CN108259449A - 一种防御apt攻击的方法和系统 - Google Patents

一种防御apt攻击的方法和系统 Download PDF

Info

Publication number
CN108259449A
CN108259449A CN201710188038.XA CN201710188038A CN108259449A CN 108259449 A CN108259449 A CN 108259449A CN 201710188038 A CN201710188038 A CN 201710188038A CN 108259449 A CN108259449 A CN 108259449A
Authority
CN
China
Prior art keywords
attack
data
analysis
stage
threat data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710188038.XA
Other languages
English (en)
Other versions
CN108259449B (zh
Inventor
陈友琨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
New H3C Technologies Co Ltd
Original Assignee
New H3C Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by New H3C Technologies Co Ltd filed Critical New H3C Technologies Co Ltd
Priority to CN201710188038.XA priority Critical patent/CN108259449B/zh
Priority to EP18774308.3A priority patent/EP3588898B1/en
Priority to PCT/CN2018/080223 priority patent/WO2018177210A1/zh
Priority to US16/498,371 priority patent/US11405419B2/en
Priority to JP2019552980A priority patent/JP6894003B2/ja
Publication of CN108259449A publication Critical patent/CN108259449A/zh
Application granted granted Critical
Publication of CN108259449B publication Critical patent/CN108259449B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请提供一种防御高级持续性威胁APT攻击的方法和系统，该方法为：获取网络中的通信数据；对通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，所述APT攻击阶段根据击杀链模型进行定义；根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。本申请通过将威胁数据映射到对应的APT攻击阶段，以及针对不同的APT攻击阶段采取相应的防御策略，使得APT攻击处理更有针对性，可以更为有效地检测和防御APT攻击。

Description

一种防御APT攻击的方法和系统
技术领域
本申请涉及网络安全技术领域，尤其涉及一种防御APT攻击的方法和系统。
背景技术
APT(Advanced Persistent Threat，高级持续性威胁)通常是由专业的黑客组织、国家级黑客发动，对政府、能源、金融、企业等发动有针对性的攻击。APT攻击往往具有一个完整的、精心策划的攻击过程。
APT攻击的特点是：
1)攻击目的越来越明确，攻击范围越来越专注，攻击领域从单纯的计算机网络扩展到工业控制系统，越来越针对大型企业和国家基础设施、关键设备。
2)攻击行为难以侦测。由于APT攻击普遍采用0day漏洞、新型木马及钓鱼手段等，传统的基于特征的安全检测方法对此十分难以进行有效侦测。如Flame病毒兼具有蠕虫、后门、木马、僵尸网络、社会工程学等特点，其程序的代码量达65万行，是普通间谍软件的100倍。
3)具有极强隐蔽性且长期持续。APT攻击在爆发之前能够很好的躲避防御设施的检测，潜伏期越来越长，搜集大量机密信息。基于其的隐蔽性，可能存在大量其他未被发现的威胁，正在严重地威胁着国家安全和公民权益。
鉴于APT攻击的如上特点，传统的网络安全防御机制难以在和APT的对抗中起到作用，应对APT攻击的综合防御模型的研究和落地已迫在眉睫。
发明内容
有鉴于此，本申请提供一种防御APT攻击的方法和系统，用以对APT攻击的各个阶段出现的威胁进行更有针对性的防御。
具体地，本申请是通过如下技术方案实现的：
本申请第一方面，提供了一种防御APT攻击的方法，该方法包括：
获取网络中的通信数据；
对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；
将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，所述APT攻击阶段根据击杀链模型进行定义；
根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
本申请第二方面，提供了一种防御APT攻击的系统，具有实现上述方法的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块或单元。
一种可能的实现方式中，所述系统包括：
数据获取单元，用于获取网络中的通信数据；
数据关联单元，用于对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；
击杀链分析单元，用于将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，所述APT攻击阶段根据击杀链模型进行定义；
防御部署单元，用于根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
另一种可能的实现中，所述系统包括通信接口、处理器、存储器和总线，所述通信接口、所述处理器和所述存储器之间通过总线系统相互连接；所述处理器通过读取所述存储器中存储的逻辑指令，执行本申请第一方面所示的防御APT攻击的方法。
利用本申请提供的方案，本申请通过数据联合分析筛选出威胁数据，并将威胁数据映射到对应的APT攻击阶段，以及针对不同的APT攻击阶段采取相应的防御策略，使得APT攻击处理更有针对性，可以更为有效地检测和防御APT攻击。
附图说明
图1是本申请实施例提供的方法流程图；
图2是本申请实施例提供的一种APTDS针对某可疑IP地址的行为轨迹分析示意图；
图3是本申请实施例提供的系统功能模块框图；
图4是本申请实施例提供的图3所示系统的硬件架构图。
具体实施方式
为了使本申请的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本申请进行详细描述。
本申请中提及了击杀链这个概念，击杀链最初来自于军事领域，是指“发现-定位-跟踪-瞄准-攻击-评估”这一完整流程。从击杀链的角度可以将一次APT攻击过程划分为7个阶段：
阶段1：侦查目标(Reconnaissance)，利用社会工程学选定并了解目标网络，并使用扫描技术对目的地的脆弱性进行感知。
阶段2：制作工具(Weaponization)，主要是指制作定向攻击工具，例如带有恶意代码的pdf文件或office文件。
阶段3：传送工具(Delivery)，输送攻击工具到目标系统上，常用的手法包括邮件的附件、网站(挂马)、U盘等。
阶段4：触发工具(Exploitation)，利用目标系统的应用或操作系统漏洞，在目标系统触发攻击工具运行。
阶段5：安装工具(Installation)，远程控制程序(木马、恶意插件等)的安装。
阶段6：建立连接(Command and Control)，与互联网控制器服务器建立通信信道。
阶段7：执行攻击(Actions on Objectives)，执行所需要的攻击行为，例如偷取信息、篡改信息或者进行其它破坏活动。
但上述7个阶段并非每个阶段都能被探测到，比如制作工具阶段，网络上可能没有任何痕迹，所以无从发现。因此，本申请基于现有的击杀链模型，将APT攻击过程重新划分为多个可被探测的APT攻击阶段，并将网络中出现的威胁归类到对应的ATP攻击阶段，针对归类到各个APT攻击阶段的威胁采取针对性的防御策略。
下面通过图1对本申请提供的方法进行描述。
参见图1，为本申请提供的方法流程图，该方法可应用于本申请提供的APT攻击防御系统(APT Defense System，下文简称APTDS)。如图1所示，该方法可包括以下步骤：
步骤101：APTDS获取网络中的通信数据。
在本申请中，通信数据可以包括事件、流量、威胁情报和漏洞数据，进一步的，这里的事件可以包括安全事件、操作系统事件、数据库事件、应用事件和认证事件，这里的流量可以包括与APT攻击有关的原始流量以及用于记录网络访问通信行为的流量日志。
下面分别说明上述各类通信数据的采集过程。需要说明的是，可以是APTDS主动去各通信数据源上去获取通信数据，也可以是各通信数据源主动将新的通信数据发送给APTDS，本申请并不具体限定。
1)事件采集
事件一般来自于具有安全检查功能的实体，比如FW(Firewall，防火墙)、IPS(Intrusion Prevention System，入侵防御系统)、操作系统(如Windows)、数据库、AAA(Authentication,Authorization and Accounting，认证、授权和计费)服务器、应用等，当它们观察到异常情况或者发现需要关注的事件时，便进行相应的记录。
比如，当FW或IPS判断某个源IP(Internet Protocol，网际协议)地址发动DDOS(Distributed Denial of Service，分布式拒绝服务)攻击时，则会将发起DDOS攻击的源IP地址、被攻击对象的IP地址等信息记录为一次安全事件。当AAA服务器检测到某个IP地址正在进行认证时则会将认证情况(如通过与否、是否有猜测密码的行为)记录在本地服务器中作为一次认证事件。当应用检测到威胁应用的行为时，如某个IP地址窃取、修改或删除了该应用的配置数据，则会记录一次应用事件。当数据库检测到威胁数据库的行为时，如权限提升、SQL(Structured Query Language，结构化查询语言)注入，则会记录一次数据库事件。
事件产生之后，上述具有安全检查功能的实体可以通过标准Syslog(一种功能为记录至系统记录的函数)将事件发送至APTDS；或者，上述具有安全检查功能的实体可以将事件记录在本地文件中，并由APTDS通过HTTP(HyperText Transfer Protocol，超文本传输协议)、FTP(File Transfer Protocol，文件传输协议)等协议获取；或者，也可以实现APTDS代理并将其安装在上述具有安全检查功能的实体中来获取事件，并使用APTDS代理和APTDS之间的私有协议(如基于UDP(User Datagram Protocol，用户数据报协议)的私有协议)传送给APTDS。一种APTDS采集到的事件类型及相应的采集点和采集技术如表1所示：
表1
APTDS在获取到事件之后，对事件进行格式标准化处理，即将每条原始事件整理成APTDS内部的标准格式事件，然后写入本地数据库。
2)流量采集
流量采集一方面包括采集与攻击有关的原始流量，作为攻击证据留存和备查；另一方面包括采集用于记录用户网络访问通信行为的流量日志，以用于判断网络中是否存在异常，以及后续的数据分析。
其中，与攻击有关的原始流量的采集，一般是由发出安全事件的实体网络设备，将与某一条攻击有关的事件所对应的原始流量写入到文件中，然后将文件通过FTP上传给APTDS，APTDS接收到文件后保存到本地数据库，以备后用。
流量日志的采集，一般是由FW、IPS或交换机、路由器等网络设备，通过硬件插卡或者设备软件将处理过的流量记录在流量日志中，然后将流量日志发送给APTDS，流量日志常用的格式有NetFlow格式、NetStream格式等。APTDS接收到流量日志，对流量日志进行解析和格式标准化处理后写入本地数据库。
3)威胁情报采集
威胁情报中主要记录了具有威胁性的IP地址、域名、URL(Uniform ResourceLocator，统一资源定位符)，以及事件证据、威胁处置建议等信息。APTDS可以通过STIX(Structured Threat Information eXpression，结构化威胁信息表达式)或TAXII(Trusted Automated eXchangeof Indicator Information)协议与威胁情报源交互，获得威胁情报数据并写入本地数据库。目前国内常用的威胁情报源有微步在线、360安全云等。
APTDS利用威胁情报记录的IP地址、域名和URL，与网络内的事件进行关联，可以更为快速而精准的探知网络内是否存在威胁。
4)漏洞数据采集
在本申请中，考虑到APT攻击往往是利用主机、Web、数据库的漏洞来攻陷目标网络，因此APTDS可以提前进行漏洞扫描来确定网络是否存在容易被APT攻击所利用的弱点，漏洞扫描内容包括主机、Web、数据库、网络设备上的漏洞以及主机中的非法程序，常见的弱点包括系统配置不完善、系统补丁更新不及时、存在弱口令、存在不应该安装的软件或者不应该出现的进程等。
APTDS可以作为漏洞扫描服务器实施漏洞扫描操作获取扫描结果，也可以通过漏洞扫描软件提供的对外接口获取漏洞扫描软件的扫描结果。APTDS获得扫描结果后将其写入本地数据库。
步骤102：APTDS对通信数据进行关联分析，根据关联分析结果筛选出通信数据中的威胁数据。
关联分析是一种数据融合技术，研究数据之间的相互关系，用于对多源数据进行联合、相关和组合，降低威胁数据的漏报率和误报率。
例如，通过威胁情报中记录的IP地址、域名和URL，可以从通信数据中筛选出涉及相同IP地址、相同域名或相同URL的事件和流量日志记录，标记为威胁数据。
又例如，通过关键词检索可以从流量日志中筛选出涉及敏感词汇的日志记录，再通过日志记录中记载的源IP地址、源端口等信息可以从通信数据中筛选出与之关联的事件，标记为威胁数据。
步骤103：APTDS将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，其中，APT攻击阶段根据击杀链模型进行定义。
如前文所述，本申请基于已有的击杀链模型，预先将APT攻击过程划分为多个可被探测的APT攻击阶段。对于筛选出的每一威胁数据，APTDS根据威胁数据的特征将其纳入对应的APT攻击阶段。
将APT攻击过程为多个APT攻击阶段有很多种实现方式，这里简单举一种实现方式：
一种可选的方式是将APT攻击过程划分为以下5个阶段：
1)环境感知阶段，为检测到网络中存在容易被攻击者利用的漏洞。
由于APT攻击往往是利用主机、Web、数据库的漏洞来攻陷目标网络，因此APTDS可以根据提前进行漏洞扫描，根据扫描得到的漏洞数据确定网络中是否存在容易被攻击者利用的漏洞。如果威胁数据包括漏洞数据，则APTDS可以将威胁数据中的漏洞数据映射到环境感知阶段。
2)勘察及嗅探阶段，为攻击者探测被攻击对象否存在漏洞。
由于攻击者可能会使用系统扫描、端口扫描、漏洞扫描、协议扫描等行为，来确认被攻击对象是否存在漏洞、是否有可能被攻击。因此APTDS通过筛选威胁数据包括的事件的事件类型(比如端口扫描、超量ping报文等)，将其中与内网扫描行为相关的事件映射到勘察及嗅探阶段。
3)定向攻击阶段，为攻击者对被攻击对象发动攻击。
攻击者对被攻击对象发动攻击时，往往是通过一些手段企图登录到被攻击对象或者对被攻击对象实施DOS攻击等破坏活动，比如，主机爆破、Ping to dealth、ICMP(Internet Control Message Protocol，Internet控制报文协议)泛洪等。这些攻击可以由FW发现并上报给APTDS，APTDS可以将威胁数据中包括的这些类型的事件统一映射到定向攻击阶段。
4)工具安装阶段，为攻击者利用被攻击对象的漏洞向被攻击对象植入攻击工具。
攻击者利用被攻击对象的漏洞植入攻击工具的行为，可以由IPS或WAF(WebAppllication Firewall，Web应用防火墙)设备发现并上报给APTDS，APTDS可以将威胁数据中涉及扩展脚本攻击、缓冲区溢出攻击、SQL注入攻击的事件统一映射到工具安装阶段。
5)可疑活动阶段，为攻击者控制被攻击对象获取网络中的数据或者进行其它破坏活动。
此阶段涉及的攻击一般有蠕虫攻击、间谍软件攻击、非法数据传输等。蠕虫攻击、间谍软件攻击等可以由IPS发现并上报给APTDS，另外APTDS通过分析采集到的流量日志可以判断是否有非法数据传输，比如，内部的工资文件不允许传给国外网站，但是APTDS审计到该工资文件被传输到国外某个IP地址，则APTDS可以认为这是一起非法数据传输事件。APTDS可以将威胁数据中涉及蠕虫攻击、间谍软件攻击、非法数据传输的事件统一映射到可疑活动阶段。
对威胁数据进行识别和APT攻击阶段映射后，APTDS可以将各APT攻击阶段映射到的威胁数据进行统计和界面呈现。例如，APTDS可以将一天分为设定的多个时间段，界面上的每个特定位置的圆点，表示在对应日期的对应时间段内出现了对应APT攻击阶段的威胁数据；圆点的面积越大，表明统计到的威胁数据的数量越多。
步骤104：APTDS根据与上述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
本申请中，针对预先划分好的多个APT攻击阶段，还分别定义了对应的防御策略。
例如，针对上述列举的将APT攻击过程划分为环境感知阶段、勘察及嗅探阶段、定向攻击阶段、工具安装阶段、可疑活动阶段等5个阶段的划分方式，可以在APTDS上预先定义如下防御策略：
1)如果有威胁数据映射到环境感知阶段，则APTDS可以根据该威胁数据确定存在漏洞的网络实体，并产生漏洞告警，提示用户对确定出的网络实体执行打补丁、消除不安全配置、杀毒等操作。
2)如果有威胁数据映射到勘察及嗅探阶段，则APTDS可以下发设定的ACL(AccessControl List，访问控制列表)或安全策略给FW和IPS，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器(如Windows服务器、Linux服务器等)的黑名单。其中，APTDS和FW、IPS之间的通信协议可以是Telnet、SSH或NetConf(网络配置协议)。APTDS可以通过REST(REpresentational State Transfer，表述性状态转移)API(ApplicationProgramming Interface,应用程序编程接口)配置AAA服务器。
3)如果有威胁数据映射到定向攻击阶段，则APTDS可以下发设定的ACL或安全策略给FW和IPS，以及加固AAA服务器和其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单。其中，加固AAA服务器和其它服务器的操作可以通过为服务器打补丁实现。
4)如果有威胁数据映射到工具安装阶段，则APTDS可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，下发WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单。其中，APTDS可以通过RESTAPI配置WAF设备。
5)如果有威胁数据映射到可疑活动阶段，则APTDS可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器即其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单。
至此，完成图1所示的流程。
通过图1所示的流程可以看出，本申请收集了事件、流量、威胁情报和漏洞数据等多源数据，在数据采集上更为全面；通过数据联合分析筛选出威胁数据，并将威胁数据映射到对应的APT攻击阶段，以及针对不同的APT攻击阶段采取相应的防御策略，使得APT攻击处理更有针对性，可以更为有效地检测和防御APT攻击。
在本申请中，APTDS针对获得的网络中的通信数据，还可以进行以下一种或多种分析，以对APT攻击进行更为全面的刻画和呈现：
1)行为轨迹分析
针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，APTDS可以确定出该威胁数据涉及的可疑IP地址，然后在获取的所有通信数据中查询与该可疑IP地址关联的事件和流量日志，最后将查询到的事件和流量日志按照时间顺序呈现。
如此，可以将与该可疑IP地址相关的所有通信数据都筛选出并串联形成完整的APT攻击时间链。
请参见图2，图2为本例示出的一种APTDS针对某可疑IP地址的行为轨迹分析示意图。从图2可以看到，APTDS的行为轨迹分析可以将多个数据源、多种类型的事件或日志数据进行整合，并从可疑IP地址的视角呈现与其相关的所有事件和日志数据，其中可能包括在筛选威胁数据时遗漏的数据(如图2中的08:02:13的AAA认证成功事件和08:02:18的登陆10.153.89.82成功的事件)。
2)多维度分析
APTDS每天收集到的通信数据可能多达数十万条，用户可能没有时间去关注每条通信数据，于是APTDS可以从不同的维度对这些通信数据展开分析，以用于网络风险评估和产生安全告警，从而有利于用户全面感知网内安全情况和APT攻击状况。具体地，可以有以下几种维度：
一、事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件。
一方面，事件关系分析可以用于分析定向爆破、DDOS攻击、可疑提权行为等安全事件与其它类型事件之间的关系。例如，假设防火墙在t1时刻上报网络中存在DDOS攻击，APTDS通过正则表达式，在本地数据库中查询在t1时刻之后上报的、与该DDOS攻击的攻击目标IP地址相关的事件，如果APTDS查询到一操作系统事件，该操作系统事件用于上报某主机的CPU(Central Processing Unit，中央处理器)利用率过高，且该主机的IP地址与该DDOS攻击的目标攻击IP地址相同，则APTDS可以确认该DDOS攻击已经成功。
另一方面，事件关系分析还可以用于分析威胁情报数据与网内事件之间的关系。例如，只要APTDS发现网内出现与威胁情报源发布的恶意IP地址、恶意域名或恶意URL相关的事件，便立即产生安全告警。
二、APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行趋势分析和饼图分析。
APTDS可以确定待研究的APT攻击阶段，从本地数据库中抽取映射到该APT攻击阶段的历史威胁数据，抽取时可以抽取全部的历史威胁数据，也可以只抽取设定时间段内的历史威胁数据。之后，APTDS可以从不同的研究角度对威胁数据进行组织和呈现，该研究角度可以由用户通过APTDS的接口配置。
例如，如果要研究定向攻击在未来某个时间的发生次数，则APTDS可以从本地数据库中抽取连续多天的映射到定向攻击阶段的威胁数据，通过已有的趋势分析手段如趋势线，得到与定向攻击阶段相关的威胁数据的增减变动方向和幅度，进而得到定向攻击在未来可能的发生次数。如果要研究定向攻击的来源，则APTDS可以基于抽取的与定向攻击阶段相关的威胁数据，将相关网段发起定向攻击次数的统计结果以饼图方式呈现，从而提示用户对发动定向攻击次数较多的网段进行排查。
三、主机维度分析，用于对通信数据中的操作系统事件进行统计分析和趋势分析。
APTDS可以从本地数据库中抽取操作系统事件，并从不同的研究角度对操作系统事件进行组织和呈现。
例如，可以从事件级别(如警告级别、通知级别、错误级别等)的角度，或是从事件类型(如登陆操作系统、注销操作系统、增加账号、修改账号等)的角度，或是从操作系统类型(如Windows系统、Linux系统等)的角度，分别将抽取的通信数据进行归类，并可以基于归类结果绘制饼状图，得到不同角度下各类操作系统事件的百分比。
四、应用维度分析，用于对通信数据中的应用事件进行统计分析和趋势分析。
APTDS可以抽取网络内应用上报的应用事件，并从不同的研究角度对抽取的应用事件进行组织和呈现。
例如，可以抽取事件级别为错误级别或警告级别的应用事件，并从应用类型(如社交应用类、地图导航类、通话通讯类、网购支付类等)的角度，将抽取的应用事件进行归类和统计，得到哪种类型的应用最容易受到攻击，以提示用户加强对该类型应用的保护。
五、数据库维度分析，用于对通信数据中的数据库事件进行统计分析和趋势分析。
APTDS可以抽取网络内数据库上报的数据库事件，并从不同的研究角度对抽取的数据库事件进行组织和呈现。
例如，可以抽取事件级别为错误级别或警告级别的数据库事件，并从威胁类型(如权限滥用、权限提升、SQL注入、身份验证不足、备份数据暴露等)的角度，将抽取的数据库事件进行归类和统计，得到各数据库威胁类型下的数据库事件的发生次数，以提示用户哪种类型的威胁对数据库的影响最大。
以上对本申请提供的方法进行了描述。下面对本申请提供的系统进行描述。
参见图3，图3为本申请提供的一种防御APT攻击的系统的功能模块框图，可以包括以下单元：
数据获取单元301，用于获取网络中的通信数据。
数据关联单元302，用于对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据。
击杀链分析单元303，用于将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，所述APT攻击阶段根据击杀链模型进行定义。
防御部署单元304，用于根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
可选的，所述APT攻击阶段可以包括：环境感知阶段，为检测到网络中存在容易被攻击者利用的漏洞；勘察及嗅探阶段，为攻击者探测被攻击对象否存在漏洞；定向攻击阶段，为攻击者对被攻击对象发动攻击；工具安装阶段，为攻击者利用被攻击对象的漏洞向被攻击对象植入攻击工具；可疑活动阶段，为攻击者控制被攻击对象获取网络中的数据或者进行其它破坏活动。
可选的，所述通信数据可以包括事件、流量、威胁情报和漏洞数据；所述事件可以包括安全事件、操作系统事件、数据库事件、应用事件、认证事件；所述流量可以包括与攻击有关的原始流量、用于记录网络访问通信行为的流量日志。
可选的，所述防御策略可以为：如果有威胁数据映射到环境感知阶段，则所述防御部署单元304可以根据该威胁数据确定存在漏洞的网络实体，并对确定出的网络实体执行打补丁、消除不安全配置、杀毒的操作；如果有威胁数据映射到勘察及嗅探阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；如果有威胁数据映射到定向攻击阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；如果有威胁数据映射到工具安装阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，下发WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；如果有威胁数据映射到可疑活动阶段，则所述防御部署单元304可以下发设定的ACL或安全策略给FW和IPS，加固AAA服务器及其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单。
可选的，所述系统还可以包括：
行为轨迹分析单元，用于针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，确定该威胁数据涉及的可疑IP地址；在所述通信数据中查询与该可疑IP地址关联的事件和流量日志；将查询到的事件和流量日志按照时间顺序呈现。
可选的，所述系统还可以包括：
多维度分析单元，用于执行以下至少一种分析，以用于网络风险评估和产生安全告警；
所述至少一种分析包括：
事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件；
APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行趋势分析和饼图分析；
主机维度分析，用于对所述通信数据中的操作系统事件进行统计分析和趋势分析；
应用维度分析，用于对所述通信数据中的应用事件进行统计分析和趋势分析；
数据库维度分析，用于对所述通信数据中的数据库事件进行统计分析和趋势分析。
至此，完成图3所示系统的描述。
对应地，本申请还提供了图3所示系统的硬件结构。参见图4，图4为本申请提供的图3所示系统的硬件结构示意图，该系统包括：通信接口401、处理器402、存储器403和总线404；其中，通信接口401、处理器402、存储器403通过总线404完成相互间的通信。
其中，通信接口401，用于与网元通信，如与网元通信获得该网元的通信数据、在该网元上配置防御策略等。处理器402可以是一个CPU，存储器403可以是非易失性存储器(non-volatile memory)，并且存储器403中存储有防御APT攻击的逻辑指令，处理器402可以执行存储器403中存储的防御APT攻击的逻辑指令，以实现上述防御APT攻击的方法中APTDS的功能，参见图1所示的流程。
如图4所示，该硬件结构还可以包括一个电源组件被配置为执行系统的电源管理405，和一个输入输出(I/O)接口406。
至此，完成图4所示的硬件结构描述。
以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (12)

1.一种防御高级持续性威胁APT攻击的方法，其特征在于，包括：
获取网络中的通信数据；
对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；
将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，所述APT攻击阶段根据击杀链模型进行定义；
根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
2.如权利要求1所述的方法，其特征在于，所述APT攻击阶段包括：
环境感知阶段，为检测到网络中存在容易被攻击者利用的漏洞；
勘察及嗅探阶段，为攻击者探测被攻击对象否存在漏洞；
定向攻击阶段，为攻击者对被攻击对象发动攻击；
工具安装阶段，为攻击者利用被攻击对象的漏洞向被攻击对象植入攻击工具；
可疑活动阶段，为攻击者控制被攻击对象获取网络中的数据或者进行其它破坏活动。
3.如权利要求1所述的方法，其特征在于，所述通信数据包括事件、流量、威胁情报和漏洞数据；
所述事件包括安全事件、操作系统事件、数据库事件、应用事件、认证事件；
所述流量包括与攻击有关的原始流量、用于记录网络访问通信行为的流量日志。
4.如权利要求2所述的方法，其特征在于，所述防御策略为：
如果有威胁数据映射到环境感知阶段，则根据该威胁数据确定存在漏洞的网络实体，并对确定出的网络实体执行打补丁、消除不安全配置、杀毒的操作；
如果有威胁数据映射到勘察及嗅探阶段，则下发设定的访问控制列表ACL或安全策略给防火墙FW和入侵防御系统IPS，以及将该威胁数据涉及的攻击者的网际协议IP地址加入FW、AAA服务器和其它服务器的黑名单；
如果有威胁数据映射到定向攻击阶段，则下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；
如果有威胁数据映射到工具安装阶段，则下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，下发网站应用防火墙WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；
如果有威胁数据映射到可疑活动阶段，则下发设定的ACL或安全策略给FW和IPS，加固AAA服务器及其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单。
5.如权利要求2所述的方法，其特征在于，所述方法还包括：
针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，确定该威胁数据涉及的可疑IP地址；
在所述通信数据中查询与该可疑IP地址关联的事件和流量日志；
将查询到的事件和流量日志按照时间顺序呈现。
6.如权利要求3所述的方法，其特征在于，所述方法还包括：
执行以下至少一种分析，以用于网络风险评估和产生安全告警；
所述至少一种分析包括：
事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件；
APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行趋势分析和饼图分析；
主机维度分析，用于对所述通信数据中的操作系统事件进行统计分析和趋势分析；
应用维度分析，用于对所述通信数据中的应用事件进行统计分析和趋势分析；
数据库维度分析，用于对所述通信数据中的数据库事件进行统计分析和趋势分析。
7.一种防御高级持续性威胁APT攻击的系统，其特征在于，包括：
数据获取单元，用于获取网络中的通信数据；
数据关联单元，用于对所述通信数据进行关联分析，根据关联分析结果筛选出所述通信数据中的威胁数据；
击杀链分析单元，用于将筛选出的每一威胁数据分别映射到对应的APT攻击阶段，所述APT攻击阶段根据击杀链模型进行定义；
防御部署单元，用于根据与所述多个APT攻击阶段对应的防御策略，对每一威胁数据有关的网络实体进行防御。
8.如权利要求7所述的系统，其特征在于，所述APT攻击阶段包括：
环境感知阶段，为检测到网络中存在容易被攻击者利用的漏洞；
勘察及嗅探阶段，为攻击者探测被攻击对象否存在漏洞；
定向攻击阶段，为攻击者对被攻击对象发动攻击；
工具安装阶段，为攻击者利用被攻击对象的漏洞向被攻击对象植入攻击工具；
可疑活动阶段，为攻击者控制被攻击对象获取网络中的数据或者进行其它破坏活动。
9.如权利要求7所述的系统，其特征在于，所述通信数据包括事件、流量、威胁情报和漏洞数据；
所述事件包括安全事件、操作系统事件、数据库事件、应用事件、认证事件；
所述流量包括与攻击有关的原始流量、用于记录网络访问通信行为的流量日志。
10.如权利要求8所述的系统，其特征在于，所述防御策略为：
如果有威胁数据映射到环境感知阶段，则所述防御部署单元根据该威胁数据确定存在漏洞的网络实体，并对确定出的网络实体执行打补丁、消除不安全配置、杀毒的操作；
如果有威胁数据映射到勘察及嗅探阶段，则所述防御部署单元下发设定的访问控制列表ACL或安全策略给防火墙FW和入侵防御系统IPS，以及将该威胁数据涉及的攻击者的网际协议IP地址加入FW、AAA服务器和其它服务器的黑名单；
如果有威胁数据映射到定向攻击阶段，则所述防御部署单元下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；
如果有威胁数据映射到工具安装阶段，则所述防御部署单元下发设定的ACL或安全策略给FW和IPS，加固AAA服务器和其它服务器，下发网站应用防火墙WAF策略给WAF设备，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单；
如果有威胁数据映射到可疑活动阶段，则所述防御部署单元下发设定的ACL或安全策略给FW和IPS，加固AAA服务器及其它服务器，以及将该威胁数据涉及的攻击者的IP地址加入FW、AAA服务器和其它服务器的黑名单。
11.如权利要求8所述的系统，其特征在于，所述系统还包括：
行为轨迹分析单元，用于针对映射到勘察及嗅探阶段、定向攻击阶段、工具安装阶段或可疑活动阶段的每一威胁数据，确定该威胁数据涉及的可疑IP地址；在所述通信数据中查询与该可疑IP地址关联的事件和流量日志；将查询到的事件和流量日志按照时间顺序呈现。
12.如权利要求9所述的系统，其特征在于，所述系统还包括：
多维度分析单元，用于执行以下至少一种分析，以用于网络风险评估和产生安全告警；
所述至少一种分析包括：
事件关系分析，用于对事件类型不同、涉及的被攻击对象的IP地址相同的多个事件进行关联；以及根据威胁情报中记录的IP地址、域名或统一资源定位符URL，查找涉及相同IP地址、相同域名或相同URL的事件；
APT攻击阶段数据挖掘分析，用于对映射到同一APT攻击阶段的威胁数据分别进行趋势分析和饼图分析；
主机维度分析，用于对所述通信数据中的操作系统事件进行统计分析和趋势分析；
应用维度分析，用于对所述通信数据中的应用事件进行统计分析和趋势分析；
数据库维度分析，用于对所述通信数据中的数据库事件进行统计分析和趋势分析。
CN201710188038.XA 2017-03-27 2017-03-27 一种防御apt攻击的方法和系统 Active CN108259449B (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201710188038.XA CN108259449B (zh) 2017-03-27 2017-03-27 一种防御apt攻击的方法和系统
EP18774308.3A EP3588898B1 (en) 2017-03-27 2018-03-23 Defense against apt attack
PCT/CN2018/080223 WO2018177210A1 (zh) 2017-03-27 2018-03-23 防御apt攻击
US16/498,371 US11405419B2 (en) 2017-03-27 2018-03-23 Preventing advanced persistent threat attack
JP2019552980A JP6894003B2 (ja) 2017-03-27 2018-03-23 Ａｐｔ攻撃に対する防御

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710188038.XA CN108259449B (zh) 2017-03-27 2017-03-27 一种防御apt攻击的方法和系统

Publications (2)

Publication Number Publication Date
CN108259449A true CN108259449A (zh) 2018-07-06
CN108259449B CN108259449B (zh) 2020-03-06

Family

ID=62721770

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710188038.XA Active CN108259449B (zh) 2017-03-27 2017-03-27 一种防御apt攻击的方法和系统

Country Status (5)

Country Link
US (1) US11405419B2 (zh)
EP (1) EP3588898B1 (zh)
JP (1) JP6894003B2 (zh)
CN (1) CN108259449B (zh)
WO (1) WO2018177210A1 (zh)

Cited By (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109067815A (zh) * 2018-11-06 2018-12-21 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
CN109088899A (zh) * 2018-10-30 2018-12-25 福州大学 一种针对xss攻击的apt预警方法
CN109660539A (zh) * 2018-12-20 2019-04-19 北京神州绿盟信息安全科技股份有限公司 失陷设备识别方法、装置、电子设备及存储介质
CN110149319A (zh) * 2019-04-26 2019-08-20 北京奇安信科技有限公司 Apt组织的追踪方法及装置、存储介质、电子装置
CN110191118A (zh) * 2019-05-28 2019-08-30 哈尔滨工程大学 一种面向网络安全设备的统一指控方法及系统
CN110602042A (zh) * 2019-08-07 2019-12-20 中国人民解放军战略支援部队信息工程大学 基于级联攻击链模型的apt攻击行为分析检测方法及装置
CN111147504A (zh) * 2019-12-26 2020-05-12 深信服科技股份有限公司 威胁检测方法、装置、设备和存储介质
CN111880884A (zh) * 2020-07-30 2020-11-03 北京微步在线科技有限公司 一种告警显示系统及显示方法
CN112152962A (zh) * 2019-06-26 2020-12-29 北京观成科技有限公司 一种威胁检测方法及系统
CN112291260A (zh) * 2020-11-12 2021-01-29 福建奇点时空数字科技有限公司 一种面向apt攻击的网络安全威胁隐蔽目标识别方法
CN112532631A (zh) * 2020-11-30 2021-03-19 深信服科技股份有限公司 一种设备安全风险评估方法、装置、设备及介质
CN112565300A (zh) * 2020-12-25 2021-03-26 联通(广东)产业互联网有限公司 基于行业云黑客攻击识别与封堵方法、系统、装置及介质
CN112702300A (zh) * 2019-10-22 2021-04-23 华为技术有限公司 一种安全漏洞的防御方法和设备
CN112822147A (zh) * 2019-11-18 2021-05-18 上海云盾信息技术有限公司 一种用于分析攻击链的方法、系统及设备
CN113037713A (zh) * 2021-02-07 2021-06-25 深信服科技股份有限公司 网络攻击的对抗方法、装置、设备及存储介质
CN113037785A (zh) * 2021-05-26 2021-06-25 杭州海康威视数字技术股份有限公司 多层次全周期物联网设备僵尸网络防御方法、装置及设备
CN113169968A (zh) * 2018-11-30 2021-07-23 思科技术公司 协同dns安全性更新
CN113557483A (zh) * 2019-03-29 2021-10-26 欧姆龙株式会社 控制系统及设定方法
CN113661693A (zh) * 2019-04-18 2021-11-16 国际商业机器公司 经由日志检测敏感数据暴露
CN113992454A (zh) * 2021-12-30 2022-01-28 北京微步在线科技有限公司 一种攻击溯源方法及装置
CN114205166A (zh) * 2021-12-17 2022-03-18 浙江泰嘉光电科技有限公司 病毒防护系统
CN114584351A (zh) * 2022-02-21 2022-06-03 北京恒安嘉新安全技术有限公司 一种监控方法、装置、电子设备以及存储介质
CN114697052A (zh) * 2020-12-25 2022-07-01 北京千里日成科技有限公司 网络防护方法及装置
CN114726623A (zh) * 2022-04-08 2022-07-08 北京天融信网络安全技术有限公司 一种高级威胁攻击评估方法、装置、电子设备及存储介质
CN114866330A (zh) * 2022-05-25 2022-08-05 南昌市鼎强智能科技有限公司 采用ai和大数据分析的威胁攻击防护决策方法及ai系统
CN115001868A (zh) * 2022-08-01 2022-09-02 北京微步在线科技有限公司 Apt攻击同源分析方法、装置、电子设备及存储介质
CN115643116A (zh) * 2022-12-23 2023-01-24 北京六方云信息技术有限公司 网络设备的防护方法、系统、终端设备以及存储介质
CN116996326A (zh) * 2023-09-26 2023-11-03 国网江西省电力有限公司信息通信分公司 基于蜜网的协同式主动防御方法
CN113139180B (zh) * 2020-01-20 2023-12-01 中国电信股份有限公司 注入攻击检测模型生成装置、注入攻击检测装置及方法
CN117411669A (zh) * 2023-09-14 2024-01-16 广州大学 一种基于时间卷积网络的apt攻击阶段检测方法、系统、介质及设备

Families Citing this family (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10812521B1 (en) * 2018-08-10 2020-10-20 Amazon Technologies, Inc. Security monitoring system for internet of things (IOT) device environments
CN109922069B (zh) * 2019-03-13 2020-12-25 中国科学技术大学 高级持续性威胁的多维关联分析方法及系统
CN110191083B (zh) * 2019-03-20 2020-09-25 中国科学院信息工程研究所 面向高级持续性威胁的安全防御方法、装置与电子设备
CN111030973B (zh) * 2019-03-29 2023-02-24 安天科技集团股份有限公司 一种基于标识文件定位攻击的方法、装置及存储设备
US11334666B2 (en) * 2019-04-15 2022-05-17 Qualys Inc. Attack kill chain generation and utilization for threat analysis
US11343263B2 (en) * 2019-04-15 2022-05-24 Qualys, Inc. Asset remediation trend map generation and utilization for threat mitigation
CN110224947A (zh) * 2019-06-05 2019-09-10 东软集团股份有限公司 一种多核转发系统中的报文处理方法、装置及设备
CN110677400B (zh) * 2019-09-20 2020-09-29 武汉思普崚技术有限公司 一种局域网环境中主机和服务的攻击暴露面分析方法及系统
CN111104670B (zh) * 2019-12-11 2023-09-01 国网甘肃省电力公司电力科学研究院 一种apt攻击的识别和防护方法
CN111339398A (zh) * 2019-12-19 2020-06-26 杭州安恒信息技术股份有限公司 一种多元化大数据情报分析系统及其分析方法
US11729198B2 (en) * 2020-05-21 2023-08-15 Tenable, Inc. Mapping a vulnerability to a stage of an attack chain taxonomy
CN113486351A (zh) * 2020-06-15 2021-10-08 中国民用航空局空中交通管理局 一种民航空管网络安全检测预警平台
CN114257391B (zh) * 2020-09-24 2024-01-26 中国电信股份有限公司 风险评估方法、装置及计算机可读存储介质
JP7427574B2 (ja) 2020-11-30 2024-02-05 株式会社日立製作所 状態診断装置、及び状態診断方法
CN114697057B (zh) * 2020-12-28 2023-02-10 华为技术有限公司 获取编排剧本信息的方法、装置及存储介质
US20220286475A1 (en) * 2021-03-08 2022-09-08 Tenable, Inc. Automatic generation of vulnerabity metrics using machine learning
CN113364750B (zh) * 2021-05-26 2022-06-24 浙江工业大学 一种基于Snort和OpenFlow启发式诱导APT攻击引入蜜罐的方法
CN113452700B (zh) 2021-06-25 2022-12-27 阿波罗智联(北京)科技有限公司 处理安全信息的方法、装置、设备以及存储介质
CN113746832B (zh) * 2021-09-02 2022-04-29 华中科技大学 多方法混合的分布式apt恶意流量检测防御系统及方法
CN113868656B (zh) * 2021-09-30 2022-05-13 中国电子科技集团公司第十五研究所 一种基于行为模式的apt事件同源判定方法
CN114143064A (zh) * 2021-11-26 2022-03-04 国网四川省电力公司信息通信公司 一种多源网络安全告警事件溯源与自动处置方法及装置
US11874933B2 (en) 2021-12-29 2024-01-16 Qualys, Inc. Security event modeling and threat detection using behavioral, analytical, and threat intelligence attributes
CN114363036B (zh) * 2021-12-30 2023-05-16 绿盟科技集团股份有限公司 一种网络攻击路径获取方法、装置及电子设备
US20230224275A1 (en) * 2022-01-12 2023-07-13 Bank Of America Corporation Preemptive threat detection for an information system
CN115801306A (zh) * 2022-03-07 2023-03-14 王俊文 应用于人工智能的数据处理方法及服务器
CN115225304B (zh) * 2022-03-24 2023-05-05 国家计算机网络与信息安全管理中心 一种基于概率图模型的网络攻击路径预测方法及系统
CN114915452B (zh) * 2022-04-11 2022-12-06 中国信息通信研究院 一种网络实体威胁标签的标定方法、系统及存储介质
CN114760140A (zh) * 2022-04-21 2022-07-15 湖南三湘银行股份有限公司 一种基于聚类分析的apt攻击溯源图分析方法及装置
CN114928493B (zh) * 2022-05-23 2023-04-21 禅境科技股份有限公司 基于威胁攻击大数据的威胁情报生成方法及ai安全系统
CN114866329B (zh) * 2022-05-24 2023-02-07 北京皓宽网络科技有限公司 应用ai和大数据分析的威胁态势预测方法及威胁感知系统
CN115001849B (zh) * 2022-07-06 2023-11-10 湖北集防科技有限公司 针对大数据安全漏洞挖掘的漏洞修复方法及漏洞修复系统
CN115208684B (zh) * 2022-07-26 2023-03-14 中国电子科技集团公司第十五研究所 一种基于超图关联的apt攻击线索拓展方法和装置
CN115473675B (zh) * 2022-08-08 2024-05-14 永信至诚科技集团股份有限公司 一种网络安全态势感知方法、装置、电子设备及介质
CN115664708A (zh) * 2022-09-16 2023-01-31 深信服科技股份有限公司 一种攻击确定方法、装置、设备及介质
CN116319077B (zh) * 2023-05-15 2023-08-22 鹏城实验室 网络攻击检测方法和装置、设备、存储介质和产品
CN116506208B (zh) * 2023-05-17 2023-12-12 河南省电子信息产品质量检验技术研究院 一种基于局域网内计算机软件信息安全维护系统
CN116506225A (zh) * 2023-06-27 2023-07-28 武汉中科通达高新技术股份有限公司 协作式DDoS攻击检测方法、系统、设备及存储介质
CN116827697B (zh) * 2023-08-30 2023-11-03 北京安天网络安全技术有限公司 网络攻击事件的推送方法、电子设备及存储介质

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101610174A (zh) * 2009-07-24 2009-12-23 深圳市永达电子股份有限公司 一种日志关联分析系统与方法
CN103916385A (zh) * 2014-03-13 2014-07-09 南京理工大学 一种基于智能算法的waf安全监测系统
CN103916406A (zh) * 2014-04-25 2014-07-09 上海交通大学 一种基于dns日志分析的apt攻击检测系统和方法
CN104283889A (zh) * 2014-10-20 2015-01-14 国网重庆市电力公司电力科学研究院 基于网络架构的电力系统内部apt攻击检测及预警系统
US20150096024A1 (en) * 2013-09-30 2015-04-02 Fireeye, Inc. Advanced persistent threat (apt) detection center
CN105024976A (zh) * 2014-04-24 2015-11-04 中国移动通信集团山西有限公司 一种高级持续威胁攻击识别方法及装置
WO2016089567A1 (en) * 2014-12-01 2016-06-09 Empow Cyber Security Ltd. A cyber-security system and methods thereof for detecting and mitigating advanced persistent threats
US20160300227A1 (en) * 2015-04-13 2016-10-13 Ciena Corporation Systems and methods for tracking, predicting, and mitigating advanced persistent threats in networks
CN106209867A (zh) * 2016-07-15 2016-12-07 北京元支点信息安全技术有限公司 一种高级威胁防御方法及系统
CN106357689A (zh) * 2016-11-07 2017-01-25 北京奇虎科技有限公司 威胁数据的处理方法及系统
US20170070518A1 (en) * 2014-05-23 2017-03-09 Trend Micro Incorporated Advanced persistent threat identification

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3999188B2 (ja) 2003-10-28 2007-10-31 富士通株式会社 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
US9310323B2 (en) * 2009-05-16 2016-04-12 Rapiscan Systems, Inc. Systems and methods for high-Z threat alarm resolution
US10069854B2 (en) * 2012-11-17 2018-09-04 The Trustees Of Columbia University In The City Of New York Methods, systems and media for evaluating layered computer security products
JP6104149B2 (ja) 2013-12-24 2017-03-29 三菱電機株式会社 ログ分析装置及びログ分析方法及びログ分析プログラム
US10084813B2 (en) * 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
WO2016064919A1 (en) * 2014-10-21 2016-04-28 Abramowitz Marc Lauren Dynamic security rating for cyber insurance products
US9654485B1 (en) * 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9699205B2 (en) * 2015-08-31 2017-07-04 Splunk Inc. Network security system
US20170223030A1 (en) * 2016-01-29 2017-08-03 Splunk Inc. Detection of security transactions
US10270789B2 (en) * 2016-01-29 2019-04-23 Acalvio Technologies, Inc. Multiphase threat analysis and correlation engine
US10812499B2 (en) * 2017-11-09 2020-10-20 Accenture Global Solutions Limited Detection of adversary lateral movement in multi-domain IIOT environments
CN107888607B (zh) * 2017-11-28 2020-11-06 新华三技术有限公司 一种网络威胁检测方法、装置及网络管理设备

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101610174A (zh) * 2009-07-24 2009-12-23 深圳市永达电子股份有限公司 一种日志关联分析系统与方法
US20150096024A1 (en) * 2013-09-30 2015-04-02 Fireeye, Inc. Advanced persistent threat (apt) detection center
CN103916385A (zh) * 2014-03-13 2014-07-09 南京理工大学 一种基于智能算法的waf安全监测系统
CN105024976A (zh) * 2014-04-24 2015-11-04 中国移动通信集团山西有限公司 一种高级持续威胁攻击识别方法及装置
CN103916406A (zh) * 2014-04-25 2014-07-09 上海交通大学 一种基于dns日志分析的apt攻击检测系统和方法
US20170070518A1 (en) * 2014-05-23 2017-03-09 Trend Micro Incorporated Advanced persistent threat identification
CN104283889A (zh) * 2014-10-20 2015-01-14 国网重庆市电力公司电力科学研究院 基于网络架构的电力系统内部apt攻击检测及预警系统
WO2016089567A1 (en) * 2014-12-01 2016-06-09 Empow Cyber Security Ltd. A cyber-security system and methods thereof for detecting and mitigating advanced persistent threats
US20160300227A1 (en) * 2015-04-13 2016-10-13 Ciena Corporation Systems and methods for tracking, predicting, and mitigating advanced persistent threats in networks
CN106209867A (zh) * 2016-07-15 2016-12-07 北京元支点信息安全技术有限公司 一种高级威胁防御方法及系统
CN106357689A (zh) * 2016-11-07 2017-01-25 北京奇虎科技有限公司 威胁数据的处理方法及系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
吴鹏等: "基于APT攻击链的网络安全态势感知", 《电信工程技术与标准化》 *
程三军等: "APT攻击原理及防护技术分析", 《信息网络安全》 *

Cited By (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109088899A (zh) * 2018-10-30 2018-12-25 福州大学 一种针对xss攻击的apt预警方法
CN109067815B (zh) * 2018-11-06 2021-11-19 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
CN109067815A (zh) * 2018-11-06 2018-12-21 深信服科技股份有限公司 攻击事件溯源分析方法、系统、用户设备及存储介质
CN113169968A (zh) * 2018-11-30 2021-07-23 思科技术公司 协同dns安全性更新
CN113169968B (zh) * 2018-11-30 2023-08-08 思科技术公司 协同dns安全性更新
CN109660539A (zh) * 2018-12-20 2019-04-19 北京神州绿盟信息安全科技股份有限公司 失陷设备识别方法、装置、电子设备及存储介质
CN109660539B (zh) * 2018-12-20 2020-12-25 北京神州绿盟信息安全科技股份有限公司 失陷设备识别方法、装置、电子设备及存储介质
CN113557483A (zh) * 2019-03-29 2021-10-26 欧姆龙株式会社 控制系统及设定方法
CN113661693B (zh) * 2019-04-18 2023-11-17 勤达睿公司 经由日志检测敏感数据暴露
CN113661693A (zh) * 2019-04-18 2021-11-16 国际商业机器公司 经由日志检测敏感数据暴露
CN110149319A (zh) * 2019-04-26 2019-08-20 北京奇安信科技有限公司 Apt组织的追踪方法及装置、存储介质、电子装置
CN110149319B (zh) * 2019-04-26 2021-11-23 奇安信科技集团股份有限公司 Apt组织的追踪方法及装置、存储介质、电子装置
CN110191118B (zh) * 2019-05-28 2021-06-01 哈尔滨工程大学 一种面向网络安全设备的统一指控方法及系统
CN110191118A (zh) * 2019-05-28 2019-08-30 哈尔滨工程大学 一种面向网络安全设备的统一指控方法及系统
CN112152962B (zh) * 2019-06-26 2022-10-28 北京观成科技有限公司 一种威胁检测方法及系统
CN112152962A (zh) * 2019-06-26 2020-12-29 北京观成科技有限公司 一种威胁检测方法及系统
CN110602042B (zh) * 2019-08-07 2022-04-29 中国人民解放军战略支援部队信息工程大学 基于级联攻击链模型的apt攻击行为分析检测方法及装置
CN110602042A (zh) * 2019-08-07 2019-12-20 中国人民解放军战略支援部队信息工程大学 基于级联攻击链模型的apt攻击行为分析检测方法及装置
CN112702300A (zh) * 2019-10-22 2021-04-23 华为技术有限公司 一种安全漏洞的防御方法和设备
CN112822147A (zh) * 2019-11-18 2021-05-18 上海云盾信息技术有限公司 一种用于分析攻击链的方法、系统及设备
CN111147504A (zh) * 2019-12-26 2020-05-12 深信服科技股份有限公司 威胁检测方法、装置、设备和存储介质
CN113139180B (zh) * 2020-01-20 2023-12-01 中国电信股份有限公司 注入攻击检测模型生成装置、注入攻击检测装置及方法
CN111880884A (zh) * 2020-07-30 2020-11-03 北京微步在线科技有限公司 一种告警显示系统及显示方法
CN112291260A (zh) * 2020-11-12 2021-01-29 福建奇点时空数字科技有限公司 一种面向apt攻击的网络安全威胁隐蔽目标识别方法
CN112532631A (zh) * 2020-11-30 2021-03-19 深信服科技股份有限公司 一种设备安全风险评估方法、装置、设备及介质
CN114697052A (zh) * 2020-12-25 2022-07-01 北京千里日成科技有限公司 网络防护方法及装置
CN112565300A (zh) * 2020-12-25 2021-03-26 联通(广东)产业互联网有限公司 基于行业云黑客攻击识别与封堵方法、系统、装置及介质
CN114697052B (zh) * 2020-12-25 2023-10-27 北京国双千里科技有限公司 网络防护方法及装置
CN113037713A (zh) * 2021-02-07 2021-06-25 深信服科技股份有限公司 网络攻击的对抗方法、装置、设备及存储介质
CN113037785A (zh) * 2021-05-26 2021-06-25 杭州海康威视数字技术股份有限公司 多层次全周期物联网设备僵尸网络防御方法、装置及设备
CN114205166A (zh) * 2021-12-17 2022-03-18 浙江泰嘉光电科技有限公司 病毒防护系统
CN113992454A (zh) * 2021-12-30 2022-01-28 北京微步在线科技有限公司 一种攻击溯源方法及装置
CN114584351A (zh) * 2022-02-21 2022-06-03 北京恒安嘉新安全技术有限公司 一种监控方法、装置、电子设备以及存储介质
CN114726623A (zh) * 2022-04-08 2022-07-08 北京天融信网络安全技术有限公司 一种高级威胁攻击评估方法、装置、电子设备及存储介质
CN114726623B (zh) * 2022-04-08 2023-11-28 北京天融信网络安全技术有限公司 一种高级威胁攻击评估方法、装置、电子设备及存储介质
CN114866330A (zh) * 2022-05-25 2022-08-05 南昌市鼎强智能科技有限公司 采用ai和大数据分析的威胁攻击防护决策方法及ai系统
CN115001868B (zh) * 2022-08-01 2022-10-11 北京微步在线科技有限公司 Apt攻击同源分析方法、装置、电子设备及存储介质
CN115001868A (zh) * 2022-08-01 2022-09-02 北京微步在线科技有限公司 Apt攻击同源分析方法、装置、电子设备及存储介质
CN115643116A (zh) * 2022-12-23 2023-01-24 北京六方云信息技术有限公司 网络设备的防护方法、系统、终端设备以及存储介质
CN117411669A (zh) * 2023-09-14 2024-01-16 广州大学 一种基于时间卷积网络的apt攻击阶段检测方法、系统、介质及设备
CN116996326A (zh) * 2023-09-26 2023-11-03 国网江西省电力有限公司信息通信分公司 基于蜜网的协同式主动防御方法
CN116996326B (zh) * 2023-09-26 2023-12-26 国网江西省电力有限公司信息通信分公司 基于蜜网的协同式主动防御方法

Also Published As

Publication number Publication date
EP3588898A4 (en) 2020-02-19
US11405419B2 (en) 2022-08-02
US20210112092A1 (en) 2021-04-15
EP3588898B1 (en) 2023-07-12
WO2018177210A1 (zh) 2018-10-04
EP3588898A1 (en) 2020-01-01
JP2020515962A (ja) 2020-05-28
JP6894003B2 (ja) 2021-06-23
CN108259449B (zh) 2020-03-06

Similar Documents

Publication Publication Date Title
CN108259449A (zh) 一种防御apt攻击的方法和系统
Chen et al. A study on advanced persistent threats
Ussath et al. Advanced persistent threats: Behind the scenes
Giura et al. A context-based detection framework for advanced persistent threats
JP6104149B2 (ja) ログ分析装置及びログ分析方法及びログ分析プログラム
Vukalović et al. Advanced persistent threats-detection and defense
Khan et al. A cognitive and concurrent cyber kill chain model
CN107888607A (zh) 一种网络威胁检测方法、装置及网络管理设备
CN105915532A (zh) 一种失陷主机的识别方法及装置
Ask et al. Advanced persistent threat (APT) beyond the hype
CN112751864B (zh) 网络攻击反制系统、方法、装置和计算机设备
Fraunholz et al. Defending web servers with feints, distraction and obfuscation
Fraunholz et al. On the detection and handling of security incidents and perimeter breaches-a modular and flexible honeytoken based framework
Zakaria et al. Feature extraction and selection method of cyber-attack and threat profiling in cybersecurity audit
Alosefer Analysing web-based malware behaviour through client honeypots
Tiwari et al. Comparitive study of various honeypot tools on the basis of their classification & features
Karie et al. Leveraging Artificial Intelligence Capabilities for Real-Time Monitoring of Cybersecurity Threats
AT&T sample_cyber_security
Bendiab et al. IoT Security Frameworks and Countermeasures
Kono et al. An unknown malware detection using execution registry access
Rowe Distinctive ethical challenges of cyberweapons
Irwin Double-edged sword: dual-purpose cyber security methods
SIDDIQI et al. Advance persistent threat defense techniques: A review
Smussenko Cyber kill chain
Wickline The Capabilities of Antivirus Software to Detect and Prevent Emerging Cyberthreats

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant