基于大數(shù)據(jù)的apt攻擊檢測(cè)

《基于大數(shù)據(jù)的apt攻擊檢測(cè)》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、基于大數(shù)據(jù)的APT攻擊檢測(cè)概念高級(jí)持續(xù)性威脅（advancedpersistentthreat，APT）是指隱匿而持久的電腦入侵過程，通常由某些人員精心策劃，針對(duì)特定的目標(biāo)。其通常是出于商業(yè)或政治動(dòng)機(jī)，針對(duì)特定組織或國家，并要求在長(zhǎng)時(shí)間內(nèi)保持高隱蔽性。高級(jí)長(zhǎng)期威脅包含三個(gè)要素：高級(jí)、長(zhǎng)期、威脅。高級(jí)強(qiáng)調(diào)的是使用復(fù)雜精密的惡意軟件及技術(shù)以利用系統(tǒng)中的漏洞。長(zhǎng)期暗指某個(gè)外部力量會(huì)持續(xù)監(jiān)控特定目標(biāo)，并從其獲取數(shù)據(jù)。威脅則指人為參與策劃的攻擊。APT攻擊生命周期2013年，APT攻擊生命周期（美國Mandia

2、nt）：初始入侵–使用社會(huì)工程學(xué)、釣魚式攻擊、零日攻擊，通過郵件進(jìn)行。在受害者常去的網(wǎng)站上植入惡意軟件（掛馬）也是一種常用的方法。站穩(wěn)腳跟–在受害者的網(wǎng)絡(luò)中植入遠(yuǎn)程訪問工具，打開網(wǎng)絡(luò)后門，實(shí)現(xiàn)隱蔽訪問。提升特權(quán)–通過利用漏洞及破解密碼，獲取受害者電腦的管理員特權(quán)，并可能試圖獲取Windows域管理員特權(quán)。內(nèi)部勘查–收集周遭設(shè)施、安全信任關(guān)系、域結(jié)構(gòu)的信息。橫向發(fā)展–將控制權(quán)擴(kuò)展到其他工作站、服務(wù)器及設(shè)施，收集數(shù)據(jù)。保持現(xiàn)狀–確保繼續(xù)掌控之前獲取到的訪問權(quán)限和憑據(jù)。任務(wù)完成–從受害者的網(wǎng)絡(luò)中傳出竊取到的

3、數(shù)據(jù)。APT例子：震網(wǎng)病毒APT特點(diǎn)組織特點(diǎn)從APT攻擊事件分析來看，APT攻擊已突破傳統(tǒng)黑客小團(tuán)隊(duì)“作坊級(jí)協(xié)同”模式，上升為一種國家層面“組織級(jí)聯(lián)合”模式，攻擊數(shù)量、持續(xù)性和復(fù)雜性不斷增加攻擊目標(biāo)指向高價(jià)值資產(chǎn)或物理系統(tǒng)攻擊特點(diǎn)以“低和慢”模式運(yùn)行，同時(shí)使用用戶憑據(jù)或零日漏洞，其巨大的復(fù)雜性和逃避檢測(cè)能力，困擾著眾多安全領(lǐng)域?qū)＜??！暗湍Ｊ健奔淳W(wǎng)絡(luò)中保持低調(diào)“慢模式”即執(zhí)行過程長(zhǎng)。APT攻擊（如震網(wǎng)（Stuxnet）、毒區(qū)（Duqu）、火焰（Flame）和紅十月（RedOctober）等病毒）網(wǎng)絡(luò)安全

4、“老三樣”使用IDS、防火墻、防病毒等常規(guī)安全防護(hù)系統(tǒng)，乃至于安全信息和事件管理系統(tǒng)（SIEM）都較難應(yīng)對(duì)APT攻擊需要借助于安全專家的人工分析。大數(shù)據(jù)APT檢測(cè)思路若將大數(shù)據(jù)分析技術(shù)應(yīng)用于APT攻擊檢測(cè)，將大大提高檢測(cè)能力。應(yīng)對(duì)APT攻擊“低模式”，檢測(cè)系統(tǒng)需將所轄網(wǎng)域中各種異常事件及數(shù)據(jù)完整記錄，并利用大數(shù)據(jù)強(qiáng)分析能力處理數(shù)據(jù)間的相關(guān)性來揭示攻擊軌跡應(yīng)對(duì)“慢模式”，需保留長(zhǎng)時(shí)間窗口的歷史記錄數(shù)據(jù)，在時(shí)間窗口內(nèi)處理所有攻擊相關(guān)上下文信息?！暗湍Ｊ健钡膽?yīng)對(duì)研究Beehive（蜂窩）傳感器（蜜蜂）感知異

5、常行為如：提升權(quán)限、竊取敏感信息、破壞操作系統(tǒng)檢測(cè)系統(tǒng)（蜂群）分工各異的蜂群維護(hù)整個(gè)蜂窩一次APT攻擊是由多階段攻擊動(dòng)作（漏洞發(fā)掘、控制權(quán)獲取、橫向移動(dòng)、目標(biāo)攻擊）組成。大數(shù)據(jù)分析將細(xì)微動(dòng)作關(guān)聯(lián)以發(fā)現(xiàn)APT攻擊的“低模式”。不同安全產(chǎn)品日志的語義相關(guān)性，以及日志的大數(shù)據(jù)特性是重點(diǎn)解決的問題。Beehive:Large-scaleloganalysisfordetectingsuspiciousactivityinenterprisenetworks[C]，Proceedingsofthe29thAnn

6、ualComputerSecurityApplicationsConference.ACM,2013:199-208.“慢模式”的應(yīng)對(duì)研究攻擊金字塔（AttackPyramid）采用攻擊樹原理及分層模型Usinglargescaledistributedcomputingtounveiladvancedpersistentthreats[J].SCIENCE,2013,1(3):pp.93-105.“慢模式”的應(yīng)對(duì)研究攻擊金字塔（AttackPyramid）使用不同的算法并以MapReduce分布式計(jì)

7、算，來判斷上下文間和上下文中可能的惡意活動(dòng)Usinglargescaledistributedcomputingtounveiladvancedpersistentthreats[J].SCIENCE,2013,1(3):pp.93-105.APT檢測(cè)產(chǎn)品IBM公司產(chǎn)品稱為大數(shù)據(jù)安全智能平臺(tái)（SecurityIntelligencewithBigData）它綜合安全智能平臺(tái)的實(shí)時(shí)處理及安全操作、和大數(shù)據(jù)平臺(tái)的大數(shù)據(jù)處理及分析取證。Intel公司產(chǎn)品稱為安全商務(wù)智能平臺(tái)（SecurityBusiness

8、Intelligenceplatform）可每天從超過60億條事件提取特定的事件日志，能更快更智能的響應(yīng)APT攻擊。