搜索

[21394] 2020-11-08_网络攻击溯源技术浅析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-11-08_网络攻击溯源技术浅析 网 络 攻 击 溯 源 技 术 浅 析 L e m o n S e c   2 0 2 0 - 1 1 - 0 8 随 着 互 联 网 的 不 断 发 展 ， 越 来 越 多 的 企 业 把 信 息 存 储 到 与 互 联 网 连 接 的 设 备 上 。 一 些 不 法 分 子 企 图 利 用 网 络 漏 洞 窃 取 企 业 的 重 要 信 息 和 机 密 文 件 ， 攻 击 者 通 过 向 目 标 主 机 发 送 特 定 的 攻 击 数 据 包 执 行 恶 意 行 为 。 如 何 追 踪 这 些 攻 击 数 据 的 来 源 ， 定 位 背 后 的 攻 击 者 ， 成 为 了 业 内 人 员 重 点 关 注 的 问 题 。 网 络 攻 击 溯 源 技 术 通 过 综 合 利 用 各 种 手 段 主 动 地 追 踪 网 络 攻 击 发 起 者 、 定 位 攻 击 源 ， 结 合 网 络 取 证 和 威 胁 情 报 ， 有 针 对 性 地 减 缓 或 反 制 网 络 攻 击 ， 争 取 在 造 成 破 坏 之 前 消 除 隐 患 ， 在 网 络 安 全 领 域 具 有 非 常 重 要 的 现 实 意 义 。 关 于 关 于 A P T 攻 击 攻 击 谈 到 网 络 攻 击 追 踪 溯 源 ， 绕 不 开 的 便 是 A P T 攻 击 ， 近 年 来 披 露 针 对 我 国 的 A P T 组 织 便 有 数 个 之 多 ， 窃 取 大 量 企 业 和 政 府 的 重 要 信 息 资 产 ， 对 信 息 系 统 可 用 性 、 可 靠 性 构 成 极 大 挑 战 的 信 息 安 全 威 胁 。 A P T 攻 击 ， 即 高 级 可 持 续 威 胁 攻 击 , 也 称 为 定 向 威 胁 攻 击 ， 指 某 组 织 对 特 定 对 象 展 开 的 持 续 有 效 的 攻 击 活 动 。 这 种 攻 击 活 动 具 有 极 强 的 隐 蔽 性 和 针 对 性 , 通 常 会 运 用 受 感 染 的 各 种 介 质 、 供 应 链 和 社 会 工 程 学 等 多 种 手 段 实 施 先 进 的 、 持 久 的 且 有 效 的 威 胁 和 攻 击 ， 常 见 的 攻 击 方 式 有 鱼 叉 攻 击 和 水 坑 攻 击 。 A P T 攻 击 从 攻 击 开 始 到 达 成 目 的 ， 有 的 甚 至 可 能 潜 伏 长 达 数 年 。 鱼 叉 攻 击 鱼 叉 攻 击 鱼 叉 式 网 络 钓 鱼 攻 击 分 为 两 个 阶 段 ： 第 一 个 为 诱 导 阶 段 ， 攻 击 者 建 立 钓 鱼 基 础 设 施 ， 通 过 假 冒 合 法 网 站 或 者 在 访 问 量 高 的 网 站 托 管 钓 鱼 网 站 ， 再 基 于 对 攻 击 者 喜 好 、 工 作 等 的 调 查 制 作 诱 饵 ， 以 易 受 信 任 的 身 份 编 辑 携 带 钓 鱼 网 站 链 接 或 者 附 件 的 电 子 邮 件 ， 发 送 诱 饵 给 攻 击 目 标 。 第 二 阶 段 为 利 用 阶 段 ， 获 取 目 标 信 任 后 ， 利 用 收 信 人 执 行 危 险 操 作 ， 如 输 入 个 人 信 息 或 者 下 载 恶 意 软 件 等 ， 利 用 用 户 隐 私 获 得 非 法 利 益 。 如 海 莲 花 （ A P T - C - 0 0 ） 、 双 尾 蝎 （ A P T - C - 2 3 ） 等 组 织 。 水 坑 攻 击 水 坑 攻 击 水 坑 攻 击 时 一 种 看 似 简 单 但 成 功 率 较 高 的 网 络 攻 击 方 式 。 攻 击 目 标 多 为 特 定 的 团 体 （ 组 织 、 行 业 、 地 区 等 ） 。 攻 击 者 首 先 通 过 猜 测 （ 或 观 察 ） 确 定 这 组 目 标 经 常 访 问 的 网 站 ， 然 后 入 侵 其 中 一 个 或 多 个 网 站 ， 植 入 恶 意 软 件 。
在 目 标 访 问 该 网 站 时 ， 会 被 重 定 向 到 恶 意 网 址 或 触 发 恶 意 软 件 执 行 ， 导 致 该 组 目 标 中 部 分 成 员 甚 至 全 部 成 员 被 感 染 。 按 照 这 个 思 路 ， 水 坑 攻 击 其 实 也 可 以 算 是 鱼 叉 式 钓 鱼 的 一 种 延 伸 。 如 黄 金 鼠 组 织 （ A P T - C - 2 7 ） 、 美 人 鱼 行 动 （ A P T - C - 0 7 ） 等 。 攻 击 溯 源 攻 击 溯 源 近 年 来 ， 网 络 攻 击 的 攻 击 者 和 防 御 者 进 行 着 类 似 于 “ 猫 捉 老 鼠 ” 的 动 态 游 戏 ， 攻 击 者 不 断 地 寻 找 新 的 受 害 者 、 攻 击 载 体 和 漏 洞 ， 防 御 者 必 须 不 断 地 研 发 安 全 技 术 以 抵 御 攻 击 者 。 微 软 公 司 的 研 究 表 明 ， 攻 击 者 暴 露 前 在 目 标 组 织 中 潜 伏 的 平 均 时 间 长 达 1 4 6 天 ， 在 这 段 时 间 内 ， 驻 留 在 网 络 上 的 攻 击 者 可 以 秘 密 地 窃 取 和 泄 露 机 密 信 息 ， 或 者 对 完 整 性 资 源 进 行 破 坏 ， 图 1 展 示 了 攻 击 者 实 施 攻 击 的 杀 伤 链 模 型 。 为 了 先 发 制 人 ， 网 络 防 御 者 需 要 在 杀 伤 链 的 早 期 阶 段 阻 止 攻 击 者 前 进 。 目 前 信 息 安 全 行 业 已 经 建 立 了 集 研 究 、 分 析 和 响 应 高 级 持 续 威 胁 （ A d v a n c e d   P e r s i s t e n t T h r e a t s ， A P T s ） 于 一 体 的 方 法 论 。 图 1     杀 伤 链 模 型 攻 击 溯 源 技 术 ， 国 外 又 被 称 为 “ T h r e a t   H u n t i n g ” ， 是 为 了 应 对 外 部 A P T 攻 击 者 和 内 部 利 益 驱 动 的 员 工 威 胁 而 提 出 的 一 种 解 决 方 案 。 威 胁 狩 猎 技 术 不 被 动 地 等 待 与 响 应 ， 而 是 通 过 持 续 性 监 测 技 术 ， 更 早 、 更 快 地 检 测 和 发 现 威 胁 ， 并 追 踪 威 胁 的 源 头 。 威 胁 狩 猎 技 术 强 调 用 攻 击 者 的 视 角
来 检 测 攻 击 ， 减 少 攻 击 者 驻 留 时 间 ， 从 而 显 著 地 改 善 组 织 的 安 全 状 况 。 放 眼 世 界 ， 包 括 F i r e E y e 等 为 代 表 的 厂 商 以 及 越 来 越 多 的 大 型 组 织 也 开 始 进 行 威 胁 狩 猎 。 攻 击 溯 源 过 程 攻 击 溯 源 过 程 为 了 提 高 攻 击 溯 源 效 率 ， 建 立 完 整 的 攻 击 溯 源 过 程 非 常 重 要 。 S q r r l 安 全 公 司 开 发 了 一 个 威 胁 狩 猎 典 型 模 式 ， 如 图 2 所 示 共 包 含 产 生 假 设 、 数 据 调 查 、 识 别 溯 源 和 自 动 化 分 析 四 个 迭 代 循 环 的 步 骤 。 迭 代 的 效 率 越 高 ， 越 能 自 动 化 新 流 程 ， 尽 早 发 现 新 的 威 胁 。 图 2     威 胁 狩 猎 典 型 模 式 （ （ 1 ） 产 生 假 设 ） 产 生 假 设 攻 击 溯 源 从 某 种 活 动 假 设 开 始 ， 高 层 次 上 可 以 通 过 风 险 算 法 自 动 生 成 假 设 。 例 如 ， 风 险 评 估 算 法 可 以 得 到 基 于 A P T 生 命 周 期 的 行 为 分 析 （ 如 建 立 立 足 点 、 升 级 特 权 、 横 向 移 动 行 为 等 ） ， 并 将 其 量 化 为 风 险 评 分 ， 为 溯 源 分 析 提 供 开 端 。 图 3 展 示 了 安 全 公 司 M a n d i a n t 提 出 的 A P T 攻 击 生 命 周 期 模 型 。 图 3     A P T 生 命 周 期
（ （ 2 ） 通 过 工 具 和 技 术 进 行 数 据 调 查 ） 通 过 工 具 和 技 术 进 行 数 据 调 查 当 前 的 追 踪 溯 源 技 术 主 要 分 为 两 种 ： 被 动 和 主 动 技 术 。 被 动 性 技 术 包 括 针 对 潜 在 恶 意 行 为 警 报 进 行 取 证 调 查 和 攻 击 假 设 测 试 。 主 动 溯 源 追 踪 技 术 依 靠 网 络 威 胁 情 报 （ C y b e r   T h r e a t   I n t e l l i g e n c e ,   C T I ） 产 生 攻 击 假 设 ， 主 动 搜 索 潜 在 的 恶 意 行 为 。 在 这 两 种 情 况 下 都 可 以 使 用 安 全 信 息 及 事 件 管 理 （ s e c u r i t y   i n f o r m a t i o n   a n d   e v e n t   m a n a g e m e n t ,   S I E M ） 中 存 储 的 数 据 进 行 调 查 ， 帮 助 安 全 分 析 师 更 好 地 调 整 假 设 用 来 发 现 正 在 进 行 的 A P T 攻 击 。 不 论 采 用 哪 种 方 式 ， 都 需 要 通 过 各 种 各 样 的 工 具 和 技 术 研 究 假 设 。 有 效 的 工 具 将 利 用 关 联 分 析 技 术 如 可 视 化 、 统 计 分 析 或 机 器 学 习 等 融 合 不 同 的 网 络 安 全 数 据 。 （ （ 3 ） 识 别 溯 源 ） 识 别 溯 源 识 别 溯 源 的 过 程 也 是 新 的 模 式 和 T T P （ T a c t i c s ,   T e c h n i q u e s ,   a n d   P r o c e d u r e s ） 发 现 的 过 程 。 工 具 和 技 术 揭 示 了 新 的 恶 意 行 为 模 式 和 对 手 的 T T P ， 这 是 溯 源 周 期 的 关 键 部 分 。 M I T R E 开 发 了 如 图 4 所 示 的 A T T & C K 框 架 ， A T T & C K 是 一 个 基 于 现 实 世 界 的 观 察 攻 击 者 战 术 和 技 术 的 全 球 可 访 问 的 知 识 库 ， 包 含 1 1 种 战 术 ， 每 一 种 又 包 含 数 十 种 技 术 ， 将 攻 击 者 行 为 转 化 为 结 构 化 列 表 进 行 表 示 。 图 4     A T T & C K 框 架 （ （ 4 ） 自 动 化 分 析 ） 自 动 化 分 析 S A N S 认 为 自 动 化 是 发 现 威 胁 的 关 键 。 传 统 上 溯 源 分 析 是 一 个 手 动 过 程 ， 安 全 分 析 师 运 用 相 关 知 识 对 各 种 来 源 的 数 据 验 证 假 设 。 为 了 更 加 高 效 地 进 行 攻 击 溯 源 分 析 ， 可 以 部 分 自 动 化 或 由 机 器 辅 助 。 在 这 种 情 况 下 ， 分 析 师 利 用 相 关 分 析 软 件 得 知 潜 在 风 险 ， 再 对 这 些 潜 在 风 险 分 析 调 查 ， 跟 踪 网 络 中 的 可 疑 行 为 。 因 此 攻 击 溯 源 是 一 个 反 复 的 过 程 ， 从 假 设 开 始 以 循 环 的 形 式 连 续 进 行 。 攻 击 溯 源 工 具 攻 击 溯 源 工 具 安 全 分 析 师 需 要 检 查 系 统 和 网 络 上 发 生 的 历 史 操 作 记 录 和 当 前 状 态 详 细 信 息 ， 因 此 需 要 依 靠 多 种 工 具 和 数 据 源 来 协 助 溯 源 分 析 ， 常 用 的 工 具 包 括 ：
1 ） 安 全 监 控 工 具 ： 安 全 分 析 师 使 用 不 同 来 源 的 监 控 数 据 ， 例 如 防 火 墙 、 终 端 防 护 、 网 络 入 侵 检 测 、 内 部 威 胁 检 测 以 及 其 他 安 全 工 具 的 监 控 数 据 ， 用 以 描 绘 驻 留 在 网 络 中 的 攻 击 者 所 进 行 的 活 动 。 2 ） 可 视 化 分 析 工 具 ： 帮 助 安 全 分 析 师 通 过 使 用 交 互 式 仪 表 板 来 实 现 复 杂 关 系 数 据 可 视 化 ， 发 现 不 同 数 据 集 之 间 的 隐 藏 关 联 关 系 。 3 ） S I E M 解 决 方 案 ： S I E M 解 决 方 案 从 网 络 环 境 中 的 各 种 来 源 收 集 结 构 化 日 志 数 据 ， 提 供 对 数 据 的 实 时 分 析 并 向 相 关 部 门 发 出 安 全 警 报 。 S I E M 解 决 方 案 可 帮 助 安 全 分 析 师 自 动 收 集 并 利 用 来 自 安 全 监 视 工 具 和 其 他 来 源 的 大 量 日 志 数 据 ， 从 而 识 别 潜 在 安 全 威 胁 。 4 ） 网 络 威 胁 情 报 ： 威 胁 情 报 提 高 了 分 析 人 员 识 别 相 关 威 胁 并 及 时 做 出 响 应 的 能 力 ， 通 过 开 源 的 威 胁 情 报 库 实 现 信 息 交 换 ， 得 到 威 胁 分 析 所 需 的 恶 意 I P 地 址 、 恶 意 软 件 哈 希 值 等 信 息 。 5 ） 其 他 工 具 ： 一 些 特 定 功 能 的 分 析 工 具 对 攻 击 溯 源 也 有 很 好 的 帮 助 ， 例 如 检 查 P D F 操 作 、 P o w e r S h e l l 操 作 等 。 威 胁 场 景 构 建 威 胁 场 景 构 建 攻 击 溯 源 假 设 有 潜 伏 在 信 息 系 统 内 部 未 被 检 测 出 的 威 胁 ， 需 要 安 全 分 析 师 在 溯 源 数 据 中 识 别 攻 击 者 的 恶 意 行 为 ， 重 建 攻 击 场 景 。 近 年 来 也 出 现 了 很 多 A P T 威 胁 分 析 场 景 下 进 行 攻 击 溯 源 的 研 究 工 作 。 P o i r o t 将 网 络 威 胁 狩 猎 定 义 为 一 个 威 胁 情 报 子 图 模 式 匹 配 问 题 ， 在 起 源 图 中 找 到 表 示 威 胁 行 为 的 嵌 入 图 来 检 测 网 络 攻 击 ， 图 5 展 示 了 P o i r o t 方 法 概 述 图 。
图 5     P o i r o t 方 法 概 述 H O L M E S 将 底 层 实 体 行 为 映 射 为 A T T & C K 矩 阵 中 的 技 术 和 战 术 ， 同 时 生 成 一 个 高 级 攻 击 场 景 图 实 时 总 结 攻 击 者 行 动 ， 帮 助 研 判 人 员 进 行 分 析 ， 图 6 展 示 了 H o l m e s 方 法 框 架 。 图 6     H o l m e s : 从 审 计 记 录 到 高 级 A P T 阶 段 总 结 总 结 在 全 球 信 息 化 的 背 景 下 ， 网 络 活 动 安 全 性 和 威 胁 防 范 能 力 越 来 越 受 到 业 界 的 重 视 ， 采 取 主 动 的 攻 击 溯 源 技 术 尤 为 重 要 。 网 络 攻 击 溯 源 分 析 需 要 对 网 络 攻 击 进 行 全 面 地 深 入 了 解 ， 结 合 各 种 防 御 技 术 积 累 安 全 数 据 。 得 到 充 足 的 数 据 后 利 用 机 器 学 习 、 深 度 学 习 等 算 法 ， 实 现 自 动 化 分 析 达 到 高 成 熟 度 攻 击 溯 源 。
网 络 攻 击 溯 源 技 术 还 有 着 巨 大 的 发 展 空 间 ， 如 何 追 溯 到 更 多 的 有 用 数 据 ， 如 何 多 维 度 地 对 得 到 的 数 据 进 行 分 析 ， 以 及 如 何 提 高 攻 击 溯 源 技 术 的 有 效 性 等 方 面 依 旧 任 重 而 道 远 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 【 好 书 推 荐 】 【 好 书 推 荐 】 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理