CN106921608A - 一种检测终端安全状况方法、装置及系统 - Google Patents
一种检测终端安全状况方法、装置及系统 Download PDFInfo
- Publication number
- CN106921608A CN106921608A CN201510988051.4A CN201510988051A CN106921608A CN 106921608 A CN106921608 A CN 106921608A CN 201510988051 A CN201510988051 A CN 201510988051A CN 106921608 A CN106921608 A CN 106921608A
- Authority
- CN
- China
- Prior art keywords
- behavior
- terminal
- file
- apt
- dynamic behaviour
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2101—Auditing as a secondary aspect
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Health & Medical Sciences (AREA)
- Virology (AREA)
- General Health & Medical Sciences (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Debugging And Monitoring (AREA)
Abstract
本申请涉及移动通信领域,尤其涉及一种检测终端安全状况方法、装置及系统。该方法包括:安全防护设备接收文件,并运行该文件,生成动态行为结果。该动态行为结果包含按照行为发生时间顺序形成的行为序列。在该文件包含APT情况下,该安全防护设备获取该动态行为结果中稳定的行为特征,根据该稳定的行为特征生成相应IOC,并将其发送至终端。该稳定的行为特征是指该文件在每次运行后所生成行为序列中均出现的行为。通过本申请提供的方案能够检测出网络内部是否有用户感染了APT,以及哪些用户感染了APT。
Description
技术领域
本申请涉及计算机领域,尤其涉及计算机安全防护领域。
背景技术
随着以APT(Advanced Persistent Threat,高级可持续威胁)为代表的下一代威胁登场,传统安全防护手段面临挑战。一次APT攻击,轻则造成公司核心商业机密泄漏,给公司造成不可估计得损失,重则导致金融行业、能源行业、交通行业等涉及国计民生的行业陷入瘫痪,其效果不亚于一场战争。
2010年Google(谷歌公司)遭受Aurora下一代威胁攻击,导致大规模的Gmail(Google的免费网络邮件服务)邮件泄漏,对Google品牌造成严重影响。2010年伊朗核设施遭受Stuxnet(震网)攻击,导致核设施核心部件-离心机受损严重,此次攻击造成后果不亚于一次定点轰炸。2011年RSA遭受针对SecureID的下一代威胁攻击,导致大规模的SecureID数据泄漏,严重影响使用SecureID的客户安全,对公司的安全性质疑严重影响公司的公众形象。2013年3月韩国银行业遭受一次定向型APT攻击,导致大面积的银行主机系统宕机,严重影响银行在客户心中的形象。未来如何应对以APT为代表的下一代威胁,如何应对未来可能的网络战,是人们将要面临的重大问题。
现有的用户网络,一般在终端设备上部署防病毒软件,同时在网关或者是邮件服务器前部署安全沙箱。终端设备上部署的杀毒软件主要通过软件供应商提供的最新的特征库检测恶意软件,而在网关或者是邮件服务器前部署安全沙箱主要用来检测来自于互联网的APT。
现有的安全沙箱可以检测来自互联网的APT。现有技术能够监测到内部网络遭受了APT攻击,却无法检测到是否有用户感染APT,以及哪些用户已经被APT感染。例如,某安全沙箱检测到其所属内网遭受到APT攻击,且该APT攻击是通过邮件方式发送给用户。有些用户由于打开了这封含有APT附件的邮件而感染了APT,而有些用户则并未打开此邮件,也就没有感染APT。又如,某安全沙箱检测到其所属内网遭受到APT攻击,且该APT攻击是通过某版本应用软件的漏洞而实现的。有些用户使用了该版本应用软件,因此遭受到了该APT攻击,而有些用户由于使用的是该应用软件的更高级版本,并没有相应漏洞,因此也就并没有遭受到APT攻击。
现有技术方案虽然能够检测出网络内部遭受到了APT攻击,但是却无法判断出是否有用户感染了APT,以及具体哪些用户感染了APT,也就无法采取针对性的操作。
发明内容
本文描述了一种检测终端安全状况的方法、装置及系统,从而实现了检测出具体终端是否感染到APT。
在第一方面,本申请实施例提供了一种检测终端安全状况的装置。该装置位于私有网络与公有网络连接处,终端位于私有网络中。该装置包括动态行为结果生成模块、动态行为分析模块和被感染主机描述符生成器。
该动态行为结果生成模块用于接收来自公有网络的文件,并在该装置中运行该文件,从而生成动态行为结果。其中,该动态行为结果包含按照行为发生时间顺序形成的行为序列。该行为序列中的行为属于不同的行为类型,该行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户。该动态行为分析模块用于根据该动态行为结果生成模块生成的该动态行为结果判断该文件是否包含高级可持续威胁。该被感染主机描述符生成器用于如果该动态行为分析模块确定该文件包含高级可持续威胁,获取该动态行为结果中稳定的行为特征,根据该稳定的行为特征生成相应被感染主机描述符,并将该被感染主机描述符发送至该终端。其中,该稳定的行为特征是指该文件在每次运行后所生成行为序列中均出现的行为。
在第二方面,本申请实施例提供了一种终端设备。该终端包括接收模块、被感染主机描述符解释器、确定模块。
该接收模块用于接收来自安全防护设备的被感染主机描述符。该被感染主机描述符解释器用于对该接收模块接收到的该被感染主机描述符进行解析,得到该被感染主机描述符中包含的高级可持续威胁对应的行为特征。该确定模块用于搜索该终端的操作系统和文件系统,确定该终端是否已发生该高级可持续威胁对应的行为特征所描述的行为。如果该终端已发生该高级可持续威胁对应的行为特征所描述的行为,确定该终端已感染该高级可持续威胁。
在第三方面,本申请实施例提供了一种检测终端安全状况的系统,该系统包括上述第一方面的终端安全状况检测装置以及上述第二方面的终端设备。
在第四方面,本申请实施例提供了一种检测终端安全状况的方法。该方法由安全防护设备执行,且该安全防护设备位于私有网络与公有网络连接处,终端位于私有网络中。
首先该安全防护设备接收来自公有网络的文件,并在该安全防护设备中运行该文件,从而生成动态行为结果。该动态行为结果包含按照行为发生时间顺序形成的行为序列。该行为序列中的行为属于不同的行为类型,行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户。该安全防护设备根据生成的该动态行为结果判断该文件是否包含高级可持续威胁情况,若包含所述高级可持续威胁,则获取该动态行为结果中稳定的行为特征,根据该稳定的行为特征生成相应被感染主机描述符,并将该被感染主机描述符发送至该终端。该稳定的行为特征是指该文件在每次运行后所生成行为序列中均出现的行为。
在第五方面,本申请实施例提供了一种检测终端安全状况的方法。
该终端接收来自安全防护设备的被感染主机描述符。该终端对该被感染主机描述符进行解析,得到该被感染主机描述符中包含的高级可持续威胁对应的行为特征。搜索该终端的操作系统和文件系统,确定该终端是否已发生该高级可持续威胁对应的行为特征所描述的行为。如果该终端已发生该高级可持续威胁对应的行为特征所描述的行为,确定该终端已感染该高级可持续威胁。
相较于现有技术,本申请实施例提供的方案能够具体检测出网络内部是否有用户感染了APT,以及哪些用户感染了APT。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。
图1为本申请实施例提供的一种检测终端感染APT的网络构架示意图;
图2为本申请实施例提供的一种检测终端安全状况的装置框图;
图3为一个动态行为结果示意图;
图4为本申请实施例提供的终端设备示意图;
图5为本申请实施例提供的编辑器输出的汇总IOC图形化示意图;
图6为本申请实施例提供的一种检测终端安全状况的系统示意图;
图7为本申请实施例一个实施例提供的一种检测终端安全状况的方法流程图;
图8为本申请实施例另一个实施例提供的一种检测终端安全状况的方法流程图;
图9为本申请实施例提供的一个文件类IOC示意图;
图10为本申请实施例提供的一个注册表类IOC示意图;
图11为本申请实施例提供的一个汇总IOC示意图。
具体实施方式
下面将结合附图,对本申请实施例中的技术方案进行清楚、完整地描述。
本申请实施例描述的网络架构是为了更加清楚的说明本申请实施例的技术方案,并不构成对于本申请实施例提供的技术方案的限定,本领域普通技术人员可知,随着网络架构的演变和新业务场景的出现,本申请实施例提供的技术方案对于类似的技术问题,同样适用。
图1为本申请实施例提供的一种检测终端安全状况的系统的网络构架示意图。终端设备110通过互联网获取数据,如接收一封邮件等。布置于网关处的防火墙120将相应流量还原成文件,例如,防火墙通过HTTP(Hyper TextTransfer Protocol,超文本传输协议)代理方法将流量还原成文件。该文件种类包含exe(executable program,可执行程度)文件、DLL(Dynamic LinkLibrary,动态链接库,又称应用程序扩展)文件、sys(system,系统)文件、com文件、Doc文件(word文件)、xls(Microsoft Excel工作表)文件、PDF(Portable Document Format,便携式文档格式)文件等。防火墙120将还原出的文件送交至安全沙箱130检测。安全沙箱130布置于网关处,其检测来自防火墙120的文件是否为包含APT(Advanced Persistent Threat,高级可持续威胁)的恶意文件。如果安全沙箱130检测出有文件包含APT,则生成与该APT相对应的IOC(Indicators of Compromised,被感染主机描述符)。安全沙箱130将该IOC同步至各终端设备。各终端设备对该IOC进行解析,得到与该IOC相对应APT所包含的行为特征,依据该特征查询相应终端的操作系统和文件系统,以确定该用户终端是否感染APT。安全沙箱是一种安全机制,为运行中的程序提供的隔离环境。沙箱通常严格控制其中运行的程序所能访问的资源,例如,沙箱可以提供用后可被回收的磁盘及内存空间。在沙箱中,网络访问、对真实操作系统的访问、对输入设备的独权被禁止或者严格限制。沙箱中的所有改动对真实操作系统不会造成任何损失。因此,这种技术通常被广泛适用于测试可能带有病毒的可执行文件或者其他恶意代码。
本申请所涉及到的用户终端可以包括手机、平板电脑、笔记本电脑、UMPC(Ultra-mobile Personal Computer,超级移动个人计算机)、上网本、PDA(Personal Digital Assistant,个人数字助理)等终端设备。
图2是本申请实施例提供的一种检测终端安全状态的装置框图。该检测终端安全状况装置200即安全防护装置,其位于私有网络与公有网络连接处,终端位于私有网络中。该装置200包括动态行为结果生成模块210、动态行为分析模块230、动态行为特征库220、IOC生成器240。
在一个示例中,该检测终端安全状况装置200为安全沙箱,进一步地,该安全沙箱布置于网关处。
动态行为结果生成模块210用于接收来自公有网络的文件,并在检测终端安全状况装置200中运行该文件,从而生成动态行为结果(参见图3)。该动态行为结果包含按照行为发生时间顺序形成的行为序列。该行为序列中的行为属于不同的行为类型,且该行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户。
动态行为分析模块230用于根据动态行为结果生成模块210生成的该动态行为结果判断该文件是否包含APT。
IOC生成器240用于如果该动态行为分析模块确定该文件包含APT,获取该动态行为结果中稳定的行为特征,根据该稳定的行为特征生成相应IOC,并将该IOC发送至终端。其中,该稳定的行为特征是指该文件在每次运行后所生成行为序列中均出现的行为。
在一个示例中,来自公有网络的文件如exe文件、DLL文件、sys文件、com文件、doc文件、xls文件、PDF文件等文件。
在一个示例中,该动态行为结果由一系列行为操作组成,各行为操作包含基于时间的行为序列。
在一个示例中,动态行为结果生成模块210包括现有安全沙箱中的启发式检测引擎模块和虚拟执行环境模块(图2未示出)。该启发式检测引擎模块包括Web启发式检测引擎子模块、PDF启发式检测引擎子模块、PE启发式检测引擎子模块(图2未示出)。该安全沙箱中的启发式检测引擎模块及虚拟执行环境模块均用于生成相应动态行为结果。
如图3所示,图3是一个动态行为结果示意图。图3中的该动态行为结果包含按照行为发生时间顺序形成的行为序列。该行为序列中的行为属于不同的行为类型。图3中,该行为类型包括创建文件、加载进程、修改注册表、连接网络。
图2中,动态行为特征库220包含多种与APT相关的动态行为特征,如动态行为特征库220包含误报行为特征库及威胁行为特征库(图2未示出),该误报行为特征库包含多种误报行为特征,该威胁行为特征库包含多种威胁行为特征。
在一个示例中,动态行为分析模块230将来自动态行为结果生成模块210的动态行为结果与动态行为特征库220中的各动态行为特征进行匹配,从而确定该动态行为结果是否包含APT。
在一个示例中,动态行为分析模块230先将该动态行为结果与动态行为特征库220的误报行为特征库中各误报行为特征进行匹配,再与威胁行为特征库中的各威胁行为特征进行匹配,从而判定该动态行为结果是否包含APT。
在一个示例中,动态行为分析模块230在判定出该动态行为结果包含APT后,将该动态行为结果发送至IOC生成器240。否则,动态行为分析模块230将该装置200接收到的文件(即正常文件,非感染文件)发送至终端设备。也就是说,IOC生成器240接收到的是包含APT的动态行为结果。
该APT具备高隐蔽性,其攻击手法在于隐匿自己,该APT通过一系列行为操作针对特定对象,长期、有计划性地侵入用户终端中。
在一个示例中,IOC生成器240包括第一加载器241、多个IOC生成器、IOC汇总模块243。该多个IOC生成器包括多种类型IOC生成器,如包括文件生成器(File生成器)、注册表生成器(Regitstry生成器)、域名生成器(DNS生成器)、地址解析生成器(ARP生成器)、网络连接生成器(Netword生成器)、进程生成器(Process生成器)、用户生成器(User生成器)等。该IOC生成器的类型与APT稳定的行为特征中行为的类型有关。例如,某包含APT的动态行为结果的一个行为特征是创建文件,则IOC生成器种类包含文件生成器。
IOC生成器240中的第一加载器(loader)241将该动态行为结果相应程序加载至内存中,并将该动态行为结果中的各条行为操作分配给不同的生成器。其中,该动态行为结果由一系列行为操作组成,各行为操作包含基于时间的行为序列。
在一个示例中,第一加载器241按照时间先后顺序逐条分析该动态行为结果中各条行为操作,得到相应行为特征,根据所确定的行为特征将该动态行为结果中相应行为操作发送至相应生成器中。例如,第一加载器241查看某行为操作,得到该行为操作的一个行为特征是FCreat即创建文件,则第一加载器241将该行为操作发送至文件生成器中。
在一个示例中,第一加载器241包含一个对照表,该对照表示出了各行为特征与多种类型生成器中各生成器的对应关系。第一加载器241从其接收到的动态行为结果的各条行为操作中获取行为特征,通过检索该对照表方式,确定各条行为操作所对应的生成器,并将各行为操作分配给相应生成器。
例如,第一加载器241查看其接收到的动态行为结果(即已经确定包含APT的动态行为结果)中一条行为操作的行为特征包含创建文件,则第一加载器241通过查找对照表方式确定该行为操作所对应的生成器是文件生成器,该第一加载器241将该行为操作分配给文件生成器。
IOC生成器240中各IOC生成器对来自第一加载器241的动态行为结果中相应行为操作进行解析,获取该动态行为结果中稳定的行为特征,即提取出APT所留下的痕迹,根据该稳定的行为特征生成相应IOC;其中,该稳定的行为特征是包含APT的文件在每次运行后所生成行为序列中均出现的行为。
在一个示例中,IOC生成器240获取该动态行为结果中稳定的行为特征,包括:在该装置200中运行至少两次该文件,分别得到每次运行后生成的行为序列,从而获得至少两个行为序列。确定该至少两个行为序列中存在的相同的行为,其中,相同的行为是指行为类型和行为内容均相同的行为。获得由该至少两个行为序列中相同的行为构成的集合,将该集合作为稳定的行为特征。
显然,在获得稳定的行为特征的过程中,文件运行的次数越多,最终得到的稳定的行为特征,继而根据稳定的行为特征生成的IOC在识别是否感染APT时的准确性就越高。
IOC(indicators of compromised,被感染主机描述符)描述了捕获到的APT所留下的痕迹,其通过xml文档形式描述出,内容包括病毒文件的属性、注册表改变的特征、虚拟内存等。例如,一个IOC描述的APT所留下的痕迹为:搜索路径C:\WINDOWS\apocalyps32.exe下的文件,且文件长度是108544。IOC汇总模块243将来自多个IOC生成器(如文件生成器、注册表生成器等)的多个IOC汇总成一个IOC,并将该汇总IOC发送至终端设备。其中,该汇总IOC通过一个XML(可扩展标记语言)文档表示。
图4是本申请实施例提供的终端设备示意图。该终端设备400包括IOC解释器410、接收模块430、确定模块440。
接收模块430用于接收来自安全防护设备的IOC。
IOC解释器用于对接收模块430接收到的该IOC进行解析,得到该IOC中包含的APT对应的行为特征。
确定模块440用于搜索终端设备400的操作系统和文件系统,确定终端设备400是否已发生该APT对应的行为特征所描述的行为。如果终端设备400已发生该APT对应的行为特征所描述的行为,确定终端设备400已感染该APT。
在一个示例中,该终端设备400还包括编辑器420。编辑器420用于将其接收到的IOC,如汇总IOC,以图形化形式描述并显示出来,参见图5。图5是一个汇总IOC图形化表现形式示意图。该编辑器420是一个可选模块。
在一个示例中,IOC解释器410在终端设备400的TSM(Terminal SecurityManagement,终端安全管理软件)模块中。
本领域技术人员可以理解,图4中示出的终端设备结构并不构成对终端设备的限定,可以包括比图示更多或更少的部件,或者组合某些部件,或者不同的部件布置。
在一个示例中,IOC解释器410包括第二加载器411以及多种类型解释器。
图4中,IOC解释器410中的第二加载器411接收来自接收模块430的IOC,例如接收汇总IOC,将该汇总IOC相应程序加载至内存中,并将该汇总IOC中的各IOC分配给不同的解释器。
在一个示例中,第二加载器411逐条分析该汇总IOC中的各IOC,获取各IOC类型,依据所确定的IOC类型分配该汇总IOC中的各IOC。例如,在一个IOC中,其所包含的context document即上下文文档类型为FileItem即文件项,则说明该IOC为文件类IOC。
在一个示例中,第二加载器411包含一个对照表,该对照表示出了各IOC类型与多种类型解释器中各解释器的对应关系。第二加载器411从其接收到的IOC中获取该IOC类型,通过检索该对照表方式,确定各IOC所对应的解释器,并将汇总IOC中各IOC分配给相应解释器。
需要说明的是,IOC解释器410也可以包括一个分配器(图4未示出)。此种情况下,由该分配器将该汇总ICO中的各IOC分配至相应解释器中,而第二加载器411仅用于将汇总IOC相应程序加载至内存中。
IOC解释器410包括以下多种类型解释器中的部分或者全部:文件解释器(File解释器)、注册表解释器(Regitstry解释器)、域名解释器(DNS解释器)、地址解析解释器(ARP解释器)、网络连接解释器(Netword解释器)、进程解释器(Process解释器)、用户解释器(User解释器)。该解释器的类型与IOC类型有关。
IOC解释器410中各解释器,接收来自第二加载器411的相应IOC,并对该IOC进行解析,得到该IOC中包含APT对应的行为特征,即得到APT所留下的痕迹。确定模块440根据该特征搜索终端设备400的操作系统和文件系统,确定终端设备400是否已发生该APT对应的行为特征所描述的行为。如果终端设备400已发生该APT对应的行为特征所描述的行为,确定终端设备400已感染APT。例如,该文件解释器解析出某IOC中APT所对应特征之一是:路径C:\WINDOWS\apocalyps32.exe;特征之二是:长度为108544字节的文件。确定模块440通过搜索终端设备440的操作系统和文件系统,查询目录C:\WINDOWS\apocalyps32.exe下是否存在108544字节长度的文件,从而确定终端设备400是否感染APT。
图6是本申请实施例提供的一种检测终端安全状况的系统。该系统包括检测终端安全状况装置200和终端设备400,且检测终端安全状况装置200位于私有网络与公有网络连接处,终端设备400位于私有网络中。
检测终端安全状况装置200接收来自公有网络的文件,并运行所述文件,从而生成动态行为结果;根据该动态行为结果判断所述文件是否包含APT;如果在该动态行为结果中包含APT,获取该动态行为结果中稳定的行为特征,根据该稳定的行为特征,生成相应IOC。其中,该动态行为结果包含按照行为发生时间顺序形成的行为序列。该行为序列中的行为属于不同的行为类型,行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户。该稳定的行为特征是指该文件在每次运行后所生成行为序列中均出现的行为。
终端设备400接收来自检测终端安全状况装置200的IOC,并对该IOC进行解析,得到该IOC中包含的APT对应的行为特征,依据该行为特征搜索终端设备400的操作系统和文件系统,确定终端设备400是否已发生该APT对应的行为特征所描述的行为。如果终端设备400已发生该APT对应的行为特征所描述的行为,确定终端设备400已感染APT。
需要说明的是,检测终端安全状况装置200及终端设备400所包含的各模块以及各模块功能作用参见图2、图4及相关内容表述,在此不再赘述。
图7为本申请一个实施例提供的检测终端安全状况方法流程图。该检测终端安全状况方法的执行主体是安全防护设备。且该安全防护设备位于私有网络与公有网络连接处,终端位于私有网络中。
在一个示例中,该检测终端安全状况方法的执行主体是安全沙箱,且该安全沙箱布置于网关处。
在步骤710,安全防护设备接收来自公有网络的文件,并在所述安全防护设备中运行所述文件,从而生成动态行为结果,参见图3。该动态行为结果包含按照行为发生时间顺序形成的行为序列;该行为序列中的行为属于不同的行为类型,行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户。
在一个示例中,该动态行为结果由一系列行为操作构成,且各行为操作包含基于时间的行为特征。
在一个示例中,该来自互联网的文件如exe文件、DLL文件、sys文件、com文件、Ddc文件、xls文件、PDF文件等。
在步骤720,该安全防护设备根据生成的所述动态行为结果判断该文件是否包含APT。
在一个示例中,将该动态行为结果与动态行为特征库中的各动态行为特征进行匹配,从而确定该动态行为结果是否包含APT。
在步骤730,在该动态行为结果包含APT情况下,逐条分析该动态行为结果中的各行为操作,获取各行为操作中稳定的行为特征,即提取出APT所留下的痕迹,根据该稳定的行为特征生成相应IOC。其中,该稳定的行为特征是指在该文件在每次运行后所生成行为序列中均出现的行为。
在一个示例中,获取该动态行为结果中稳定的行为特征包括,在该安全防护设备中运行至少两次该文件,分别得到每次运行后生成的行为序列,从而获得至少两个行为序列。确定该至少两个行为序列中存在的相同的行为,该相同的行为是指行为类型和行为内容均相同的行为。获得由该至少两个行为序列中相同的行为构成的集合,将该集合作为稳定的行为特征。
在步骤740,将根据该动态行为结果生成的多个IOC,汇总成一个IOC。且该汇总IOC通过一个XML(可扩展标记语言)文档表示。
该步骤740是一个可选步骤,当根据该动态行为结果得到一个IOC时,则不需要汇总IOC,即不需要执行步骤740。
在步骤750,将该汇总IOC发送至终端设备。
图8是本申请另一个实施例提供的检测终端安全状况方法流程图。
在步骤810,该终端设备接收来自安全防护设备的IOC,例如汇总IOC,该汇总IOC包含多个IOC。
在步骤820,该终端设备对该IOC进行解析,得到该IOC中包含的APT对应的行为特征。
在一个示例中,该IOC是一个汇总IOC,对该汇总IOC中的各IOC逐条解析,得到各IOC中包含APT对应的行为特征。
在步骤830,根据得到的行为特征搜索该终端设备的操作系统和文件系统,确定该终端设备是否已发生该APT对应的行为特征所描述的行为。如果该终端设备已发生该APT对应的行为特征所描述的行为,确定该终端设备已感染该APT。
举例说明,某IOC中APT所对应特征之一是:路径C:\WINDOWS\apocalyps32.exe。该APT所对应的特征之二是:长度为108544字节的文件。因此该用户终端通过搜索该终端的操作系统和文件系统中的路径C:\WINDOWS\apocalyps32.exe,并查看该路径下是否存在108544字节长度的文件。如果在该路径下包含108544字节长度的文件,则确定该终端已感染APT。
在一个示例中,该终端设备在搜索到该汇总IOC中的一个IOC包含有APT时,则确定该终端设备感染了APT。
现以图3一个典型的感染APT的动态行为结果为例,详细阐述IOC生成器如何将感染APT的动态行为结果转换成IOC,以及该终端设备如何根据接收到的IOC确定其是否感染APT。
(1)IOC生成器240中的第一加载器241逐条分析其接收到的动态行为结果,首先查看该动态行为结果中的第一条行为操作,即查看图3中“某个样本释放一个PE文件”行为操作。第一加载器241根据该第一条行为操作中的字段action得知该行为特征是FCreate,即创建文件。第一加载器241将该第一条行为操作,即查看某个样本释放一个PE文件的行为操作,分配给文件生成器。
该文件生成器分析该第一条行为操作,获知该行为操作是在路径C:\windows\apocalyps32.exe下FCreate,即创建文件;并且FWritePE,即写入可执行文件;且length是43008,即文件长度43008;offset是65536,即偏移是65536,进而文件总长度是43008+65536=108544。因此,该文件生成器通过对该行为操作进行分析,从而得到相应行为特征是在C:\windows\apocalyps32.exe目录下创建一个可执行文件,且该可执行文件长度是108544。此类行为特征是稳定的,不会随着不同终端而变化,只要终端设备感染了相应APT,就会留下具有该行为特征的痕迹。该稳定的行为特征是指在包含APT的文件在每次运行后所生成行为序列中均出现的行为。该文件生成器依据该稳定的行为特征生成了文件类IOC,该文件类IOC可参见图9。因此,实现了将该动态行为结果中的第一条行为操作转换成一个IOC。
图9是一个文件类IOC示意图。图9中,该文件类IOC表示:APT所留下的痕迹是在路径C:\windows\apocalyps32.exe下包含长度为108544字节的文件。
(2)第一加载器241查看该动态行为结果中的第二条行为操作,即查看运行此样本的行为操作。第一加载器241根据字段action得知该行为操作是在路径C:\windows\apocalyps32.exe:1252下CreateProcess,即创建进程。第一加载器241将该行为操作分配给进程生成器中。
该进程生成器分析该第二条行为操作,获知该行为操作是在路径C:\windows\apocalyps32.exe:1252下CreateProcess即加载进程,pid值为1448;然后FOpen,即打开文件,且pid(进程标识符)值为1488。由于pid是一个不稳定特征,其值会随着不同终端设备而变化。因此该运行样本行为操作是一个不稳定行为操作,不生成IOC。
(3)第一加载器241查看该动态行为结果中的第三条行为操作,即查看创建一个线程并将其注入到IEXPLORE.EXE进程中隐藏自己的行为操作。第一加载器241根据字段action得知该行为操作是OpenProcess explorer.exe即打开浏览器。第一加载器241将该行为操作分配给进程生成器。
该进程生成器分析该第三条行为操作,获知该行为操作是先OpenProcessexplorer.exe即打开浏览器,其pid(进程标识符)值为1244;然后Wri teOtherProcMem即写IE线程,其pid值1488。由于pid是一个不稳定特征,其值会随着不同终端设备而变化。因此行为操作是一个不稳定行为操作,不生成IOC。
(4)第一加载器241查看该动态行为结果中的第四条行为操作,即查看修改注册表增加自启动项的行为操作。第一加载器241根据字段action得知该行为操作是在路径HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下RegCreateKey,即创建注册表项。第一加载器241将该条行为操作发送至注册表生成器中。
该注册表生成器分析该第四条行为操作,获知该行为操作是,在HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下RegCreateKey,即创建注册表项。且设置注册表项键值为C:\WINDOWS\apocalyps32.exe。因此,该注册表生成器通过对该行为操作进行分析,从而得到相应行为特征是在目录HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\apocalyps32下新增自启动项C:\WINDOWS\apocalyps32.exe。此类行为特征是稳定的,不会随着不同终端设备而变化,只要终端设备感染了相应APT,就会留下具有该行为特征的痕迹。该稳定的行为特征是指在包含APT的文件在每次运行后所生成行为序列中均出现的行为。该注册表生成器将该行为操作转换成一个注册表类IOC,参见图10。
图10是一个注册表类IOC示意图。图10中,APT留下的痕迹是:查找注册表路径HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\apocalyps32,并在该路径下查找是否有键值C:\windows\apocalyps32.exe。
(5)第一加载器241查看该动态行为结果中的第五条行为操作,即查看连接到外部网络的行为操作。第一加载器241根据字段action得知该行为操作是connect,即连接至外网。第一加载器241将该行为操作分配给网络连接生成器。
该网络连接生成器分析该第五条行为操作,获知该行为操作是在连接外网,且IP地址5.5.66.101:1453。由于IP地址中的1453是不稳定特征,其值会随着不能终端设备而变化。因此该运行样本行为操作是一个不稳定行为操作,不生成IOC。
由上述分析可知,图3中的APT执行操作过程是:先释放一个可执行文件,然后运行该可执行文件,再将该APT执行过程隐匿在IE浏览器里面,使得其在任务管理器里面查找不到,再增加自启动注册表项,使得该APT在每次重启系统后都会存在于系统中,最后通过连接外网的方式窃取信息或破坏系统。
(6)IOC汇总模块243接收来自文件生成器的文件类IOC(如图9所示),以及接收来自注册表生成器的注册表类IOC(如图10所示),将该文件类IOC、注册表类IOC进行汇总,形成一个汇总IOC,并将该汇总IOC以一个XLM文档形式表示出来,参见图11。
图11是一个汇总IOC示意图,该汇总IOC以XML文件形式表示,该XLM文件包括对该IOC简要描述、作者、创建日期等信息,以及包括对APT痕迹的描述:在路径C:\windows\apocalyps32.exe下长度为108544的可执行文件;或者在路径HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\apocalyps32下新增自启动项C:\WINDOWS\apocalyps32.exe。
(7)终端设备中的接收模块430接收来自终端安全状况装置200(即安全防护设备)的汇总IOC(包含文件类IOC和注册表类IOC),具体汇总IOC参见图11,并将该汇总IOC发送至第二加载器411。
(8)该第二加载器411对该汇总IOC中的各IOC逐个进行分析,首先查看该汇总IOC中的第一个IOC,即文件类IOC。第二加载器411根据字段Context document得知是特征FileItem,即文件项。第二加载器411将该第一个IOC,即文件类IOC,分配给文件解释器。
(9)该文件解释器对该文件类IOC进行解析,得到该IOC中包含的APT的两个行为特征:一个行为特征是判断是否存在C:\WINDOWS\apocalyps32.exe;另一个行为特征是文件长度是否为108544字节,且该两个行为特征是“和(即and)”的关系,参见图9。
(10)确定模块440搜索终端设备400的操作系统和文件系统,确定终端设备400是否已发生该APT对应的行为特征所描述的行为,如果终端设备400已发生该APT对应的行为特征所描述的行为,则确定终端设备400已感染该APT。即确定模块400如果在路径C:\WINDOWS\apocalyps32.exe下找到有108544字节文件,则判定终端设备400感染了APT。
(11)第二加载器411查看该汇总IOC中的第二个IOC,即注册表类IOC。第二加载器411根据字段Context document得知特征是RegistryItem,即注册表项。第二加载器411将该第二个IOC,即注册表项IOC,分配给注册表解释器。
该注册表解释器对该注册表项IOC进行解析,得到该IOC中包含的APT的两个行为特征:一个行为特征是判断是否存在注册表路径"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\apocalyps32";另一个行为特征是注册表项内容是否为"C:\WINDOWS\apocalyps32.exe",且该两个行为特征是“和(即and)”的关系,参见图10。
(12)确定模块440搜索终端设备400的操作系统和文件系统,确定终端设备400是否已发生该APT对应的行为特征所描述的行为,如果终端设备400已发生该APT对应的行为特征所描述的行为,则确定终端设备400已感染该APT。即确定模块400如果在路径HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\apocalyps32下查找是否包含C:\WINDOWS\apocalyps32.exe内容,如果包含,则说明终端设备400感染了APT。
结合本申请公开内容所描述的方法或者算法的步骤可以硬件的方式来实现,也可以是由处理器执行软件指令的方式来实现。软件指令可以由相应的软件模块组成,软件模块可以被存放于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、移动硬盘、CD-ROM或者本领域熟知的任何其它形式的存储介质中。一种示例性的存储介质耦合至处理器,从而使处理器能够从该存储介质读取信息,且可向该存储介质写入信息。当然,存储介质也可以是处理器的组成部分。处理器和存储介质可以位于ASIC中。另外,该ASIC可以位于用户设备中。当然,处理器和存储介质也可以作为分立组件存在于用户设备中。
本领域技术人员应该可以意识到,在上述一个或多个示例中,本申请所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时,可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质,其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。
以上所述的具体实施方式,对本申请的目的、技术方案和有益效果进行了进一步详细说明,所应理解的是,以上所述仅为本申请的具体实施方式而已,并不用于限定本申请的保护范围,凡在本申请的技术方案的基础之上,所做的任何修改、等同替换、改进等,均应包括在本申请的保护范围之内。
Claims (10)
1.一种检测终端安全状况的装置,其中,所述装置位于私有网络与公有网络连接处,终端位于私有网络中,包括:
动态行为结果生成模块,用于接收来自公有网络的文件,并在所述装置中运行所述文件,从而生成动态行为结果;其中,所述动态行为结果包含按照行为发生时间顺序形成的行为序列;所述行为序列中的行为属于不同的行为类型,所述行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户;
动态行为分析模块,用于根据所述动态行为结果生成模块生成的所述动态行为结果判断所述文件是否包含高级可持续威胁;
被感染主机描述符生成器,用于如果所述动态行为分析模块确定所述文件包含高级可持续威胁,获取所述动态行为结果中稳定的行为特征,根据所述稳定的行为特征生成相应被感染主机描述符,并将所述被感染主机描述符发送至所述终端;其中,所述稳定的行为特征是指所述文件在每次运行后所生成行为序列中均出现的行为。
2.如权利要求1所述的装置,其特征在于,所述装置还包括动态行为特征库;所述动态行为特征库包含多种误报行为特征及多种威胁行为特征;
所述动态行为分析模块,用于接收所述动态行为结果,并将所述动态行为结果与所述动态行为特征库中的多种误报行为特征及多种威胁行为特征进行匹配,从而确定所述文件是否包含所述高级可持续威胁。
3.如权利要求1或2所述的装置,其特征在于,所述被感染主机描述符生成器包括多种类型生成器,且所述生成器的类型与所述稳定的行为特征中行为的类型有关。
4.如权利要求1至3任意一项所述的装置,其特征在于,所述被感染主机描述符生成器包括文件生成器、注册表生成器、域名生成器、地址解析生成器、网络连接生成器、进程生成器、用户生成器中的一个或多个。
5.一种终端设备,包括:
接收模块,用于接收来自安全防护设备的被感染主机描述符;
被感染主机描述符解释器,用于对所述接收模块接收到的所述被感染主机描述符进行解析,得到所述被感染主机描述符中包含的高级可持续威胁APT对应的行为特征;
确定模块,用于搜索所述终端的操作系统和文件系统,确定所述终端是否已发生所述APT对应的行为特征所描述的行为;如果所述终端已发生所述APT对应的行为特征所描述的行为,确定所述终端已感染所述APT。
6.如权利要求5所述的终端设备,其特征在于,所述被感染主机描述符解释器包括文件解释器、注册表解释器、域名解释器、地址解析解释器、网络连接解释器、进程解释器、用户解释器中的一个或多个。
7.一种检测终端安全状况的系统,其中,安全防护设备位于私有网络与公有网络连接处,终端位于私有网络中,包括:
安全防护设备,用于接收来自公有网络的文件,并运行所述文件,从而生成动态行为结果;根据所述动态行为结果判断所述文件是否包含高级可持续威胁;如果在所述动态行为结果中包含高级可持续威胁,获取所述动态行为结果中稳定的行为特征,根据所述稳定的行为特征生成相应被感染主机描述符;其中,所述动态行为结果包含按照行为发生时间顺序形成的行为序列;所述行为序列中的行为属于不同的行为类型,行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户;所述稳定的行为特征是指所述文件在每次运行后所生成行为序列中均出现的行为;
终端设备,用于接收来自所述安全防护设备的被感染主机描述符;对所述被感染主机描述符进行解析,得到所述被感染主机描述符中包含的高级可持续威胁APT对应的行为特征;搜索所述终端的操作系统和文件系统,确定所述终端是否已发生所述APT对应的行为特征所描述的行为;如果所述终端已发生所述APT对应的行为特征所描述的行为,确定所述终端已感染所述APT。
8.一种检测终端安全状况的方法,其中,所述方法由安全防护设备执行,且所述安全防护设备位于私有网络与公有网络连接处,终端位于私有网络中;包括:
所述安全防护设备接收来自所述公有网络的文件,并在所述安全防护设备中运行所述文件,从而生成动态行为结果;其中,所述动态行为结果包含按照行为发生时间顺序形成的行为序列;所述行为序列中的行为属于不同的行为类型,行为类型包括创建文件、修改注册表、配置域名、解析地址、连接网络、加载进程、添加用户;
所述安全防护设备根据生成的所述动态行为结果判断所述文件是否包含高级可持续威胁,若包含所述高级可持续威胁,则获取所述动态行为结果中稳定的行为特征,根据所述稳定的行为特征生成相应被感染主机描述符,并将所述被感染主机描述符发送至所述终端;其中,所述稳定的行为特征是指在所述文件在每次运行后所生成行为序列中均出现的行为。
9.根据权利要求8所述的方法,其特征在于,所述获取所述动态行为结果中稳定的行为特征,包括:
在所述安全防护设备中运行至少两次所述文件,分别得到每次运行后生成的行为序列,从而获得至少两个行为序列;
确定所述至少两个行为序列中存在的相同的行为,其中,相同的行为是指行为类型和行为内容均相同的行为;
获得由所述至少两个行为序列中相同的行为构成的集合,将所述集合作为稳定的行为特征。
10.一种检测终端安全状况的方法,包括:
终端接收来自安全防护设备的被感染主机描述符;
所述终端对所述被感染主机描述符进行解析,得到所述被感染主机描述符中包含的高级可持续威胁APT对应的行为特征;
搜索所述终端的操作系统和文件系统,确定所述终端是否已发生所述APT对应的行为特征所描述的行为;
如果所述终端已发生所述APT对应的行为特征所描述的行为,确定所述终端已感染所述APT。
Priority Applications (8)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201910959764.6A CN110891048B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
CN201510988051.4A CN106921608B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
PCT/CN2016/101263 WO2017107616A1 (zh) | 2015-12-24 | 2016-09-30 | 一种检测终端安全状况方法、装置及系统 |
EP16877427.1A EP3288231B1 (en) | 2015-12-24 | 2016-09-30 | Method, apparatus and system for detecting security conditions of terminal |
EP19214322.0A EP3687134B1 (en) | 2015-12-24 | 2016-09-30 | Method, apparatus, and system for detecting terminal security status |
ES16877427T ES2775874T3 (es) | 2015-12-24 | 2016-09-30 | Método, aparato y sistema para detectar condiciones de seguridad de un terminal |
US15/871,308 US10735374B2 (en) | 2015-12-24 | 2018-01-15 | Method, apparatus, and system for detecting terminal security status |
US16/897,050 US11431676B2 (en) | 2015-12-24 | 2020-06-09 | Method, apparatus, and system for detecting terminal security status |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201510988051.4A CN106921608B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201910959764.6A Division CN110891048B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN106921608A true CN106921608A (zh) | 2017-07-04 |
CN106921608B CN106921608B (zh) | 2019-11-22 |
Family
ID=59088989
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201510988051.4A Active CN106921608B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
CN201910959764.6A Active CN110891048B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
Family Applications After (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201910959764.6A Active CN110891048B (zh) | 2015-12-24 | 2015-12-24 | 一种检测终端安全状况方法、装置及系统 |
Country Status (5)
Country | Link |
---|---|
US (2) | US10735374B2 (zh) |
EP (2) | EP3288231B1 (zh) |
CN (2) | CN106921608B (zh) |
ES (1) | ES2775874T3 (zh) |
WO (1) | WO2017107616A1 (zh) |
Cited By (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN108460278A (zh) * | 2018-02-13 | 2018-08-28 | 北京奇安信科技有限公司 | 一种威胁情报处理方法及装置 |
CN108563951A (zh) * | 2018-04-13 | 2018-09-21 | 腾讯科技(深圳)有限公司 | 病毒检测方法及装置 |
CN109040136A (zh) * | 2018-09-29 | 2018-12-18 | 成都亚信网络安全产业技术研究院有限公司 | 一种网络攻击的检测方法及电子设备 |
CN109688092A (zh) * | 2018-04-25 | 2019-04-26 | 北京微步在线科技有限公司 | 失陷设备检测方法及装置 |
CN110224975A (zh) * | 2019-04-26 | 2019-09-10 | 北京奇安信科技有限公司 | Apt信息的确定方法及装置、存储介质、电子装置 |
CN113746781A (zh) * | 2020-05-28 | 2021-12-03 | 深信服科技股份有限公司 | 一种网络安全检测方法、装置、设备及可读存储介质 |
CN115408696A (zh) * | 2022-11-02 | 2022-11-29 | 荣耀终端有限公司 | 应用识别方法及电子设备 |
Families Citing this family (18)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11240207B2 (en) * | 2017-08-11 | 2022-02-01 | L3 Technologies, Inc. | Network isolation |
US11601467B2 (en) | 2017-08-24 | 2023-03-07 | L3 Technologies, Inc. | Service provider advanced threat protection |
US11178104B2 (en) | 2017-09-26 | 2021-11-16 | L3 Technologies, Inc. | Network isolation with cloud networks |
US11552987B2 (en) | 2017-09-28 | 2023-01-10 | L3 Technologies, Inc. | Systems and methods for command and control protection |
US11223601B2 (en) | 2017-09-28 | 2022-01-11 | L3 Technologies, Inc. | Network isolation for collaboration software |
US11184323B2 (en) | 2017-09-28 | 2021-11-23 | L3 Technologies, Inc | Threat isolation using a plurality of containers |
US11374906B2 (en) | 2017-09-28 | 2022-06-28 | L3 Technologies, Inc. | Data exfiltration system and methods |
US11336619B2 (en) | 2017-09-28 | 2022-05-17 | L3 Technologies, Inc. | Host process and memory separation |
US11550898B2 (en) | 2017-10-23 | 2023-01-10 | L3 Technologies, Inc. | Browser application implementing sandbox based internet isolation |
US11120125B2 (en) | 2017-10-23 | 2021-09-14 | L3 Technologies, Inc. | Configurable internet isolation and security for laptops and similar devices |
US11170096B2 (en) | 2017-10-23 | 2021-11-09 | L3 Technologies, Inc. | Configurable internet isolation and security for mobile devices |
US10880328B2 (en) * | 2018-11-16 | 2020-12-29 | Accenture Global Solutions Limited | Malware detection |
CN110222318B (zh) * | 2019-06-05 | 2023-03-24 | 卡斯柯信号(成都)有限公司 | 基于xml的数据生成工具开发方法 |
US10789354B1 (en) * | 2019-10-01 | 2020-09-29 | Capital One Services, Llc | Computer-based systems configured for detecting and sandboxing external resources and methods of use thereof |
US11336690B1 (en) * | 2019-11-15 | 2022-05-17 | National Technology & Engineering Solutions Of Sandia, Llc | Threat emulation framework |
CN112104726A (zh) * | 2020-09-09 | 2020-12-18 | 上海微亿智造科技有限公司 | 一种工业物联网对象存储实时监测系统 |
CN112906011B (zh) * | 2021-05-07 | 2021-08-03 | 北京安普诺信息技术有限公司 | 漏洞发现方法、测试方法、安全测试方法及相关装置、平台 |
US20230096108A1 (en) * | 2021-09-30 | 2023-03-30 | Acronis International Gmbh | Behavior analysis based on finite-state machine for malware detection |
Citations (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1737722A (zh) * | 2005-08-03 | 2006-02-22 | 珠海金山软件股份有限公司 | 一种检测和防御计算机恶意程序的系统和方法 |
CN1760883A (zh) * | 2005-11-10 | 2006-04-19 | 上海交通大学 | 支持大规模多用户并发控制的计算机病毒实验方法 |
CN101034974A (zh) * | 2007-03-29 | 2007-09-12 | 北京启明星辰信息技术有限公司 | 基于时间序列和事件序列的关联分析攻击检测方法和装置 |
CN102457495A (zh) * | 2010-10-21 | 2012-05-16 | 中华电信股份有限公司 | 网络病毒防护方法及系统 |
CN102930210A (zh) * | 2012-10-14 | 2013-02-13 | 江苏金陵科技集团公司 | 恶意程序行为自动化分析、检测与分类系统及方法 |
CN103634264A (zh) * | 2012-08-20 | 2014-03-12 | 江苏中科慧创信息安全技术有限公司 | 一种基于行为分析的主动诱捕方法 |
CN103916365A (zh) * | 2012-12-31 | 2014-07-09 | 西门子公司 | 导出和验证恶意代码的网络行为特征的方法和装置 |
WO2015127475A1 (en) * | 2014-02-24 | 2015-08-27 | Cyphort, Inc. | System and method for verifying and detecting malware |
Family Cites Families (75)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6792543B2 (en) * | 2001-08-01 | 2004-09-14 | Networks Associates Technology, Inc. | Virus scanning on thin client devices using programmable assembly language |
US20050273858A1 (en) * | 2004-06-07 | 2005-12-08 | Erez Zadok | Stackable file systems and methods thereof |
US20060259967A1 (en) * | 2005-05-13 | 2006-11-16 | Microsoft Corporation | Proactively protecting computers in a networking environment from malware |
US20120167164A1 (en) * | 2005-11-16 | 2012-06-28 | Azos Ai, Llc | System, method, and apparatus for encryption key cognition incorporating autonomous security protection |
US20080016339A1 (en) * | 2006-06-29 | 2008-01-17 | Jayant Shukla | Application Sandbox to Detect, Remove, and Prevent Malware |
CN101572691B (zh) * | 2008-04-30 | 2013-10-02 | 华为技术有限公司 | 一种入侵检测方法、系统和装置 |
US8370932B2 (en) * | 2008-09-23 | 2013-02-05 | Webroot Inc. | Method and apparatus for detecting malware in network traffic |
US8276202B1 (en) * | 2009-06-30 | 2012-09-25 | Aleksandr Dubrovsky | Cloud-based gateway security scanning |
US8938800B2 (en) * | 2010-07-28 | 2015-01-20 | Mcafee, Inc. | System and method for network level protection against malicious software |
WO2012027669A1 (en) * | 2010-08-26 | 2012-03-01 | Verisign, Inc. | Method and system for automatic detection and analysis of malware |
US9690915B2 (en) * | 2010-11-29 | 2017-06-27 | Biocatch Ltd. | Device, method, and system of detecting remote access users and differentiating among users |
US8949992B2 (en) * | 2011-05-31 | 2015-02-03 | International Business Machines Corporation | Detecting persistent vulnerabilities in web applications |
US8904531B1 (en) * | 2011-06-30 | 2014-12-02 | Emc Corporation | Detecting advanced persistent threats |
US9686293B2 (en) * | 2011-11-03 | 2017-06-20 | Cyphort Inc. | Systems and methods for malware detection and mitigation |
US9081959B2 (en) * | 2011-12-02 | 2015-07-14 | Invincea, Inc. | Methods and apparatus for control and detection of malicious content using a sandbox environment |
CN103312679B (zh) * | 2012-03-15 | 2016-07-27 | 北京启明星辰信息技术股份有限公司 | 高级持续威胁的检测方法和系统 |
US8776236B2 (en) * | 2012-04-11 | 2014-07-08 | Northrop Grumman Systems Corporation | System and method for providing storage device-based advanced persistent threat (APT) protection |
US9223962B1 (en) * | 2012-07-03 | 2015-12-29 | Bromium, Inc. | Micro-virtual machine forensics and detection |
US9191399B2 (en) * | 2012-09-11 | 2015-11-17 | The Boeing Company | Detection of infected network devices via analysis of responseless outgoing network traffic |
CN103051627B (zh) * | 2012-12-21 | 2016-04-27 | 公安部第一研究所 | 一种反弹式木马的检测方法 |
CN102970309B (zh) * | 2012-12-25 | 2016-12-28 | 山石网科通信技术有限公司 | 僵尸主机的检测方法、检测装置及防火墙 |
US9378361B1 (en) * | 2012-12-31 | 2016-06-28 | Emc Corporation | Anomaly sensor framework for detecting advanced persistent threat attacks |
US9165142B1 (en) * | 2013-01-30 | 2015-10-20 | Palo Alto Networks, Inc. | Malware family identification using profile signatures |
US9690931B1 (en) * | 2013-03-11 | 2017-06-27 | Facebook, Inc. | Database attack detection tool |
US9774620B2 (en) * | 2013-06-18 | 2017-09-26 | Microsoft Technology Licensing, Llc | Automatic code and data separation of web application |
CN103354548B (zh) * | 2013-06-28 | 2016-05-25 | 华为数字技术(苏州)有限公司 | 高持续性威胁攻击的检测方法、设备及系统 |
US9065849B1 (en) * | 2013-09-18 | 2015-06-23 | Symantec Corporation | Systems and methods for determining trustworthiness of software programs |
US10515214B1 (en) * | 2013-09-30 | 2019-12-24 | Fireeye, Inc. | System and method for classifying malware within content created during analysis of a specimen |
US9628507B2 (en) * | 2013-09-30 | 2017-04-18 | Fireeye, Inc. | Advanced persistent threat (APT) detection center |
US9392007B2 (en) * | 2013-11-04 | 2016-07-12 | Crypteia Networks S.A. | System and method for identifying infected networks and systems from unknown attacks |
CN103905418B (zh) * | 2013-11-12 | 2017-02-15 | 北京安天电子设备有限公司 | 一种多维度检测防御apt的系统及方法 |
US9258324B2 (en) * | 2013-11-26 | 2016-02-09 | At&T Intellectual Property I, L.P. | Methods, systems, and computer program products for protecting a communication network against internet enabled cyber attacks through use of screen replication from controlled internet access points |
US9355246B1 (en) * | 2013-12-05 | 2016-05-31 | Trend Micro Inc. | Tuning sandbox behavior based on static characteristics of malware |
US9665715B1 (en) * | 2013-12-23 | 2017-05-30 | Symantec Corporation | Systems and methods for detecting malware-induced crashes |
US9747446B1 (en) * | 2013-12-26 | 2017-08-29 | Fireeye, Inc. | System and method for run-time object classification |
JP6248649B2 (ja) | 2014-01-23 | 2017-12-20 | 株式会社デンソー | 絶縁通信装置 |
US9171154B2 (en) * | 2014-02-12 | 2015-10-27 | Symantec Corporation | Systems and methods for scanning packed programs in response to detecting suspicious behaviors |
US9294486B1 (en) * | 2014-03-05 | 2016-03-22 | Sandia Corporation | Malware detection and analysis |
US20160078365A1 (en) * | 2014-03-21 | 2016-03-17 | Philippe Baumard | Autonomous detection of incongruous behaviors |
US9917851B2 (en) * | 2014-04-28 | 2018-03-13 | Sophos Limited | Intrusion detection using a heartbeat |
US9392015B2 (en) * | 2014-04-28 | 2016-07-12 | Sophos Limited | Advanced persistent threat detection |
US10447710B1 (en) * | 2014-06-03 | 2019-10-15 | Cryptonite, LLC | Self-shielding dynamic network architecture |
US9332022B1 (en) * | 2014-07-07 | 2016-05-03 | Symantec Corporation | Systems and methods for detecting suspicious internet addresses |
US10230747B2 (en) * | 2014-07-15 | 2019-03-12 | Cisco Technology, Inc. | Explaining network anomalies using decision trees |
US9565204B2 (en) * | 2014-07-18 | 2017-02-07 | Empow Cyber Security Ltd. | Cyber-security system and methods thereof |
US9892270B2 (en) * | 2014-07-18 | 2018-02-13 | Empow Cyber Security Ltd. | System and method for programmably creating and customizing security applications via a graphical user interface |
US9596266B1 (en) * | 2014-07-23 | 2017-03-14 | Lookingglass Cyber Solutions, Inc. | Apparatuses, methods and systems for a real-time cyber threat indicator verification mechanism |
US20160065594A1 (en) * | 2014-08-29 | 2016-03-03 | Verizon Patent And Licensing Inc. | Intrusion detection platform |
US9807114B2 (en) * | 2014-09-05 | 2017-10-31 | Topspin Securtiy Ltd | System and a method for identifying the presence of malware using mini-traps set at network endpoints |
US9411959B2 (en) * | 2014-09-30 | 2016-08-09 | Juniper Networks, Inc. | Identifying an evasive malicious object based on a behavior delta |
US9860208B1 (en) * | 2014-09-30 | 2018-01-02 | Palo Alto Networks, Inc. | Bridging a virtual clone of a target device in a honey network to a suspicious device in an enterprise network |
US9882929B1 (en) * | 2014-09-30 | 2018-01-30 | Palo Alto Networks, Inc. | Dynamic selection and generation of a virtual clone for detonation of suspicious content within a honey network |
US9690928B2 (en) * | 2014-10-25 | 2017-06-27 | Mcafee, Inc. | Computing platform security methods and apparatus |
US11212255B2 (en) * | 2015-10-30 | 2021-12-28 | Melih Abdulhayoglu | System and method of protecting a network |
EP3213207A4 (en) * | 2014-10-31 | 2018-04-25 | Cyber Crucible Inc. | A system and method for network intrusion detection of covert channels based on off-line network traffic |
US9338175B1 (en) * | 2014-11-24 | 2016-05-10 | At&T Intellectual Property I, L.P. | Methods and systems for providing comprehensive cyber-security protection using an open application programming interface based platform solution |
CN104506495A (zh) * | 2014-12-11 | 2015-04-08 | 国家电网公司 | 一种智能化网络apt攻击威胁分析方法 |
US9800605B2 (en) * | 2015-01-30 | 2017-10-24 | Securonix, Inc. | Risk scoring for threat assessment |
US9769201B2 (en) * | 2015-03-06 | 2017-09-19 | Radware, Ltd. | System and method thereof for multi-tiered mitigation of cyber-attacks |
CN104657915B (zh) | 2015-03-10 | 2018-12-18 | 全球能源互联网研究院 | 一种动态自适应的电力系统终端安全威胁评估方法 |
US9819689B2 (en) * | 2015-03-13 | 2017-11-14 | Microsoft Technology Licensing, Llc | Large scale malicious process detection |
US10708296B2 (en) * | 2015-03-16 | 2020-07-07 | Threattrack Security, Inc. | Malware detection based on training using automatic feature pruning with anomaly detection of execution graphs |
CN104766006B (zh) * | 2015-03-18 | 2019-03-12 | 百度在线网络技术(北京)有限公司 | 一种确定危险文件所对应的行为信息的方法和装置 |
CN104850780A (zh) * | 2015-04-27 | 2015-08-19 | 北京北信源软件股份有限公司 | 一种高级持续性威胁攻击的判别方法 |
US9954871B2 (en) * | 2015-05-06 | 2018-04-24 | Hand Held Products, Inc. | Method and system to protect software-based network-connected devices from advanced persistent threat |
US10084816B2 (en) * | 2015-06-26 | 2018-09-25 | Fortinet, Inc. | Protocol based detection of suspicious network traffic |
US20160381049A1 (en) * | 2015-06-26 | 2016-12-29 | Ss8 Networks, Inc. | Identifying network intrusions and analytical insight into the same |
US9390268B1 (en) * | 2015-08-04 | 2016-07-12 | Iboss, Inc. | Software program identification based on program behavior |
US9811659B1 (en) * | 2015-08-25 | 2017-11-07 | Symantec Corporation | Systems and methods for time-shifted detection of security threats |
US9742796B1 (en) * | 2015-09-18 | 2017-08-22 | Palo Alto Networks, Inc. | Automatic repair of corrupt files for a detonation engine |
US9825989B1 (en) * | 2015-09-30 | 2017-11-21 | Fireeye, Inc. | Cyber attack early warning system |
US9961093B1 (en) * | 2015-09-30 | 2018-05-01 | EMC IP Holding Company LLC | Monitoring for reverse-connection network activity to detect a remote-administration tool |
US9917854B2 (en) * | 2015-09-30 | 2018-03-13 | Emc Corporation | Security detection |
US10320814B2 (en) * | 2015-10-02 | 2019-06-11 | Trend Micro Incorporated | Detection of advanced persistent threat attack on a private computer network |
US9894036B2 (en) * | 2015-11-17 | 2018-02-13 | Cyber Adapt, Inc. | Cyber threat attenuation using multi-source threat data analysis |
-
2015
- 2015-12-24 CN CN201510988051.4A patent/CN106921608B/zh active Active
- 2015-12-24 CN CN201910959764.6A patent/CN110891048B/zh active Active
-
2016
- 2016-09-30 ES ES16877427T patent/ES2775874T3/es active Active
- 2016-09-30 WO PCT/CN2016/101263 patent/WO2017107616A1/zh active Application Filing
- 2016-09-30 EP EP16877427.1A patent/EP3288231B1/en active Active
- 2016-09-30 EP EP19214322.0A patent/EP3687134B1/en active Active
-
2018
- 2018-01-15 US US15/871,308 patent/US10735374B2/en active Active
-
2020
- 2020-06-09 US US16/897,050 patent/US11431676B2/en active Active
Patent Citations (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1737722A (zh) * | 2005-08-03 | 2006-02-22 | 珠海金山软件股份有限公司 | 一种检测和防御计算机恶意程序的系统和方法 |
CN1760883A (zh) * | 2005-11-10 | 2006-04-19 | 上海交通大学 | 支持大规模多用户并发控制的计算机病毒实验方法 |
CN101034974A (zh) * | 2007-03-29 | 2007-09-12 | 北京启明星辰信息技术有限公司 | 基于时间序列和事件序列的关联分析攻击检测方法和装置 |
CN102457495A (zh) * | 2010-10-21 | 2012-05-16 | 中华电信股份有限公司 | 网络病毒防护方法及系统 |
CN103634264A (zh) * | 2012-08-20 | 2014-03-12 | 江苏中科慧创信息安全技术有限公司 | 一种基于行为分析的主动诱捕方法 |
CN102930210A (zh) * | 2012-10-14 | 2013-02-13 | 江苏金陵科技集团公司 | 恶意程序行为自动化分析、检测与分类系统及方法 |
CN103916365A (zh) * | 2012-12-31 | 2014-07-09 | 西门子公司 | 导出和验证恶意代码的网络行为特征的方法和装置 |
CN103916365B (zh) * | 2012-12-31 | 2018-09-11 | 西门子公司 | 导出和验证恶意代码的网络行为特征的方法和装置 |
WO2015127475A1 (en) * | 2014-02-24 | 2015-08-27 | Cyphort, Inc. | System and method for verifying and detecting malware |
Cited By (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN108460278A (zh) * | 2018-02-13 | 2018-08-28 | 北京奇安信科技有限公司 | 一种威胁情报处理方法及装置 |
CN108563951A (zh) * | 2018-04-13 | 2018-09-21 | 腾讯科技(深圳)有限公司 | 病毒检测方法及装置 |
CN109688092A (zh) * | 2018-04-25 | 2019-04-26 | 北京微步在线科技有限公司 | 失陷设备检测方法及装置 |
CN109040136A (zh) * | 2018-09-29 | 2018-12-18 | 成都亚信网络安全产业技术研究院有限公司 | 一种网络攻击的检测方法及电子设备 |
CN110224975A (zh) * | 2019-04-26 | 2019-09-10 | 北京奇安信科技有限公司 | Apt信息的确定方法及装置、存储介质、电子装置 |
CN110224975B (zh) * | 2019-04-26 | 2021-10-22 | 奇安信科技集团股份有限公司 | Apt信息的确定方法及装置、存储介质、电子装置 |
CN113746781A (zh) * | 2020-05-28 | 2021-12-03 | 深信服科技股份有限公司 | 一种网络安全检测方法、装置、设备及可读存储介质 |
CN115408696A (zh) * | 2022-11-02 | 2022-11-29 | 荣耀终端有限公司 | 应用识别方法及电子设备 |
Also Published As
Publication number | Publication date |
---|---|
CN110891048A (zh) | 2020-03-17 |
CN106921608B (zh) | 2019-11-22 |
US11431676B2 (en) | 2022-08-30 |
US10735374B2 (en) | 2020-08-04 |
EP3687134B1 (en) | 2021-11-24 |
EP3288231A1 (en) | 2018-02-28 |
EP3288231B1 (en) | 2020-02-05 |
EP3687134A1 (en) | 2020-07-29 |
WO2017107616A1 (zh) | 2017-06-29 |
US20200304463A1 (en) | 2020-09-24 |
EP3288231A4 (en) | 2018-07-04 |
CN110891048B (zh) | 2021-09-03 |
ES2775874T3 (es) | 2020-07-28 |
US20180139178A1 (en) | 2018-05-17 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN106921608A (zh) | 一种检测终端安全状况方法、装置及系统 | |
Husari et al. | Ttpdrill: Automatic and accurate extraction of threat actions from unstructured text of cti sources | |
US11188650B2 (en) | Detection of malware using feature hashing | |
Song et al. | Advanced evasion attacks and mitigations on practical ML‐based phishing website classifiers | |
Wang et al. | Automatically Traceback RDP‐Based Targeted Ransomware Attacks | |
KR102152338B1 (ko) | Nidps 엔진 간의 룰 변환 시스템 및 방법 | |
CN108369541B (zh) | 用于安全威胁的威胁风险评分的系统和方法 | |
CN106549980A (zh) | 一种恶意c&c服务器确定方法及装置 | |
Almutairi et al. | Innovative signature based intrusion detection system: Parallel processing and minimized database | |
Narayanan et al. | Cognitive techniques for early detection of cybersecurity events | |
Mishra et al. | Intelligent phishing detection system using similarity matching algorithms | |
Buchyk et al. | Devising a method of protection against zero-day attacks based on an analytical model of changing the state of the network sandbox | |
US10965693B2 (en) | Method and system for detecting movement of malware and other potential threats | |
JP5656266B2 (ja) | ブラックリスト抽出装置、抽出方法および抽出プログラム | |
Lu et al. | APT traffic detection based on time transform | |
Pascariu et al. | Ransomware Honeypot: Honeypot solution designed to detect a ransomware infection identify the ransomware family | |
KR101434179B1 (ko) | 이메일 기반 문서형 악성코드 고속탐지 시스템 및 방법 | |
Sohail | Macro Based Malware Detection System | |
CN108256327A (zh) | 一种文件检测方法及装置 | |
Valli | The malware analysis body of knowledge (MABOK) | |
Jin et al. | Analysis and control stratagems of flash disk virus dynamic propagation model | |
KR102239759B1 (ko) | 내부 침입탐지 및 방지 시스템의 이벤트를 외부 위협 인텔리전스를 이용하여 분석하는 내부에 알려지지 않은 위협의 탐지방법 | |
US8627462B2 (en) | Token processing | |
Wu et al. | Modeling and analysis of worm and killer-worm propagation using the divide-and-conquer strategy | |
US20240039939A1 (en) | Computer-readable recording medium storing attack situation output program, attack situation output device, and attack situation output system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |