基于大數(shù)據(jù)的APT攻擊檢測

基于大數(shù)據(jù)的APT攻擊檢測概念高級持續(xù)性威脅（advancedpersistentthreat，APT）是指隱匿而持久的電腦入侵過程，通常由某些人員精心策劃，針對特定的目標。其通常是出于商業(yè)或政治動機，針對特定組織或國家，并要求在長時間內保持高隱蔽性。高級長期威脅包含三個要素：高級、長期、威脅。高級強調的是使用復雜精密的惡意軟件及技術以利用系統(tǒng)中的漏洞。長期暗指某個外部力量會持續(xù)監(jiān)控特定目標，并從其獲取數(shù)據(jù)。威脅則指人為參與策劃的攻擊。APT攻擊生命周期2013年，APT攻擊生命周期（美國Mandiant）：初始入侵

–使用社會工程學、釣魚式攻擊、零日攻擊，通過郵件進行。在受害者常去的網(wǎng)站上植入惡意軟件（掛馬）也是一種常用的方法。站穩(wěn)腳跟

–在受害者的網(wǎng)絡中植入遠程訪問工具，打開網(wǎng)絡后門，實現(xiàn)隱蔽訪問。提升特權

–通過利用漏洞及破解密碼，獲取受害者電腦的管理員特權，并可能試圖獲取Windows域管理員特權。內部勘查

–收集周遭設施、安全信任關系、域結構的信息。橫向發(fā)展

–將控制權擴展到其他工作站、服務器及設施，收集數(shù)據(jù)。保持現(xiàn)狀

–確保繼續(xù)掌控之前獲取到的訪問權限和憑據(jù)。任務完成

–從受害者的網(wǎng)絡中傳出竊取到的數(shù)據(jù)。APT例子：震網(wǎng)病毒APT特點組織特點從APT攻擊事件分析來看，APT攻擊已突破傳統(tǒng)黑客小團隊“作坊級協(xié)同”模式，上升為一種國家層面“組織級聯(lián)合”模式，攻擊數(shù)量、持續(xù)性和復雜性不斷增加攻擊目標指向高價值資產(chǎn)或物理系統(tǒng)攻擊特點以“低和慢”模式運行，同時使用用戶憑據(jù)或零日漏洞，其巨大的復雜性和逃避檢測能力，困擾著眾多安全領域專家?！暗湍Ｊ健奔淳W(wǎng)絡中保持低調“慢模式”即執(zhí)行過程長。APT攻擊（如震網(wǎng)（Stuxnet）、毒區(qū)（Duqu）、火焰（Flame）和紅十月（RedOctober）等病毒）網(wǎng)絡安全“老三樣”使用IDS、防火墻、防病毒等常規(guī)安全防護系統(tǒng)，乃至于安全信息和事件管理系統(tǒng)（SIEM）都較難應對APT攻擊需要借助于安全專家的人工分析。大數(shù)據(jù)APT檢測思路若將大數(shù)據(jù)分析技術應用于APT攻擊檢測，將大大提高檢測能力。應對APT攻擊“低模式”，檢測系統(tǒng)需將所轄網(wǎng)域中各種異常事件及數(shù)據(jù)完整記錄，并利用大數(shù)據(jù)強分析能力處理數(shù)據(jù)間的相關性來揭示攻擊軌跡應對“慢模式”，需保留長時間窗口的歷史記錄數(shù)據(jù)，在時間窗口內處理所有攻擊相關上下文信息?！暗湍Ｊ健钡膽獙ρ芯緽eehive（蜂窩）傳感器（蜜蜂）感知異常行為如：提升權限、竊取敏感信息、破壞操作系統(tǒng)檢測系統(tǒng)（蜂群）分工各異的蜂群維護整個蜂窩一次APT攻擊是由多階段攻擊動作（漏洞發(fā)掘、控制權獲取、橫向移動、目標攻擊）組成。大數(shù)據(jù)分析將細微動作關聯(lián)以發(fā)現(xiàn)APT攻擊的“低模式”。不同安全產(chǎn)品日志的語義相關性，以及日志的大數(shù)據(jù)特性是重點解決的問題。Beehive:Large-scaleloganalysisfordetectingsuspiciousactivityinenterprisenetworks[C]，Proceedingsofthe29thAnnualComputerSecurityApplicationsConference.ACM,2013:199-208.“慢模式”的應對研究攻擊金字塔（AttackPyramid）采用攻擊樹原理及分層模型Usinglargescaledistributedcomputingtounveiladvancedpersistentthreats[J].SCIENCE,2013,1(3):pp.93-105.“慢模式”的應對研究攻擊金字塔（AttackPyramid）使用不同的算法并以MapReduce分布式計算，來判斷上下文間和上下文中可能的惡意活動Usinglargescaledistributedcomputingtounveiladvancedpersistentthreats[J].SCIENCE,2013,1(3):pp.93-105.APT檢測產(chǎn)品IBM公司產(chǎn)品稱為大數(shù)據(jù)安全智能平臺（SecurityIntelligencewithBigData）它綜合安全智能平臺的實時處理及安全操作、和大數(shù)據(jù)平臺的大數(shù)據(jù)處理及分析取證。In