocol
  • the event is formatted and standardized, that is, each original event is sorted into a standard format event inside the APTDS, and then written into the local database.
  • the traffic collection may include collecting original traffic related to the attack as an attack evidence retention and checking; and, on the other hand, collecting a traffic log for recording the user network access communication behavior, for determining whether there is an abnormality in the network, and Subsequent data analysis.
  • the collection of the original traffic related to the attack may be performed by the physical network device that issues the security event, and the original traffic corresponding to the event related to an attack is written into the file, and then the file is uploaded to the APTDS through the FTP, and the APTDS receives the file. Save to a local database after the file is ready for later use.
  • Traffic logs are collected by FW, IPS, or network devices such as switches and routers.
  • the traffic is recorded in the traffic log through the hardware card or device software, and then the traffic logs are sent to the APTDS.
  • APTDS There are NetFlow format, NetStream format, and so on.
  • APTDS receives the traffic log, parses the traffic log and normalizes the format and writes it to the local database.
  • Threat intelligence mainly records threatening IP addresses, domain names, URLs (Uniform Resource Locators), and event evidence, threat resolution recommendations, and more.
  • APTDS can interact with threat intelligence sources through STIX (Structured Threat Information eXpression) or TAXII (Trusted Automated eXchange of Indicator Information) protocol to obtain threat intelligence data and write it to a local database.
  • threat intelligence sources can have microsteps online, 360 security clouds, and so on.
  • APTDS uses the IP address, domain name, and URL of the threat intelligence record to correlate with events within the network to more quickly and accurately detect threats within the network.
  • the APTDS can perform vulnerability scanning in advance to determine whether the network has weaknesses that are easily exploited by the APT attack.
  • the vulnerability scan includes the host. Vulnerabilities in Web, databases, network devices, and illegal programs on the host.
  • the weaknesses that are easily exploited by APT attacks may include imperfect system configuration, untimely system patch updates, weak passwords, software that should not be installed, or not. Processes that should appear, etc.
  • APTDS can be used as a vulnerability scan server to perform vulnerability scan operations to obtain scan results, or to obtain scan results of vulnerability scan software through the external interface provided by the vulnerability scan software.
  • APTDS can write it to the local database after it has been scanned.
  • Step 102 The APTDS performs association analysis on the communication data, and filters the threat data in the communication data according to the association analysis result.
  • Correlation analysis is a data fusion technology that studies the relationship between data, which is used to combine, correlate and combine multi-source data to reduce the false negative rate and false positive rate of threat data.
  • event and traffic log records involving the same IP address, the same domain name, or the same URL can be filtered from the communication data and marked as threat data.
  • the log records related to sensitive vocabulary can be filtered out from the traffic log, and the source IP address and source port recorded in the log record can be used to filter out the event associated with the tag from the communication data. For threat data.
  • Step 103 The APTDS maps each of the filtered threat data to a corresponding APT attack phase, wherein the APT attack phase may be defined according to a kill chain model.
  • the APT attack process is pre-divided into a plurality of detectable APT attack phases.
  • APTDS incorporates the characteristics of the threat data into the corresponding APT attack phase.
  • the APT attack process is divided into the following five phases:
  • the environment awareness stage detects loopholes in the network that are easily exploited by attackers.
  • APTDS can perform vulnerability scanning in advance, and based on the vulnerability data obtained by scanning, it can determine whether there are vulnerabilities in the network that are easily exploited by attackers. If the threat data includes vulnerability data, APTDS can map the vulnerability data in the threat data to the context aware phase.
  • APTDS maps the events related to the intranet scanning behavior to the survey and sniffing stages by filtering the event types of the events included in the threat data (such as port scans, over-ping ping messages, etc.).
  • an attacker launches an attack on an attacked object, it can attempt to log in to the attacked object or perform DOS attacks on the attacked object through some means, such as host blasting, Ping to Dealth, and ICMP (Internet Control Message Protocol). Message protocol) flooding, etc. These attacks can be discovered and reported to the APTDS by the FW.
  • the APTDS can map these types of events included in the threat data to the directed attack phase.
  • the attacker exploits the vulnerability of the attacked object to the attack tool. It can be discovered and reported to the APTDS by the IPS or WAF (Web Appllication Firewall) device.
  • the APTDS can include the extended script attack and buffer overflow in the threat data. The events of the attack and SQL injection attacks are mapped to the tool installation phase.
  • the attacker controls the attacked object to obtain data in the network or perform other sabotage activities.
  • the attacks involved in this phase can be worm attacks, spyware attacks, illegal data transfers, and so on.
  • a worm attack, a spyware attack, etc. can be discovered and reported to the APTDS by the IPS.
  • the APTDS can determine whether there is illegal data transmission by analyzing the collected traffic log. For example, the internal salary file is not allowed to be transmitted to a foreign website, but the APTDS audit is The salary file is transmitted to an IP address abroad, and APTDS can consider this to be an illegal data transmission event.
  • APTDS maps events in threat data involving worm attacks, spyware attacks, and illegal data transfers to suspicious activity phases.
  • the APTDS can perform the statistics and interface presentation of the threat data mapped to each APT attack phase. For example, APTDS can divide a day into a set number of time periods, and the dot of each specific position on the interface indicates that threat data corresponding to the APT attack phase appears in the corresponding time period of the corresponding date; the area of the dot The larger, the more the threat data is counted.
  • Step 104 For each threat data, the APTDS defends the network entity related to the threat data according to a defense policy corresponding to the APT attack phase to which the threat data is mapped.
  • corresponding defense strategies are respectively defined for a plurality of APT attack phases that are pre-divided.
  • the following defense strategies may be predefined on the APTDS.
  • the APTDS can determine the vulnerable network entity based on the threat data, and generate a vulnerability alarm, prompting the user to perform patching on the determined network entity, eliminating unsafe configuration, anti-virus, etc. operating.
  • the APTDS can deliver the set ACL (Access Control List) or security policy to the FW and IPS, and the attacker involved in the threat data.
  • the IP address is added to the blacklist of the network nodes involved in the threat data.
  • the network node includes devices having functions of control, authentication, forwarding, routing, and service functions in the network, such as switches, routers, database servers, SDN controllers, authentication servers, Web servers, and Windows. Server, Linux server, etc.
  • the network node can be a control node.
  • the control node may be an FW
  • the control node may be an AAA server.
  • the communication protocol between the APTDS and the FW and the IPS may be Telnet, SSH, or NetConf (Network Configuration Protocol).
  • the APTDS can configure the AAA server through a REST (Representational State Transfer) API (Application Programming Interface).
  • the APTDS can deliver the set ACL or security policy to the FW and IPS, as well as the server involved in hardening the AAA server and threat data, and the attacker involved in the threat data.
  • the IP address is added to the blacklist of the control node involved in the threat data.
  • the operations of the server involved in hardening the AAA server and the threat data may include patching the server, port closing operation, and the like.
  • the APTDS can deliver the set ACL or security policy to the FW and IPS, harden the AAA server and the server involved in the threat data, deliver the WAF policy to the WAF device, and The IP address of the attacker involved in the threat data is added to the blacklist of the control node involved in the threat data.
  • APTDS can configure WAF devices through REST API.
  • the APTDS can deliver the set ACL or security policy to the FW and IPS, harden the server involved in the AAA server and threat data, and the IP of the attacker involved in the threat data.
  • the address joins the blacklist of the control nodes involved in the threat data.
  • the example of the present application collects multi-source data such as events, traffic, threat intelligence and vulnerability data, and is more comprehensive in data collection; screening threat data through data joint analysis and threatening The data is mapped to the corresponding APT attack phase, and the corresponding defense strategy is adopted for different APT attack phases, so that the APT attack processing is more targeted, and the APT attack can be detected and defended more effectively.
  • the APTDS may perform one or more of the following analysis on the communication data in the obtained network to more fully characterize and present the APT attack:
  • the APTDS can determine the suspicious IP address involved in the threat data, and then query and query all the acquired communication data. The event and traffic logs associated with the suspicious IP address, and finally the queried events and traffic logs are presented in chronological order.
  • FIG. 2 is a schematic diagram of an APTDS behavior trajectory analysis for a suspicious IP address.
  • APTDS's behavioral trajectory analysis can integrate multiple data sources, multiple types of events or log data, and present all event and log data related to it from the perspective of a suspicious IP address, which may include The data that was not filtered when filtering threat data (such as the AAA authentication success event of 08:02:13 in Figure 2 and the successful event of 10.153.89.82 of 08:02:18).
  • APTDS may collect hundreds of thousands of communication data per day. Users may not have time to pay attention to each communication data, so APTDS can analyze these communication data from different dimensions for network risk assessment and security alarm generation. Therefore, the user is fully aware of the security situation within the network and the APT attack status. Specifically, there are several dimensions:
  • the event relationship analysis is used to associate multiple events with different event types and related IP addresses of the attacked objects; and according to the IP address, domain name or Uniform Resource Locator URL recorded in the threat information, the search involves the same An event with an IP address, the same domain name, or the same URL.
  • event relationship analysis can be used to analyze the relationship between security events such as directed blasting, DDOS attacks, and suspicious escalation behaviors and other types of events. For example, assume that a firewall exists DDOS attack network at time t 1 report, APTDS by regular expressions, query events after time t 1 reported the attack with the DDOS attack target IP addresses in the local database, if APTDS inquiry In an operating system event, the operating system event is used to report that the CPU (Central Processing Unit) of a host is overutilized, and the IP address of the host is the same as the target attack IP address of the DDOS attack, then APTDS It can be confirmed that the DDOS attack has been successful.
  • CPU Central Processing Unit
  • event relationship analysis can also be used to analyze the relationship between threat intelligence data and events within the network. For example, as soon as the APTDS discovers an event related to a malicious IP address, a malicious domain name, or a malicious URL posted by a threat intelligence source, a security alert is generated immediately.
  • APT attack stage data mining analysis used to analyze the threat data mapped to the same APT attack stage, for example, trend analysis, pie chart analysis.
  • the APTDS can determine the APT attack phase to be studied, and extract historical threat data mapped to the APT attack phase from the local database. All historical threat data can be extracted during extraction, and historical threat data within a set time period can also be extracted. Afterwards, APTDS can organize and present threat data from different research perspectives, which can be configured by users through the APTDS interface.
  • APTDS can extract continuous multi-day threat data from the local database to the targeted attack phase, and obtain the existing trend analysis tools such as trend lines. The direction and magnitude of the increase and decrease of the threat data related to the directed attack phase, and the number of possible attacks in the future. If the source of the directed attack is to be studied, the APTDS can present the statistical result of the number of directed attacks initiated on the relevant network segment in a pie chart based on the extracted threat data related to the directed attack phase, thereby prompting the user to launch the directed attack more frequently. Network segment for troubleshooting.
  • the host dimension analysis is used for statistical analysis and trend analysis of operating system events in the communication data.
  • APTDS can extract operating system events from a local database and organize and present operating system events from different research perspectives.
  • event level such as warning level, notification level, error level, etc.
  • event type such as logging in to the operating system, unregistering the operating system, adding an account, modifying the account, etc.
  • system type such as Windows system, Linux system, etc.
  • the extracted communication data is classified, and the pie chart can be drawn based on the classification result, and the percentage of various operating system events at different angles is obtained.
  • the application dimension analysis is used for statistical analysis and trend analysis of application events in communication data.
  • APTDS can extract application events reported by applications in the network, and organize and present the extracted application events from different research perspectives.
  • an application event with an event level of error level or warning level can be extracted, and the extracted application events are classified from the perspective of the application type (such as social application class, map navigation class, call communication class, online shopping payment class, etc.).
  • the application type such as social application class, map navigation class, call communication class, online shopping payment class, etc.
  • statistics which type of application is most vulnerable to attack, to prompt users to enhance the protection of this type of application.
  • V Database dimension analysis for statistical analysis and trend analysis of database events in communication data.
  • APTDS can extract database events reported by databases in the network and organize and present the extracted database events from different research perspectives.
  • threat types such as permission abuse, privilege escalation, SQL injection, insufficient authentication, backup data exposure, and so on.
  • Classes and statistics, the number of occurrences of database events under each database threat type is obtained to prompt the user which type of threat has the greatest impact on the database.
  • FIG. 4 is a hardware structural diagram of a system for defending against APT attacks according to some embodiments of the present disclosure.
  • the system 40 for defending against APT attacks can include a processor 41 and a machine readable storage medium 42.
  • processor 41 and machine readable storage medium 42 can communicate via system bus 43. And, by reading and executing the machine executable instructions corresponding to the logic 30 of the defense APT attack stored in the machine readable storage medium 42, the processor 41 can perform the method of defending the APT attack described above.
  • the machine-readable storage medium 42 referred to herein can be any electronic, magnetic, optical, or other physical storage device that can contain or store information such as executable instructions, data, and the like.
  • the machine-readable storage medium 42 can include at least one of the following types of storage medium: volatile memory, non-volatile memory, other types of storage media.
  • the readable storage medium may be a RAM (Random Access Memory), a flash memory, a storage drive (such as a hard disk drive), a solid state drive, a storage disk (such as a compact disc, a DVD, etc.).
  • FIG. 3 is a functional block diagram of a system for defending against APT attacks provided by the present application, which may include the following elements:
  • the data obtaining unit 301 is configured to acquire communication data in the network.
  • the data association unit 302 is configured to perform association analysis on the communication data, and filter out threat data in the communication data according to the association analysis result.
  • the kill chain analysis unit 303 is configured to map each of the filtered threat data to a corresponding APT attack phase according to the kill chain model.
  • the defense deployment unit 304 is configured to defend the network entity related to each threat data according to a defense policy corresponding to the multiple APT attack phases.
  • the APT attack phase may include: an environment sensing phase, detecting a vulnerability exploited by an attacker in the network; detecting and sniffing the attacker, detecting whether the attacked object has a vulnerability;
  • the attacker launches an attack on the attacked object; during the tool installation phase, the attacker uses the vulnerability of the attacked object to implant the attack tool into the attacked object; during the suspicious activity phase, the attacker controls the attacked object to acquire the data in the network. Or carry out other sabotage activities.
  • the communication data may include at least one of: an event, a traffic, threat intelligence, and vulnerability data;
  • the event may include at least one of the following: a security event, an operating system event, a database event, an application event, The authentication event;
  • the traffic may include at least one of the following: original traffic related to the attack, and a traffic log for recording network access communication behavior.
  • the defense policy may be: if the threat data is mapped to the environment awareness phase, the defense deployment unit 304 may determine the vulnerable network entity according to the threat data, and perform the determined network entity. At least one of the following operations: patching, eliminating unsafe configuration, anti-virus operation; if the threat data is mapped to the survey and sniffing phase, the defense deployment unit 304 can deliver the set ACL or security policy to the FW and The IPS, and the IP address of the attacker involved in the threat data is added to the blacklist of the control node involved in the threat data; if the threat data is mapped to the directed attack phase, the defense deployment unit 304 may deliver the set ACL or security policy to the FW and IPS, hardening the AAA server and the server involved in the threat data, and adding the IP address of the attacker involved in the threat data to the blacklist of the control node involved in the threat data; if there is threat data Mapping to the tool installation phase, the defense deployment unit 304 can deliver the set ACL or security policy to the FW.
  • the WAF policy is sent to the WAF device, and the IP address of the attacker involved in the threat data is added to the blacklist of the control node involved in the threat data; if there is a threat
  • the data is mapped to the suspicious activity stage, and the defense deployment unit 304 can deliver the set ACL or security policy to the FW and the IPS, and the AAA server and the server involved in the threat data, and the attacker involved in the threat data.
  • the IP address is added to the blacklist of the control node involved in the threat data.
  • system may further include:
  • a behavior trajectory analysis unit configured to determine a suspicious IP address involved in the threat data for each threat data mapped to a survey and sniffing phase, a directed attack phase, a tool installation phase, or a suspicious activity phase; querying the communication data The event and traffic logs associated with the suspect IP address; the queried events and traffic logs are presented in chronological order.
  • system may further include:
  • a multi-dimensional analysis unit for performing at least one of the following analysis for network risk assessment and generating security alarms
  • the at least one analysis includes:
  • Event relationship analysis used to associate multiple events with different event types and related IP addresses of the attacked objects; and searching for the same IP address according to the IP address, domain name or Uniform Resource Locator URL recorded in the threat information , the same domain name or the same URL event;
  • Database dimension analysis for performing statistical analysis and trend analysis on database events in the communication data.
  • the device embodiment since it basically corresponds to the method embodiment, reference may be made to the partial description of the method embodiment.
  • the device embodiments described above are merely illustrative, wherein the units described as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, ie may be located A place, or it can be distributed to multiple network units. Some or all of the modules may be selected according to actual needs to achieve the purpose of the solution of the embodiment. Those of ordinary skill in the art can understand and implement without any creative effort.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请提供防御高级持续性威胁APT攻击的方法和系统，该方法为：获取网络中的通信数据；对通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；将筛选出的每一威胁数据根据击杀链模型分别映射到对应的APT攻击阶段；根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。本申请通过将威胁数据映射到对应的APT攻击阶段，以及针对不同的APT攻击阶段采取相应的防御策略，使得APT攻击处理更有针对性，可以更为有效地检测和防御APT攻击。

Description

防御APT攻击
相关申请的交叉引用
本专利申请要求于2017年3月27日提交的、申请号为201710188038.X、发明名称为“一种防御APT攻击的方法和系统”的中国专利申请的优先权，该申请的全文以引用的方式并入本文中。
背景技术
APT(Advanced Persistent Threat，高级持续性威胁)通常是由专业的黑客组织、国家级黑客发动，对政府、能源、金融、企业等发动有针对性的攻击。APT攻击往往具有一个完整的、精心策划的攻击过程。
附图说明
图1是本申请实施例提供的方法流程图；
图2是本申请实施例提供的一种APTDS针对某可疑IP地址的行为轨迹分析示意图；
图3是本申请实施例提供的逻辑框图；
图4是本申请实施例提供的系统的硬件架构图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
APT攻击的特点是：1)攻击目的越来越明确，攻击范围越来越专注，攻击领域从单纯的计算机网络扩展到工业控制系统，越来越针对大型企业和国家基础设施、关键设 备。2)攻击行为难以侦测。由于APT攻击普遍采用0day漏洞、新型木马及钓鱼手段等，基于特征的安全检测方法对此十分难以进行有效侦测。如Flame病毒兼具有蠕虫、后门、木马、僵尸网络、社会工程学等特点，其程序的代码量达65万行，是普通间谍软件的100倍。3)具有极强隐蔽性且长期持续。APT攻击在爆发之前能够很好的躲避防御设施的检测，潜伏期越来越长，搜集大量机密信息。基于其的隐蔽性，可能存在大量其他未被发现的威胁，正在严重地威胁着国家安全和公民权益。
基于APT攻击的特点，本申请实施例中提及了击杀链(Kill Chain)这个概念，击杀链可包括“发现-定位-跟踪-瞄准-攻击-评估”这一完整流程。从击杀链的角度可以将一次APT攻击过程划分为7个阶段：
阶段1：侦查目标(Reconnaissance)，利用社会工程学选定并了解目标网络，并使用扫描技术对目的地的脆弱性进行感知。
阶段2：制作工具(Weaponization)，主要是指制作定向攻击工具，例如带有恶意代码的pdf文件或office文件。
阶段3：传送工具(Delivery)，输送攻击工具到目标系统上，常用的手法包括邮件的附件、网站(例如，木马)、U盘等。
阶段4：触发工具(Exploitation)，利用目标系统的应用或操作系统漏洞，在目标系统触发攻击工具运行。
阶段5：安装工具(Installation)，远程控制程序(木马、恶意插件等)的安装。
阶段6：建立连接(Command and Control)，与互联网控制服务器，例如控制木马的服务器，建立通信信道。
阶段7：执行攻击(Actions on Objectives)，执行所需要的攻击行为，例如偷取信息、篡改信息或者进行其它破坏活动。
但上述7个阶段并非每个阶段都能被探测到，比如制作工具阶段，网络上可能没有任何痕迹，所以无从发现。因此，本申请基于上述击杀链模型，将APT攻击过程重新划分为多个可被探测的APT攻击阶段，并将网络中出现的威胁归类到对应的可探测的ATP攻击阶段，针对归类到各个APT攻击阶段的威胁采取针对性的防御策略。
下面通过图1对本申请提供的方法进行描述。
参见图1，为本申请提供的方法流程图，该方法可应用于本申请示例提供的APT攻 击防御系统(APT Defense System，下文简称APTDS)。如图1所示，该方法可包括以下步骤：
步骤101：APTDS获取网络中的通信数据。
在本申请示例中，通信数据可以包括事件、流量、威胁情报和漏洞数据，进一步的，这里的事件可以包括安全事件、操作系统事件、数据库事件、应用事件和认证事件，这里的流量可以包括与APT攻击有关的原始流量以及用于记录网络访问通信行为的流量日志。
下面分别说明上述各类通信数据的采集过程。需要说明的是，可以是APTDS主动去各通信数据源上去获取通信数据，也可以是各通信数据源主动将新的通信数据发送给APTDS，本申请并不具体限定。
1)事件采集
事件可来自于具有安全检查功能的实体，比如FW(Firewall，防火墙)、IPS(Intrusion Prevention System，入侵防御系统)、操作系统(如Windows)、数据库、AAA(Authentication,Authorization and Accounting，认证、授权和计费)服务器、应用等，当上述实体观察到异常情况或者发现需要关注的事件时，便进行相应的记录。
比如，当FW或IPS判断某个源IP(Internet Protocol，网际协议)地址发动DDOS(Distributed Denial of Service，分布式拒绝服务)攻击时，则会将发起DDOS攻击的源IP地址、被攻击对象的IP地址等信息记录为一次安全事件。当AAA服务器检测到某个IP地址正在进行认证时则会将认证情况(如通过与否、是否有猜测密码的行为)记录在本地服务器中作为一次认证事件。当应用检测到威胁应用的行为时，如某个IP地址窃取、修改或删除了该应用的配置数据，则会记录一次应用事件。当数据库检测到威胁数据库的行为时，如权限提升、SQL(Structured Query Language，结构化查询语言)注入，则会记录一次数据库事件。
事件产生之后，上述具有安全检查功能的实体可以通过标准Syslog(一种功能为记录至系统记录的函数)将事件发送至APTDS；或者，上述具有安全检查功能的实体可以将事件记录在本地文件中，并由APTDS通过HTTP(HyperText Transfer Protocol，超文本传输协议)、FTP(File Transfer Protocol，文件传输协议)等协议获取；或者，也可以实现APTDS代理并将其安装在上述具有安全检查功能的实体中来获取事件，并使用APTDS代理和APTDS之间的私有协议(如基于UDP(User Datagram Protocol，用 户数据报协议)的私有协议)将该事件传送给APTDS。一种APTDS采集到的事件类型及相应的采集点和采集技术如表1所示：
表1
Figure PCTCN2018080223-appb-000001
APTDS在获取到事件之后，对事件进行格式标准化处理，即将每条原始事件整理成APTDS内部的标准格式事件，然后写入本地数据库。
2)流量采集
流量采集一方面可包括采集与攻击有关的原始流量，作为攻击证据留存和备查；另一方面可包括采集用于记录用户网络访问通信行为的流量日志，以用于判断网络中是否存在异常，以及后续的数据分析。
其中，与攻击有关的原始流量的采集，可由发出安全事件的实体网络设备，将与某一条攻击有关的事件所对应的原始流量写入到文件中，然后将文件通过FTP上传给APTDS，APTDS接收到文件后保存到本地数据库，以备后用。
流量日志的采集，一般是由FW、IPS或交换机、路由器等网络设备，通过硬件插卡或者设备软件将处理过的流量记录在流量日志中，然后将流量日志发送给APTDS，流量日志常用的格式有NetFlow格式、NetStream格式等。APTDS接收到流量日志，对流量日志进行解析和格式标准化处理后写入本地数据库。
3)威胁情报采集
威胁情报中主要记录了具有威胁性的IP地址、域名、URL(Uniform Resource Locator，统一资源定位符)，以及事件证据、威胁处置建议等信息。APTDS可以通过STIX (Structured Threat Information eXpression，结构化威胁信息表达式)或TAXII(Trusted Automated eXchangeof Indicator Information)协议与威胁情报源交互，获得威胁情报数据并写入本地数据库。例如，威胁情报源可有微步在线、360安全云等。
APTDS利用威胁情报记录的IP地址、域名和URL，与网络内的事件进行关联，可以更为快速而精准的探知网络内是否存在威胁。
4)漏洞数据采集
在本申请示例中，考虑到APT攻击可是利用主机、Web、数据库的漏洞来攻陷目标网络，因此APTDS可以提前进行漏洞扫描来确定网络是否存在容易被APT攻击所利用的弱点，漏洞扫描内容包括主机、Web、数据库、网络设备上的漏洞以及主机中的非法程序，容易被APT攻击所利用的弱点可包括系统配置不完善、系统补丁更新不及时、存在弱口令、存在不应该安装的软件或者不应该出现的进程等。
APTDS可以作为漏洞扫描服务器实施漏洞扫描操作获取扫描结果，也可以通过漏洞扫描软件提供的对外接口获取漏洞扫描软件的扫描结果。APTDS获得扫描结果后可将其写入本地数据库。
步骤102：APTDS对通信数据进行关联分析，根据关联分析结果筛选出通信数据中的威胁数据。
关联分析可是一种数据融合技术，研究数据之间的相互关系，用于对多源数据进行联合、相关和组合，降低威胁数据的漏报率和误报率。
例如，通过威胁情报中记录的IP地址、域名和URL，可以从通信数据中筛选出涉及相同IP地址、相同域名或相同URL的事件和流量日志记录，标记为威胁数据。
又例如，通过关键词检索可以从流量日志中筛选出涉及敏感词汇的日志记录，再通过日志记录中记载的源IP地址、源端口等信息可以从通信数据中筛选出与之关联的事件，标记为威胁数据。
步骤103：APTDS将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，其中，APT攻击阶段可根据击杀链模型进行定义。
如前文所述，本申请示例中基于该击杀链模型，预先将APT攻击过程划分为多个可被探测的APT攻击阶段。对于筛选出的每一威胁数据，APTDS根据威胁数据的特征将其纳入对应的APT攻击阶段。
将APT攻击过程为多个APT攻击阶段可有很多种实现方式，这里简单举一种实现方式：
在一个实施例中，将APT攻击过程划分为以下5个阶段：
1)环境感知阶段，为检测网络中存在容易被攻击者利用的漏洞。
由于APT攻击可利用主机、Web、数据库的漏洞来攻陷目标网络，因此APTDS可以提前进行漏洞扫描，根据扫描得到的漏洞数据可确定网络中是否存在容易被攻击者利用的漏洞。如果威胁数据包括漏洞数据，则APTDS可以将威胁数据中的漏洞数据映射到环境感知阶段。
2)勘察及嗅探阶段，为攻击者探测被攻击对象存在漏洞。
由于攻击者可能会使用系统扫描、端口扫描、漏洞扫描、协议扫描等行为，来确认被攻击对象是否存在漏洞、是否有可能被攻击。因此APTDS通过筛选威胁数据包括的事件的事件类型(比如端口扫描、超量ping报文等)，将其中与内网扫描行为相关的事件映射到勘察及嗅探阶段。
3)定向攻击阶段，为攻击者对被攻击对象发动攻击。
攻击者对被攻击对象发动攻击时，可以通过一些手段企图登录到被攻击对象或者对被攻击对象实施DOS攻击等破坏活动，比如，主机爆破、Ping to Dealth、ICMP(Internet Control Message Protocol，Internet控制报文协议)泛洪等。这些攻击可以由FW发现并上报给APTDS，APTDS可以将威胁数据中包括的这些类型的事件映射到定向攻击阶段。
4)工具安装阶段，为攻击者利用被攻击对象的漏洞向被攻击对象植入攻击工具。
攻击者利用被攻击对象的漏洞植入攻击工具的行为，可以由IPS或WAF(Web Appllication Firewall，Web应用防火墙)设备发现并上报给APTDS，APTDS可以将威胁数据中涉及扩展脚本攻击、缓冲区溢出攻击、SQL注入攻击的事件映射到工具安装阶段。
5)可疑活动阶段，为攻击者控制被攻击对象获取网络中的数据或者进行其它破坏活动。
此阶段涉及的攻击可有蠕虫攻击、间谍软件攻击、非法数据传输等。蠕虫攻击、间谍软件攻击等可以由IPS发现并上报给APTDS，另外APTDS通过分析采集到的流量日志可以判断是否有非法数据传输，比如，内部的工资文件不允许传给国外网站，但是 APTDS审计到该工资文件被传输到国外某个IP地址，则APTDS可以认为这是一起非法数据传输事件。APTDS可以将威胁数据中涉及蠕虫攻击、间谍软件攻击、非法数据传输的事件映射到可疑活动阶段。
对威胁数据进行识别和APT攻击阶段映射后，APTDS可以将各APT攻击阶段映射到的威胁数据进行统计和界面呈现。例如，APTDS可以将一天分为设定的多个时间段，界面上的每个特定位置的圆点，表示在对应日期的对应时间段内出现了对应APT攻击阶段的威胁数据；圆点的面积越大，表明统计到的威胁数据的数量越多。
步骤104：针对每一威胁数据，APTDS根据与所述威胁数据映射到的所述APT攻击阶段对应的防御策略，对所述威胁数据有关的网络实体进行防御。
本申请示例中，针对预先划分好的多个APT攻击阶段，还分别定义了对应的防御策略。
例如，针对上述列举的将APT攻击过程划分为环境感知阶段、勘察及嗅探阶段、定向攻击阶段、工具安装阶段、可疑活动阶段等5个阶段的划分方式，可以在APTDS上预先定义如下防御策略：
1)如果有威胁数据映射到环境感知阶段，则APTDS可以根据该威胁数据确定存在漏洞的网络实体，并产生漏洞告警，提示用户对确定出的网络实体执行打补丁、消除不安全配置、杀毒等操作。
2)如果有威胁数据映射到勘察及嗅探阶段，则APTDS可以下发设定的ACL(Access Control List，访问控制列表)或安全策略给FW和IPS，以及将该威胁数据涉及的攻击者的IP地址加入威胁数据涉及的网络节点的黑名单。其中，所述网络节点包括网络中具有控制功能、鉴权功能、转发功能、路由功能、提供服务功能等功能的设备，例如交换机、路由器、数据库服务器、SDN控制器、认证服务器、Web服务器、Windows服务器、Linux服务器等。在一个实施例中，所述网络节点可以为控制节点。例如，当该威胁数据来自于外网，该控制节点可为FW，当该威胁数据来自于内网，该控制节点可为AAA服务器。其中，APTDS和FW、IPS之间的通信协议可以是Telnet、SSH或NetConf(网络配置协议)。APTDS可以通过REST(Representational State Transfer，表述性状态转移)API(Application Programming Interface,应用程序编程接口)配置AAA服务器。
3)如果有威胁数据映射到定向攻击阶段，则APTDS可以下发设定的ACL或安全策略给FW和IPS，以及加固AAA服务器和威胁数据涉及的服务器，以及将该威胁数 据涉及的攻击者的IP地址加入威胁数据涉及的控制节点的黑名单。其中，加固AAA服务器和威胁数据涉及的服务器的操作可以包括为服务器打补丁，端口关闭操作等。
4)如果有威胁数据映射到工具安装阶段，则APTDS可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和威胁数据涉及的服务器，下发WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入威胁数据涉及的控制节点的黑名单。其中，APTDS可以通过REST API配置WAF设备。
5)如果有威胁数据映射到可疑活动阶段，则APTDS可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP地址加入威胁数据涉及的控制节点的黑名单。
至此，完成图1所示的流程。
通过图1所示的流程可以看出，本申请示例收集了事件、流量、威胁情报和漏洞数据等多源数据，在数据采集上更为全面；通过数据联合分析筛选出威胁数据，并将威胁数据映射到对应的APT攻击阶段，以及针对不同的APT攻击阶段采取相应的防御策略，使得APT攻击处理更有针对性，可以更为有效地检测和防御APT攻击。
在本申请示例中，APTDS针对获得的网络中的通信数据，还可以进行以下一种或多种分析，以对APT攻击进行更为全面的刻画和呈现：
1)行为轨迹分析
针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，APTDS可以确定出该威胁数据涉及的可疑IP地址，然后在获取的所有通信数据中查询与该可疑IP地址关联的事件和流量日志，最后将查询到的事件和流量日志按照时间顺序呈现。
如此，可以将与该可疑IP地址相关的所有通信数据都筛选出并串联形成完整的APT攻击时间链。
请参见图2，图2为本例示出的一种APTDS针对某可疑IP地址的行为轨迹分析示意图。从图2可以看到，APTDS的行为轨迹分析可以将多个数据源、多种类型的事件或日志数据进行整合，并从可疑IP地址的视角呈现与其相关的所有事件和日志数据，其中可能包括在筛选威胁数据时未被筛选出的数据(如图2中的08:02:13的AAA认证成功事件和08:02:18的登陆10.153.89.82成功的事件)。
2)多维度分析
APTDS每天收集到的通信数据可能多达数十万条，用户可能没有时间去关注每条通信数据，于是APTDS可以从不同的维度对这些通信数据展开分析，以用于网络风险评估和产生安全告警，从而有利于用户全面感知网内安全情况和APT攻击状况。具体地，可以有以下几种维度：
一、事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件。
一方面，事件关系分析可以用于分析定向爆破、DDOS攻击、可疑提权行为等安全事件与其它类型事件之间的关系。例如，假设防火墙在t 1时刻上报网络中存在DDOS攻击，APTDS通过正则表达式，在本地数据库中查询在t 1时刻之后上报的、与该DDOS攻击的攻击目标IP地址相关的事件，如果APTDS查询到一操作系统事件，该操作系统事件用于上报某主机的CPU(Central Processing Unit，中央处理器)利用率过高，且该主机的IP地址与该DDOS攻击的目标攻击IP地址相同，则APTDS可以确认该DDOS攻击已经成功。
另一方面，事件关系分析还可以用于分析威胁情报数据与网内事件之间的关系。例如，只要APTDS发现网内出现与威胁情报源发布的恶意IP地址、恶意域名或恶意URL相关的事件，便立即产生安全告警。
二、APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行分析，例如，趋势分析、饼图分析。
APTDS可以确定待研究的APT攻击阶段，从本地数据库中抽取映射到该APT攻击阶段的历史威胁数据，抽取时可以抽取全部的历史威胁数据，也可以抽取设定时间段内的历史威胁数据。之后，APTDS可以从不同的研究角度对威胁数据进行组织和呈现，该研究角度可以由用户通过APTDS的接口配置。
例如，如果要研究定向攻击在未来某个时间的发生次数，则APTDS可以从本地数据库中抽取连续多天的映射到定向攻击阶段的威胁数据，通过已有的趋势分析手段如趋势线，得到与定向攻击阶段相关的威胁数据的增减变动方向和幅度，进而得到定向攻击在未来可能的发生次数。如果要研究定向攻击的来源，则APTDS可以基于抽取的与定向攻击阶段相关的威胁数据，将相关网段发起定向攻击次数的统计结果以饼图方式呈 现，从而提示用户对发动定向攻击次数较多的网段进行排查。
三、主机维度分析，用于对通信数据中的操作系统事件进行统计分析和趋势分析。
APTDS可以从本地数据库中抽取操作系统事件，并从不同的研究角度对操作系统事件进行组织和呈现。
例如，可以从事件级别(如警告级别、通知级别、错误级别等)的角度，或是从事件类型(如登陆操作系统、注销操作系统、增加账号、修改账号等)的角度，或是从操作系统类型(如Windows系统、Linux系统等)的角度，分别将抽取的通信数据进行归类，并可以基于归类结果绘制饼状图，得到不同角度下各类操作系统事件的百分比。
四、应用维度分析，用于对通信数据中的应用事件进行统计分析和趋势分析。
APTDS可以抽取网络内应用上报的应用事件，并从不同的研究角度对抽取的应用事件进行组织和呈现。
例如，可以抽取事件级别为错误级别或警告级别的应用事件，并从应用类型(如社交应用类、地图导航类、通话通讯类、网购支付类等)的角度，将抽取的应用事件进行归类和统计，得到哪种类型的应用最容易受到攻击，以提示用户加强对该类型应用的保护。
五、数据库维度分析，用于对通信数据中的数据库事件进行统计分析和趋势分析。
APTDS可以抽取网络内数据库上报的数据库事件，并从不同的研究角度对抽取的数据库事件进行组织和呈现。
例如，可以抽取事件级别为错误级别或警告级别的数据库事件，并从威胁类型(如权限滥用、权限提升、SQL注入、身份验证不足、备份数据暴露等)的角度，将抽取的数据库事件进行归类和统计，得到各数据库威胁类型下的数据库事件的发生次数，以提示用户哪种类型的威胁对数据库的影响最大。
以上对本申请提供的方法进行了描述。下面对本申请提供的系统进行描述。
参见图4，图4为本申请一些实施例提供的防御APT攻击的系统的硬件结构图。该防御APT攻击的系统40可包括处理器41以及机器可读存储介质42。其中，处理器41和机器可读存储介质42可经由系统总线43通信。并且，通过读取并执行机器可读存储介质42中存储的防御APT攻击的逻辑30对应的机器可执行指令，处理器41可执行上文所述的防御APT攻击的方法。
本文提到的机器可读存储介质42可以是任何电子、磁性、光学或其他物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，所述机器可读存储介质42可以包括如下至少一个种存储介质：易失存储器、非易失性存储器、其它类型存储介质。例如，可读存储介质可为RAM(Random Access Memory，随机存取存储器)、闪存、存储驱动器(如硬盘驱动器)、固态硬盘、存储盘(如光盘、DVD等)。
参见图3，图3为本申请提供的一种防御APT攻击的系统的功能模块框图，可以包括以下单元：
数据获取单元301，用于获取网络中的通信数据。
数据关联单元302，用于对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据。
击杀链分析单元303，用于将筛选出的每一威胁数据根据击杀链模型分别映射到对应的APT攻击阶段。
防御部署单元304，用于根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
在一个实施例中，所述APT攻击阶段可以包括：环境感知阶段，为检测到网络中存在被攻击者利用的漏洞；勘察及嗅探阶段，为攻击者探测被攻击对象否存在漏洞；定向攻击阶段，为攻击者对被攻击对象发动攻击；工具安装阶段，为攻击者利用被攻击对象的漏洞向被攻击对象植入攻击工具；可疑活动阶段，为攻击者控制被攻击对象获取网络中的数据或者进行其它破坏活动。
在一个实施例中，所述通信数据可以包括如下至少一项：事件、流量、威胁情报和漏洞数据；所述事件可以包括如下至少一项：安全事件、操作系统事件、数据库事件、应用事件、认证事件；所述流量可以包括如下至少一项：与攻击有关的原始流量、用于记录网络访问通信行为的流量日志。
在一个实施例中，所述防御策略可以为：如果有威胁数据映射到环境感知阶段，则所述防御部署单元304可以根据该威胁数据确定存在漏洞的网络实体，并对确定出的网络实体执行如下至少一项操作：打补丁、消除不安全配置、杀毒的操作；如果有威胁数据映射到勘察及嗅探阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单；如果有威胁数据映射到定向攻击阶段，则所述防御部署单元304可以下 发设定的ACL或安全策略给FW和IPS，加固AAA服务器和所述威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单；如果有威胁数据映射到工具安装阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和所述威胁数据涉及的服务器，下发WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单；如果有威胁数据映射到可疑活动阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器及所述威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单。
在一个实施例中，所述系统还可以包括：
行为轨迹分析单元，用于针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，确定该威胁数据涉及的可疑IP地址；在所述通信数据中查询与该可疑IP地址关联的事件和流量日志；将查询到的事件和流量日志按照时间顺序呈现。
在一个实施例中，所述系统还可以包括：
多维度分析单元，用于执行以下至少一种分析，以用于网络风险评估和产生安全告警；
所述至少一种分析包括：
事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件；
APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行趋势分析和饼图分析；
主机维度分析，用于对所述通信数据中的操作系统事件进行统计分析和趋势分析；
应用维度分析，用于对所述通信数据中的应用事件进行统计分析和趋势分析；
数据库维度分析，用于对所述通信数据中的数据库事件进行统计分析和趋势分析。
至此，完成图3所示系统的描述。
对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上对本发明实施例所提供的方法和装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (15)

  1. 一种防御高级持续性威胁APT攻击的方法，其特征在于，包括：
    获取网络中的通信数据；
    对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；
    将筛选出的每一威胁数据根据击杀链模型分别映射到对应的APT攻击阶段；
    根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
  2. 如权利要求1所述的方法，其特征在于，所述APT攻击阶段包括：
    环境感知阶段，为检测到网络中存在被攻击者利用的漏洞；
    勘察及嗅探阶段，为所述攻击者探测被攻击对象存在漏洞；
    定向攻击阶段，为所述攻击者对所述被攻击对象发动攻击；
    工具安装阶段，为所述攻击者利用所述被攻击对象的漏洞向所述被攻击对象植入攻击工具；
    可疑活动阶段，为所述攻击者控制所述被攻击对象获取网络中的数据或者进行破坏活动。
  3. 如权利要求1所述的方法，其特征在于，所述通信数据包括如下至少一项：事件、流量、威胁情报和漏洞数据；
    所述事件包括如下至少一项：安全事件、操作系统事件、数据库事件、应用事件、认证事件；
    所述流量包括如下至少一项：与攻击有关的原始流量、用于记录网络访问通信行为的流量日志。
  4. 如权利要求2所述的方法，其特征在于，所述防御策略包括：
    如果有威胁数据映射到环境感知阶段，则根据该威胁数据确定存在漏洞的网络实体，并对确定出的网络实体执行如下操作中的至少一项：打补丁、消除不安全配置、杀毒的操作；
    如果有威胁数据映射到勘察及嗅探阶段，则下发设定的访问控制列表ACL或安全策略给防火墙FW和入侵防御系统IPS，以及将该威胁数据涉及的攻击者的网际协议IP地址加入所述威胁数据涉及的控制节点的黑名单；
    如果有威胁数据映射到定向攻击阶段，则下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和所述威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP 地址加入所述威胁数据涉及的控制节点的黑名单；
    如果有威胁数据映射到工具安装阶段，则下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和所述威胁数据涉及的服务器，下发网站应用防火墙WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单；
    如果有威胁数据映射到可疑活动阶段，则下发设定的ACL或安全策略给FW和IPS，加固AAA服务器及所述威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和所述威胁数据涉及的控制节点的黑名单。
  5. 如权利要求2所述的方法，其特征在于，所述方法还包括：
    针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，
    确定该威胁数据涉及的可疑IP地址；
    在所述通信数据中查询与该可疑IP地址关联的事件和流量日志；
    将查询到的事件和流量日志按照时间顺序呈现。
  6. 如权利要求3所述的方法，其特征在于，所述方法还包括：
    执行以下至少一种分析，以用于网络风险评估和产生安全告警：
    事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件；
    APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行分析；
    主机维度分析，用于对所述通信数据中的操作系统事件进行统计分析和趋势分析；
    应用维度分析，用于对所述通信数据中的应用事件进行统计分析和趋势分析；
    数据库维度分析，用于对所述通信数据中的数据库事件进行统计分析和趋势分析。
  7. 如权利要求4所述的方法，其中，所述控制节点包括如下中的至少一种：FW、AAA服务器、Windows服务器、Linux服务器。
  8. 一种防御高级持续性威胁APT攻击的系统，其特征在于，包括：
    处理器和机器可读存储介质，
    所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理 器被所述机器可执行指令促使：
    获取网络中的通信数据；
    对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；
    将筛选出的每一威胁数据根据击杀链模型分别映射到对应的APT攻击阶段；
    根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
  9. 如权利要求8所述的系统，其特征在于，所述APT攻击阶段包括：
    环境感知阶段，为检测到网络中存在被攻击者利用的漏洞；
    勘察及嗅探阶段，为所述攻击者探测被攻击对象存在漏洞；
    定向攻击阶段，为所述攻击者对所述被攻击对象发动攻击；
    工具安装阶段，为所述攻击者利用所述被攻击对象的漏洞向所述被攻击对象植入攻击工具；
    可疑活动阶段，为所述攻击者控制所述被攻击对象获取网络中的数据或者进行破坏活动。
  10. 如权利要求8所述的系统，其特征在于，所述通信数据如下至少一项：包括事件、流量、威胁情报和漏洞数据；
    所述事件包括如下至少一项：安全事件、操作系统事件、数据库事件、应用事件、认证事件；
    所述流量包括如下至少一项：与攻击有关的原始流量、用于记录网络访问通信行为的流量日志。
  11. 如权利要求9所述的系统，其特征在于，所述防御策略包括：
    如果有威胁数据映射到环境感知阶段，则所述防御部署单元根据该威胁数据确定存在漏洞的网络实体，并对确定出的网络实体执行如下操作中的至少一项：打补丁、消除不安全配置、杀毒的操作；
    如果有威胁数据映射到勘察及嗅探阶段，则所述防御部署单元下发设定的访问控制列表ACL或安全策略给防火墙FW和入侵防御系统IPS，以及将该威胁数据涉及的攻击者的网际协议IP地址加入所述威胁数据涉及的控制节点的黑名单；
    如果有威胁数据映射到定向攻击阶段，则所述防御部署单元下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和所述威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单；
    如果有威胁数据映射到工具安装阶段，则所述防御部署单元下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和所述威胁数据涉及的服务器，下发网站应用防火墙WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单；
    如果有威胁数据映射到可疑活动阶段，则所述防御部署单元下发设定的ACL或安全策略给FW和IPS，加固AAA服务器及所述威胁数据涉及的服务器，以及将该威胁数据涉及的攻击者的IP地址加入所述威胁数据涉及的控制节点的黑名单。
  12. 如权利要求9所述的系统，其特征在于，所述处理器进一步被所述机器可执行指令促使：
    针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，确定该威胁数据涉及的可疑IP地址；在所述通信数据中查询与该可疑IP地址关联的事件和流量日志；将查询到的事件和流量日志按照时间顺序呈现。
  13. 如权利要求10所述的系统，其特征在于，所述处理器进一步被所述机器可执行指令促使：
    执行以下至少一种分析，以用于网络风险评估和产生安全告警；
    事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件；
    APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行趋势分析和饼图分析；
    主机维度分析，用于对所述通信数据中的操作系统事件进行统计分析和趋势分析；
    应用维度分析，用于对所述通信数据中的应用事件进行统计分析和趋势分析；
    数据库维度分析，用于对所述通信数据中的数据库事件进行统计分析和趋势分析。
  14. 如权利要求11所述的系统，其中，所述控制节点包括如下中的至少一种：FW、AAA服务器、Windows服务器、Linux服务器。
  15. 一种机器可读存储介质，存储有机器可执行指令，在被防御高级持续性威胁APT攻击的系统的处理器调用和执行时，所述机器可执行指令促使所述处理器执行：
    获取网络中的通信数据；
    对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数 据；
    将筛选出的每一威胁数据根据击杀链模型分别映射到对应的APT攻击阶段；
    根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
PCT/CN2018/080223 2017-03-27 2018-03-23 防御apt攻击 WO2018177210A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/498,371 US11405419B2 (en) 2017-03-27 2018-03-23 Preventing advanced persistent threat attack
JP2019552980A JP6894003B2 (ja) 2017-03-27 2018-03-23 Ａｐｔ攻撃に対する防御
EP18774308.3A EP3588898B1 (en) 2017-03-27 2018-03-23 Defense against apt attack

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201710188038.XA CN108259449B (zh) 2017-03-27 2017-03-27 一种防御apt攻击的方法和系统
CN201710188038.X 2017-03-27

Publications (1)

Publication Number Publication Date
WO2018177210A1 true WO2018177210A1 (zh) 2018-10-04

Family

ID=62721770

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/080223 WO2018177210A1 (zh) 2017-03-27 2018-03-23 防御apt攻击

Country Status (5)

Country Link
US (1) US11405419B2 (zh)
EP (1) EP3588898B1 (zh)
JP (1) JP6894003B2 (zh)
CN (1) CN108259449B (zh)
WO (1) WO2018177210A1 (zh)

Cited By (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109922069A (zh) * 2019-03-13 2019-06-21 中国科学技术大学 高级持续性威胁的多维关联分析方法及系统
CN110191083A (zh) * 2019-03-20 2019-08-30 中国科学院信息工程研究所 面向高级持续性威胁的安全防御方法、装置与电子设备
CN110224947A (zh) * 2019-06-05 2019-09-10 东软集团股份有限公司 一种多核转发系统中的报文处理方法、装置及设备
CN110602042A (zh) * 2019-08-07 2019-12-20 中国人民解放军战略支援部队信息工程大学 基于级联攻击链模型的apt攻击行为分析检测方法及装置
CN110677400A (zh) * 2019-09-20 2020-01-10 武汉思普崚技术有限公司 一种局域网环境中主机和服务的攻击暴露面分析方法及系统
CN111104670A (zh) * 2019-12-11 2020-05-05 国网甘肃省电力公司电力科学研究院 一种apt攻击的识别和防护方法
CN111339398A (zh) * 2019-12-19 2020-06-26 杭州安恒信息技术股份有限公司 一种多元化大数据情报分析系统及其分析方法
WO2020212093A1 (en) * 2019-04-18 2020-10-22 International Business Machines Corporation Detecting sensitive data exposure via logging
WO2021077987A1 (zh) * 2019-10-22 2021-04-29 华为技术有限公司 一种安全漏洞的防御方法和设备
CN113364750A (zh) * 2021-05-26 2021-09-07 浙江工业大学 一种基于Snort和OpenFlow启发式诱导APT攻击引入蜜罐的方法
CN113486351A (zh) * 2020-06-15 2021-10-08 中国民用航空局空中交通管理局 一种民航空管网络安全检测预警平台
CN114172709A (zh) * 2021-11-30 2022-03-11 中汽创智科技有限公司 一种网络多步攻击检测方法、装置、设备及存储介质
CN114257391A (zh) * 2020-09-24 2022-03-29 中国电信股份有限公司 风险评估方法、装置及计算机可读存储介质
CN114363036A (zh) * 2021-12-30 2022-04-15 绿盟科技集团股份有限公司 一种网络攻击路径获取方法、装置及电子设备
CN114697057A (zh) * 2020-12-28 2022-07-01 华为技术有限公司 获取编排剧本信息的方法、装置及存储介质
CN115001849A (zh) * 2022-07-06 2022-09-02 济南鲁通汇元电子科技有限公司 针对大数据安全漏洞挖掘的漏洞修复方法及漏洞修复系统
CN115396169A (zh) * 2022-08-18 2022-11-25 上海交通大学 基于ttp的多步骤攻击检测与场景还原的方法及系统
CN115664708A (zh) * 2022-09-16 2023-01-31 深信服科技股份有限公司 一种攻击确定方法、装置、设备及介质
CN115801379A (zh) * 2022-11-10 2023-03-14 成都深思科技有限公司 基于复合规则条件的waf规则引擎的漏洞检测方法
CN119051986A (zh) * 2024-10-30 2024-11-29 浙江工业大学 一种基于攻击技术识别的apt攻击路径推理方法

Families Citing this family (66)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10812521B1 (en) * 2018-08-10 2020-10-20 Amazon Technologies, Inc. Security monitoring system for internet of things (IOT) device environments
CN109088899B (zh) * 2018-10-30 2021-04-27 福州大学 一种针对xss攻击的apt预警方法
CN109067815B (zh) * 2018-11-06 2021-11-19 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
US11411967B2 (en) * 2018-11-30 2022-08-09 Cisco Technology, Inc. Synergistic DNS security update
CN109660539B (zh) * 2018-12-20 2020-12-25 北京神州绿盟信息安全科技股份有限公司 失陷设备识别方法、装置、电子设备及存储介质
CN111030973B (zh) * 2019-03-29 2023-02-24 安天科技集团股份有限公司 一种基于标识文件定位攻击的方法、装置及存储设备
JP7180500B2 (ja) * 2019-03-29 2022-11-30 オムロン株式会社 制御システム、および設定方法
US11334666B2 (en) 2019-04-15 2022-05-17 Qualys Inc. Attack kill chain generation and utilization for threat analysis
US11343263B2 (en) * 2019-04-15 2022-05-24 Qualys, Inc. Asset remediation trend map generation and utilization for threat mitigation
CN110149319B (zh) * 2019-04-26 2021-11-23 奇安信科技集团股份有限公司 Apt组织的追踪方法及装置、存储介质、电子装置
CN110191118B (zh) * 2019-05-28 2021-06-01 哈尔滨工程大学 一种面向网络安全设备的统一指控方法及系统
CN112152962B (zh) * 2019-06-26 2022-10-28 北京观成科技有限公司 一种威胁检测方法及系统
CN112822147B (zh) * 2019-11-18 2022-12-06 上海云盾信息技术有限公司 一种用于分析攻击链的方法、系统及设备
CN111147504B (zh) * 2019-12-26 2022-11-22 深信服科技股份有限公司 威胁检测方法、装置、设备和存储介质
CN113139180B (zh) * 2020-01-20 2023-12-01 中国电信股份有限公司 注入攻击检测模型生成装置、注入攻击检测装置及方法
US11729198B2 (en) * 2020-05-21 2023-08-15 Tenable, Inc. Mapping a vulnerability to a stage of an attack chain taxonomy
CN111880884A (zh) * 2020-07-30 2020-11-03 北京微步在线科技有限公司 一种告警显示系统及显示方法
CN112291260A (zh) * 2020-11-12 2021-01-29 福建奇点时空数字科技有限公司 一种面向apt攻击的网络安全威胁隐蔽目标识别方法
JP7427574B2 (ja) * 2020-11-30 2024-02-05 株式会社日立製作所 状態診断装置、及び状態診断方法
CN112532631A (zh) * 2020-11-30 2021-03-19 深信服科技股份有限公司 一种设备安全风险评估方法、装置、设备及介质
CN114697052B (zh) * 2020-12-25 2023-10-27 北京国双千里科技有限公司 网络防护方法及装置
CN112565300B (zh) * 2020-12-25 2023-04-07 联通(广东)产业互联网有限公司 基于行业云黑客攻击识别与封堵方法、系统、装置及介质
CN113037713B (zh) * 2021-02-07 2023-02-03 深信服科技股份有限公司 网络攻击的对抗方法、装置、设备及存储介质
US12143412B2 (en) * 2021-03-08 2024-11-12 Tenable, Inc. Automatic generation of vulnerability metrics using machine learning
CN113037785B (zh) * 2021-05-26 2021-09-21 杭州海康威视数字技术股份有限公司 多层次全周期物联网设备僵尸网络防御方法、装置及设备
CN113452700B (zh) * 2021-06-25 2022-12-27 阿波罗智联(北京)科技有限公司 处理安全信息的方法、装置、设备以及存储介质
CN113746832B (zh) * 2021-09-02 2022-04-29 华中科技大学 多方法混合的分布式apt恶意流量检测防御系统及方法
CN113901450A (zh) * 2021-09-18 2022-01-07 中国电子信息产业集团有限公司第六研究所 一种工业主机终端安全防护系统
CN113868656B (zh) * 2021-09-30 2022-05-13 中国电子科技集团公司第十五研究所 一种基于行为模式的apt事件同源判定方法
CN114003901A (zh) * 2021-11-04 2022-02-01 国网冀北电力有限公司张家口供电公司 一种综合入侵检测机制的动态防御方法
CN114143064B (zh) * 2021-11-26 2024-06-18 国网四川省电力公司信息通信公司 一种多源网络安全告警事件溯源与自动处置方法及装置
CN114205166A (zh) * 2021-12-17 2022-03-18 浙江泰嘉光电科技有限公司 病毒防护系统
US11874933B2 (en) 2021-12-29 2024-01-16 Qualys, Inc. Security event modeling and threat detection using behavioral, analytical, and threat intelligence attributes
CN114357447B (zh) * 2021-12-30 2024-12-31 绿盟科技集团股份有限公司 攻击者威胁评分方法及相关装置
CN113992454A (zh) * 2021-12-30 2022-01-28 北京微步在线科技有限公司 一种攻击溯源方法及装置
US12267299B2 (en) * 2022-01-12 2025-04-01 Bank Of America Corporation Preemptive threat detection for an information system
CN114584351A (zh) * 2022-02-21 2022-06-03 北京恒安嘉新安全技术有限公司 一种监控方法、装置、电子设备以及存储介质
CN114553588B (zh) * 2022-03-07 2022-11-08 鼎惠(上海)科技有限公司 一种基于人工智能的互联网金融数据防护方法及服务器
CN115225304B (zh) * 2022-03-24 2023-05-05 国家计算机网络与信息安全管理中心 一种基于概率图模型的网络攻击路径预测方法及系统
CN114726623B (zh) * 2022-04-08 2023-11-28 北京天融信网络安全技术有限公司 一种高级威胁攻击评估方法、装置、电子设备及存储介质
CN114915452B (zh) * 2022-04-11 2022-12-06 中国信息通信研究院 一种网络实体威胁标签的标定方法、系统及存储介质
CN114760140A (zh) * 2022-04-21 2022-07-15 湖南三湘银行股份有限公司 一种基于聚类分析的apt攻击溯源图分析方法及装置
CN114928493B (zh) * 2022-05-23 2023-04-21 禅境科技股份有限公司 基于威胁攻击大数据的威胁情报生成方法及ai安全系统
CN114866329B (zh) * 2022-05-24 2023-02-07 北京皓宽网络科技有限公司 应用ai和大数据分析的威胁态势预测方法及威胁感知系统
CN114866330B (zh) * 2022-05-25 2023-01-31 深圳微言科技有限责任公司 采用ai和大数据分析的威胁攻击防护决策方法及ai系统
CN115208684B (zh) * 2022-07-26 2023-03-14 中国电子科技集团公司第十五研究所 一种基于超图关联的apt攻击线索拓展方法和装置
CN115001868B (zh) * 2022-08-01 2022-10-11 北京微步在线科技有限公司 Apt攻击同源分析方法、装置、电子设备及存储介质
CN115473675B (zh) * 2022-08-08 2024-05-14 永信至诚科技集团股份有限公司 一种网络安全态势感知方法、装置、电子设备及介质
CN115378691A (zh) * 2022-08-18 2022-11-22 深圳市安腾达科技有限公司 网络安全防护方法、装置、设备及计算机可读存储介质
CN115766051A (zh) * 2022-08-29 2023-03-07 中国建设银行股份有限公司 一种主机安全应急处置方法、系统、存储介质及电子设备
CN115694994A (zh) * 2022-10-31 2023-02-03 北京天融信网络安全技术有限公司 一种基于多层次信息融合的威胁分析方法及装置
CN115865494A (zh) * 2022-12-01 2023-03-28 中国建设银行股份有限公司 一种安全测试系统及方法
CN116015730A (zh) * 2022-12-02 2023-04-25 北京知道创宇信息技术股份有限公司 杀伤链阶段生成方法、装置、电子设备及存储介质
CN115643116A (zh) * 2022-12-23 2023-01-24 北京六方云信息技术有限公司 网络设备的防护方法、系统、终端设备以及存储介质
CN116599688A (zh) * 2023-03-24 2023-08-15 上汽通用五菱汽车股份有限公司 基于探针机制实现车载防火墙上报告警事件的方法及系统
CN116319077B (zh) * 2023-05-15 2023-08-22 鹏城实验室 网络攻击检测方法和装置、设备、存储介质和产品
CN116506208B (zh) * 2023-05-17 2023-12-12 河南省电子信息产品质量检验技术研究院 一种基于局域网内计算机软件信息安全维护系统
CN116506225A (zh) * 2023-06-27 2023-07-28 武汉中科通达高新技术股份有限公司 协作式DDoS攻击检测方法、系统、设备及存储介质
CN116827697B (zh) * 2023-08-30 2023-11-03 北京安天网络安全技术有限公司 网络攻击事件的推送方法、电子设备及存储介质
CN117411669A (zh) * 2023-09-14 2024-01-16 广州大学 一种基于时间卷积网络的apt攻击阶段检测方法、系统、介质及设备
CN116996326B (zh) * 2023-09-26 2023-12-26 国网江西省电力有限公司信息通信分公司 基于蜜网的协同式主动防御方法
CN118413359B (zh) * 2024-04-23 2024-12-27 张掖市志成电子科技有限公司 网络信息安全综合分析与监控系统及方法
CN118509220B (zh) * 2024-05-29 2025-04-04 恒安嘉新（北京）科技股份公司 基于蜜罐的零日漏洞攻击捕获方法及电子设备
CN118869295B (zh) * 2024-07-09 2025-03-18 山东青鸟软通信息技术股份有限公司 一种基于大数据的网络安全防护方法
CN118890214B (zh) * 2024-09-27 2024-12-06 奇安星城网络安全技术(湖南)有限公司 一种针对apt攻击的检测和防御方法
CN119652664A (zh) * 2025-02-13 2025-03-18 阿里云飞天(杭州)云计算技术有限公司 网络攻击防护方法、装置、设备、存储介质及程序产品

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103916406A (zh) * 2014-04-25 2014-07-09 上海交通大学 一种基于dns日志分析的apt攻击检测系统和方法
CN103916385A (zh) * 2014-03-13 2014-07-09 南京理工大学 一种基于智能算法的waf安全监测系统
CN104283889A (zh) * 2014-10-20 2015-01-14 国网重庆市电力公司电力科学研究院 基于网络架构的电力系统内部apt攻击检测及预警系统
US20150096024A1 (en) * 2013-09-30 2015-04-02 Fireeye, Inc. Advanced persistent threat (apt) detection center
CN105024976A (zh) * 2014-04-24 2015-11-04 中国移动通信集团山西有限公司 一种高级持续威胁攻击识别方法及装置
WO2016089567A1 (en) * 2014-12-01 2016-06-09 Empow Cyber Security Ltd. A cyber-security system and methods thereof for detecting and mitigating advanced persistent threats
US20160300227A1 (en) * 2015-04-13 2016-10-13 Ciena Corporation Systems and methods for tracking, predicting, and mitigating advanced persistent threats in networks
CN106209867A (zh) * 2016-07-15 2016-12-07 北京元支点信息安全技术有限公司 一种高级威胁防御方法及系统
US20170070518A1 (en) * 2014-05-23 2017-03-09 Trend Micro Incorporated Advanced persistent threat identification

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3999188B2 (ja) 2003-10-28 2007-10-31 富士通株式会社 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
US9310323B2 (en) * 2009-05-16 2016-04-12 Rapiscan Systems, Inc. Systems and methods for high-Z threat alarm resolution
CN101610174B (zh) * 2009-07-24 2011-08-24 深圳市永达电子股份有限公司 一种日志事件关联分析系统与方法
US10069854B2 (en) * 2012-11-17 2018-09-04 The Trustees Of Columbia University In The City Of New York Methods, systems and media for evaluating layered computer security products
JP6104149B2 (ja) 2013-12-24 2017-03-29 三菱電機株式会社 ログ分析装置及びログ分析方法及びログ分析プログラム
US10084813B2 (en) * 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
WO2016064919A1 (en) * 2014-10-21 2016-04-28 Abramowitz Marc Lauren Dynamic security rating for cyber insurance products
US9654485B1 (en) * 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9699205B2 (en) * 2015-08-31 2017-07-04 Splunk Inc. Network security system
US20170223030A1 (en) * 2016-01-29 2017-08-03 Splunk Inc. Detection of security transactions
WO2017131963A1 (en) * 2016-01-29 2017-08-03 Acalvio Technologies, Inc. Using high-interaction networks for targeted threat intelligence
CN106357689B (zh) * 2016-11-07 2019-07-09 北京奇虎科技有限公司 威胁数据的处理方法及系统
US10812499B2 (en) * 2017-11-09 2020-10-20 Accenture Global Solutions Limited Detection of adversary lateral movement in multi-domain IIOT environments
CN107888607B (zh) 2017-11-28 2020-11-06 新华三技术有限公司 一种网络威胁检测方法、装置及网络管理设备

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150096024A1 (en) * 2013-09-30 2015-04-02 Fireeye, Inc. Advanced persistent threat (apt) detection center
CN103916385A (zh) * 2014-03-13 2014-07-09 南京理工大学 一种基于智能算法的waf安全监测系统
CN105024976A (zh) * 2014-04-24 2015-11-04 中国移动通信集团山西有限公司 一种高级持续威胁攻击识别方法及装置
CN103916406A (zh) * 2014-04-25 2014-07-09 上海交通大学 一种基于dns日志分析的apt攻击检测系统和方法
US20170070518A1 (en) * 2014-05-23 2017-03-09 Trend Micro Incorporated Advanced persistent threat identification
CN104283889A (zh) * 2014-10-20 2015-01-14 国网重庆市电力公司电力科学研究院 基于网络架构的电力系统内部apt攻击检测及预警系统
WO2016089567A1 (en) * 2014-12-01 2016-06-09 Empow Cyber Security Ltd. A cyber-security system and methods thereof for detecting and mitigating advanced persistent threats
US20160300227A1 (en) * 2015-04-13 2016-10-13 Ciena Corporation Systems and methods for tracking, predicting, and mitigating advanced persistent threats in networks
CN106209867A (zh) * 2016-07-15 2016-12-07 北京元支点信息安全技术有限公司 一种高级威胁防御方法及系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP3588898A4 *
WU, PENG ET AL.: "Research of cyber security situation awareness base on APT attack chain", TELECOM ENGINEERING TECHNICS AND STANDARDIZATION, vol. 28, no. 12, 31 December 2015 (2015-12-31), pages 43 - 47, XP009517167, ISSN: 1008-5599 *

Cited By (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109922069B (zh) * 2019-03-13 2020-12-25 中国科学技术大学 高级持续性威胁的多维关联分析方法及系统
CN109922069A (zh) * 2019-03-13 2019-06-21 中国科学技术大学 高级持续性威胁的多维关联分析方法及系统
CN110191083A (zh) * 2019-03-20 2019-08-30 中国科学院信息工程研究所 面向高级持续性威胁的安全防御方法、装置与电子设备
JP2022529220A (ja) * 2019-04-18 2022-06-20 キンドリル・インク ロギングによる機密データの暴露の検出
JP7544738B2 (ja) 2019-04-18 2024-09-03 キンドリル・インク ロギングによる機密データの暴露の検出
AU2020257925B2 (en) * 2019-04-18 2022-08-11 Kyndryl, Inc. Detecting sensitive data exposure via logging
US11431734B2 (en) 2019-04-18 2022-08-30 Kyndryl, Inc. Adaptive rule generation for security event correlation
WO2020212093A1 (en) * 2019-04-18 2020-10-22 International Business Machines Corporation Detecting sensitive data exposure via logging
KR20210141575A (ko) * 2019-04-18 2021-11-23 인터내셔널 비지네스 머신즈 코포레이션 로깅을 통한 민감 데이터 노출 탐지
KR102612500B1 (ko) * 2019-04-18 2023-12-08 킨드릴, 아이엔씨 로깅을 통한 민감 데이터 노출 탐지
CN110224947A (zh) * 2019-06-05 2019-09-10 东软集团股份有限公司 一种多核转发系统中的报文处理方法、装置及设备
CN110602042A (zh) * 2019-08-07 2019-12-20 中国人民解放军战略支援部队信息工程大学 基于级联攻击链模型的apt攻击行为分析检测方法及装置
CN110677400A (zh) * 2019-09-20 2020-01-10 武汉思普崚技术有限公司 一种局域网环境中主机和服务的攻击暴露面分析方法及系统
WO2021077987A1 (zh) * 2019-10-22 2021-04-29 华为技术有限公司 一种安全漏洞的防御方法和设备
CN111104670B (zh) * 2019-12-11 2023-09-01 国网甘肃省电力公司电力科学研究院 一种apt攻击的识别和防护方法
CN111104670A (zh) * 2019-12-11 2020-05-05 国网甘肃省电力公司电力科学研究院 一种apt攻击的识别和防护方法
CN111339398A (zh) * 2019-12-19 2020-06-26 杭州安恒信息技术股份有限公司 一种多元化大数据情报分析系统及其分析方法
CN113486351A (zh) * 2020-06-15 2021-10-08 中国民用航空局空中交通管理局 一种民航空管网络安全检测预警平台
CN114257391B (zh) * 2020-09-24 2024-01-26 中国电信股份有限公司 风险评估方法、装置及计算机可读存储介质
CN114257391A (zh) * 2020-09-24 2022-03-29 中国电信股份有限公司 风险评估方法、装置及计算机可读存储介质
CN114697057B (zh) * 2020-12-28 2023-02-10 华为技术有限公司 获取编排剧本信息的方法、装置及存储介质
CN114697057A (zh) * 2020-12-28 2022-07-01 华为技术有限公司 获取编排剧本信息的方法、装置及存储介质
CN113364750A (zh) * 2021-05-26 2021-09-07 浙江工业大学 一种基于Snort和OpenFlow启发式诱导APT攻击引入蜜罐的方法
CN114172709B (zh) * 2021-11-30 2024-05-24 中汽创智科技有限公司 一种网络多步攻击检测方法、装置、设备及存储介质
CN114172709A (zh) * 2021-11-30 2022-03-11 中汽创智科技有限公司 一种网络多步攻击检测方法、装置、设备及存储介质
CN114363036B (zh) * 2021-12-30 2023-05-16 绿盟科技集团股份有限公司 一种网络攻击路径获取方法、装置及电子设备
CN114363036A (zh) * 2021-12-30 2022-04-15 绿盟科技集团股份有限公司 一种网络攻击路径获取方法、装置及电子设备
CN115001849A (zh) * 2022-07-06 2022-09-02 济南鲁通汇元电子科技有限公司 针对大数据安全漏洞挖掘的漏洞修复方法及漏洞修复系统
CN115001849B (zh) * 2022-07-06 2023-11-10 湖北集防科技有限公司 针对大数据安全漏洞挖掘的漏洞修复方法及漏洞修复系统
CN115396169A (zh) * 2022-08-18 2022-11-25 上海交通大学 基于ttp的多步骤攻击检测与场景还原的方法及系统
CN115664708A (zh) * 2022-09-16 2023-01-31 深信服科技股份有限公司 一种攻击确定方法、装置、设备及介质
CN115801379A (zh) * 2022-11-10 2023-03-14 成都深思科技有限公司 基于复合规则条件的waf规则引擎的漏洞检测方法
CN119051986A (zh) * 2024-10-30 2024-11-29 浙江工业大学 一种基于攻击技术识别的apt攻击路径推理方法

Also Published As

Publication number Publication date
JP6894003B2 (ja) 2021-06-23
CN108259449A (zh) 2018-07-06
US11405419B2 (en) 2022-08-02
EP3588898A1 (en) 2020-01-01
CN108259449B (zh) 2020-03-06
US20210112092A1 (en) 2021-04-15
JP2020515962A (ja) 2020-05-28
EP3588898B1 (en) 2023-07-12
EP3588898A4 (en) 2020-02-19

Similar Documents

Publication Publication Date Title
WO2018177210A1 (zh) 防御apt攻击
Ghafir et al. Botdet: A system for real time botnet command and control traffic detection
Yaacoub et al. Advanced digital forensics and anti-digital forensics for IoT systems: Techniques, limitations and recommendations
Vukalović et al. Advanced persistent threats-detection and defense
Giura et al. A context-based detection framework for advanced persistent threats
JP6104149B2 (ja) ログ分析装置及びログ分析方法及びログ分析プログラム
KR101689296B1 (ko) 보안이벤트 자동 검증 방법 및 장치
CN108965346A (zh) 一种失陷主机检测方法
Punithavathani et al. Surveillance of anomaly and misuse in critical networks to counter insider threats using computational intelligence
US20060294588A1 (en) System, method and program for identifying and preventing malicious intrusions
Park et al. Network log-based SSH brute-force attack detection model.
Zhang et al. User intention-based traffic dependence analysis for anomaly detection
Alnabulsi et al. Protecting code injection attacks in intelligent transportation system
Choi et al. A model of analyzing cyber threats trend and tracing potential attackers based on darknet traffic
Nithiyanandam et al. Advanced framework of defense system for prevetion of insider's malicious behaviors
Coulibaly An overview of intrusion detection and prevention systems
Irwin Double-edged sword: dual-purpose cyber security methods
Singh et al. A review on intrusion detection system
Sandhu et al. A study of the novel approaches used in intrusion detection and prevention systems
Sarkunavathi et al. A Detailed Study on Advanced Persistent Threats: A Sophisticated Threat
Banerjee et al. Experimental study and analysis of security threats in compromised networks
Banyal et al. Cyber Attack Analysis and Attack Patterns in IoT-Enabled Technologies
CN112637217B (zh) 基于诱饵生成的云计算系统的主动防御方法及装置
US8806211B2 (en) Method and systems for computer security
Aloffi et al. Real time network security intrusions and risk management: a survey

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18774308

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019552980

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018774308

Country of ref document: EP

Effective date: 20190923

点击 这是indexloc提供的php浏览器服务，不要输入任何密码和下载