基于大數(shù)據(jù)的APT攻擊檢測

基于大數(shù)據(jù)的APT攻擊檢測概念高級持續(xù)性威脅（advancedpersistentthreat，APT）是指隱匿而持久的電腦入侵過程，通常由某些人員精心策劃，針對特定的目標(biāo)。其通常是出于商業(yè)或政治動(dòng)機(jī)，針對特定組織或國家，并要求在長時(shí)間內(nèi)保持高隱蔽性。高級長期威脅包含三個(gè)要素：高級、長期、威脅。高級強(qiáng)調(diào)的是使用復(fù)雜精密的惡意軟件及技術(shù)以利用系統(tǒng)中的漏洞。長期暗指某個(gè)外部力量會(huì)持續(xù)監(jiān)控特定目標(biāo)，并從其獲取數(shù)據(jù)。威脅則指人為參與策劃的攻擊。APT攻擊生命周期2013年，APT攻擊生命周期（美國Mandiant）：初始入侵

–使用社會(huì)工程學(xué)、釣魚式攻擊、零日攻擊，通過郵件進(jìn)行。在受害者常去的網(wǎng)站上植入惡意軟件（掛馬）也是一種常用的方法。站穩(wěn)腳跟

–在受害者的網(wǎng)絡(luò)中植入遠(yuǎn)程訪問工具，打開網(wǎng)絡(luò)后門，實(shí)現(xiàn)隱蔽訪問。提升特權(quán)

–通過利用漏洞及破解密碼，獲取受害者電腦的管理員特權(quán)，并可能試圖獲取Windows域管理員特權(quán)。內(nèi)部勘查

–收集周遭設(shè)施、安全信任關(guān)系、域結(jié)構(gòu)的信息。橫向發(fā)展

–將控制權(quán)擴(kuò)展到其他工作站、服務(wù)器及設(shè)施，收集數(shù)據(jù)。保持現(xiàn)狀

–確保繼續(xù)掌控之前獲取到的訪問權(quán)限和憑據(jù)。任務(wù)完成

–從受害者的網(wǎng)絡(luò)中傳出竊取到的數(shù)據(jù)。APT例子：震網(wǎng)病毒APT特點(diǎn)組織特點(diǎn)從APT攻擊事件分析來看，APT攻擊已突破傳統(tǒng)黑客小團(tuán)隊(duì)“作坊級協(xié)同”模式，上升為一種國家層面“組織級聯(lián)合”模式，攻擊數(shù)量、持續(xù)性和復(fù)雜性不斷增加攻擊目標(biāo)指向高價(jià)值資產(chǎn)或物理系統(tǒng)攻擊特點(diǎn)以“低和慢”模式運(yùn)行，同時(shí)使用用戶憑據(jù)或零日漏洞，其巨大的復(fù)雜性和逃避檢測能力，困擾著眾多安全領(lǐng)域?qū)＜?。“低模式”即網(wǎng)絡(luò)中保持低調(diào)“慢模式”即執(zhí)行過程長。APT攻擊（如震網(wǎng)（Stuxnet）、毒區(qū)（Duqu）、火焰（Flame）和紅十月（RedOctober）等病毒）網(wǎng)絡(luò)安全“老三樣”使用IDS、防火墻、防病毒等常規(guī)安全防護(hù)系統(tǒng)，乃至于安全信息和事件管理系統(tǒng)（SIEM）都較難應(yīng)對APT攻擊需要借助于安全專家的人工分析。大數(shù)據(jù)APT檢測思路若將大數(shù)據(jù)分析技術(shù)應(yīng)用于APT攻擊檢測，將大大提高檢測能力。應(yīng)對APT攻擊“低模式”，檢測系統(tǒng)需將所轄網(wǎng)域中各種異常事件及數(shù)據(jù)完整記錄，并利用大數(shù)據(jù)強(qiáng)分析能力處理數(shù)據(jù)間的相關(guān)性來揭示攻擊軌跡應(yīng)對“慢模式”，需保留長時(shí)間窗口的歷史記錄數(shù)據(jù)，在時(shí)間窗口內(nèi)處理所有攻擊相關(guān)上下文信息?！暗湍Ｊ健钡膽?yīng)對研究Beehive（蜂窩）傳感器（蜜蜂）感知異常行為如：提升權(quán)限、竊取敏感信息、破壞操作系統(tǒng)檢測系統(tǒng)（蜂群）分工各異的蜂群維護(hù)整個(gè)蜂窩一次APT攻擊是由多階段攻擊動(dòng)作（漏洞發(fā)掘、控制權(quán)獲取、橫向移動(dòng)、目標(biāo)攻擊）組成。大數(shù)據(jù)分析將細(xì)微動(dòng)作關(guān)聯(lián)以發(fā)現(xiàn)APT攻擊的“低模式”。不同安全產(chǎn)品日志的語義相關(guān)性，以及日志的大數(shù)據(jù)特性是重點(diǎn)解決的問題。Beehive:Large-scaleloganalysisfordetectingsuspiciousactivityinenterprisenetworks[C]，Proceedingsofthe29thAnnualComputerSecurityApplicationsConference.ACM,2013:199-208.“慢模式”的應(yīng)對研究攻擊金字塔（AttackPyramid）采用攻擊樹原理及分層模型Usinglargescaledistributedcomputingtounveiladvancedpersistentthreats[J].SCIENCE,2013,1(3):pp.93-105.“慢模式”的應(yīng)對研究攻擊金字塔（AttackPyramid）使用不同的算法并以MapReduce分布式計(jì)算，來判斷上下文間和上下文中可能的惡意活動(dòng)Usinglargescaledistributedcomputingtounveiladvancedpersistentthreats[J].SCIENCE,2013,1(3):pp.93-105.APT檢測產(chǎn)品IBM公司產(chǎn)品稱為大數(shù)據(jù)安全智能平臺（SecurityIntelligencewithBigData）它綜合安全智能平臺的實(shí)時(shí)處理及安全操作、和大數(shù)據(jù)平臺的大數(shù)據(jù)處理及分析取證。In