畅聊网络攻击溯源技术之一
发布时间：2022-07-11 15:09:29 所属栏目：安全 来源：互联网
导读：引 言 随着互联网的不断发展，越来越多的企业把信息存储到与互联网连接的设备上。一些不法分子企图利用网络漏洞窃取企业的重要信息和机密文件，攻击者通过向目标主机发送特定的攻击数据包执行恶意行为。如何追踪这些攻击数据的来源，定位背后的攻击者，成为
|
引 言 随着互联网的不断发展，越来越多的企业把信息存储到与互联网连接的设备上。一些不法分子企图利用网络漏洞窃取企业的重要信息和机密文件，攻击者通过向目标主机发送特定的攻击数据包执行恶意行为。如何追踪这些攻击数据的来源，定位背后的攻击者，成为了业内人员重点关注的问题。 背景介绍 近年来，网络攻击的攻击者和防御者进行着类似于“猫捉老鼠”的动态游戏，攻击者不断地寻找新的受害者、攻击载体和漏洞，防御者必须不断地研发安全技术以抵御攻击者。微软公司的研究表明[1]，攻击者暴露前在目标组织中潜伏的平均时间长达146天，在这段时间内，驻留在网络上的攻击者可以秘密地窃取和泄露机密信息，或者对完整性资源进行破坏，图1展示了攻击者实施攻击的杀伤链模型[2]。为了先发制人，网络防御者需要在杀伤链的早期阶段阻止攻击者前进。目前信息安全行业已经建立了集研究、分析和响应高级持续威胁 攻击溯源过程 为了提高攻击溯源效率，建立完整的攻击溯源过程非常重要。Sqrrl[5]安全公司开发了一个威胁狩猎典型模式，如图2所示共包含产生假设、数据调查、识别溯源和自动化分析四个迭代循环的步骤。迭代的效率越高，越能自动化新流程，尽早发现新的威胁。 1. 产生假设 攻击溯源从某种活动假设开始，高层次上可以通过风险算法自动生成假设。例如，风险评估算法可以得到基于APT生命周期[6]的行为分析(如建立立足点、升级特权、横向移动行为等)，并将其量化为风险评分，为溯源分析提供开端。图3展示了安全公司Mandiant提出的APT攻击生命周期模型。 2. 通过工具和技术进行数据调查 当前的追踪溯源技术主要分为两种：被动[7]和主动[8][9]技术。被动性技术包括针对潜在恶意行为警报进行取证调查和攻击假设测试。主动溯源追踪技术依靠网络威胁情报[10][11](Cyber Threat Intelligence, CTI)产生攻击假设，主动搜索潜在的恶意行为。在这两种情况下都可以使用安全信息及事件管理(security information and event management, SIEM)中存储的数据进行调查，帮助安全分析师更好地调整假设用来发现正在进行的APT攻击。 不论采用哪种方式，都需要通过各种各样的工具和技术研究假设。有效的工具将利用关联分析技术如可视化、统计分析或机器学习等融合不同的网络安全数据。 3. 识别溯源 识别溯源的过程也是新的模式和TTP(Tactics, Techniques, and Procedures)发现的过程。工具和技术揭示了新的恶意行为模式和对手的TTP，这是溯源周期的关键部分。MITRE开发了如图4所示的ATT&CK框架[12]，ATT&CK是一个基于现实世界的观察攻击者战术和技术的全球可访问的知识库，包含11种战术，每一种又包含数十种技术，将攻击者行为转化为结构化列表进行表示。 （编辑：云计算网_泰州站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330476号