天融信大咖秀 | 一起来聊聊APT攻击检测那点事儿

检测位置可在云端、网络处，也可在终端。从技术角度而言，云端、网络处是信息终结位置，信息到这两个节点可在服务器上处理，比如加工、展示，甚至直接展示，所以这个位置的检测对象相对明确且易获取。但从管理或监管角度来看，云端、终端却非常不合适，一般云端往往超出了管理范围，终端会面临分布式部署，且数量较多，部署、实施、管控很难实现。所以现实中大部分监管设备一般都部署在网络处。

网络是管道，理论上所有信息皆要通过网络管道进行传输，但管道中的信息并非信息的原始状态。它被打成了各种各样琐碎的报文，需要利用特殊技术，从网络传输的报文中还原检测对象。这些报文有重传、丢弃、单向的，甚至有压缩、加密的，最可怕的是还有专门针对检测设备逃逸制作的报文，所以在这方面对检测技术有着比较高的要求。但现实情况中，检测位置一般由管理或者监管来决定，而不由检测技术难易程度来决定。

检测模式一般采取前后端模式，前端部署检测设备，通俗称为“探针”，后端部署服务器进行数据分析，即大数据分析系统。前端设备主要接受网络流量、输出事件日志，后端设备收集所有信息，并进行统计、加工、分析、整理，或者通过计算模型得出统计结果。而APT检测基本采用前后端配合模式，前端实时处理，后端追溯查找。

准确来说，APT不是一种具体攻击，即没有一个系统会有APT漏洞。但APT是一种攻击形式，它会确定一个目标做好探测、侦查，用APT特有工具对喜爱的恶意样本发起攻击，攻击时间可能跨度非常长且锲而不舍，所以APT攻击又称高级可持续攻击。APT攻击特点是拥有自己专有、喜爱的特殊工具，另一个是不达目的不罢休。这也是大多数用户网络当中最不希望看到的攻击，所以有人说APT攻击是“不怕贼偷，就怕贼惦记”。

检测APT攻击有多种方法和技术，一般从恶意样本出发先从网络中还原样本，然后经过传统技术手段进行筛选，再利用新的检测技术引擎，排查疑似恶意样本。比如说天融信天璇实验室开发的TAI系列智慧引擎，它可以通过海量样本训练出机器模型。它其实无法识别恶意样本分类、样本名字，但能识别出是否是恶意、值得进一步分析，值得关注的样本。

检测完毕后需要利用专业样本分析设备或者专业工程师，对其行为进行分析和鉴定，以识别它是否是未知恶意样本，这个过程如同大海捞针，需要很长时间才能完成。一旦鉴定出未知恶意样本，即可把它转换为已知规则，反向下发到检测设备，利用检测设备去观察更多行为表象，比如样本是谁在使用、地理位置在哪里、使用大概频率、使用规律以及地域特点等，甚至分析其代码相似度。如果运气足够好的话，是非常有可能发现一个真正的APT攻击。

当确认一个真正的APT攻击后，我们可以把它部署到更多检测设备中，通过在网络处进行分布式部署，以监测更多的节点、流量，收集更多的数据，利用数据分析或社会工程学方法，完全有可能追溯到使用APT攻击的组织或者个人。至此，一个完整的检测APT攻击链条已经形成。

最后我们也希望利用天融信现有的技术，帮助我们的客户一起，在未来能够发现更多的APT攻击，甚至是定位到APT组织。

热点推荐