搜索

[12117] 2017-12-12_Hunting系统：简述如何通过智能分析异常来检测网络入侵行为

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2017-12-12_Hunting系统：简述如何通过智能分析异常来检测网络入侵行为 H u n t i n g 系 统 ： 简 述 如 何 通 过 智 能 分 析 异 常 来 检 测 网 络 入 侵 行 为 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 2 - 1 2 当 组 织 内 发 生 数 据 泄 露 事 件 时 ， 泄 漏 检 测 系 统 （ 当 组 织 内 发 生 数 据 泄 露 事 件 时 ， 泄 漏 检 测 系 统 （ B D S ） 能 够 给 我 们 提 供 足 够 有 效 的 提 醒 ， 但 如 果 敏 感 等 级 设 置 ） 能 够 给 我 们 提 供 足 够 有 效 的 提 醒 ， 但 如 果 敏 感 等 级 设 置 的 非 常 低 的 话 ， 我 们 还 需 要 考 虑 风 险 报 告 的 假 阳 性 问 题 。 而 基 于 异 常 的 检 测 系 统 能 够 检 测 到 很 多 传 统 的 非 常 低 的 话 ， 我 们 还 需 要 考 虑 风 险 报 告 的 假 阳 性 问 题 。 而 基 于 异 常 的 检 测 系 统 能 够 检 测 到 很 多 传 统 B D S 无 法 无 法 发 现 的 网 络 攻 击 活 动 。 发 现 的 网 络 攻 击 活 动 。 为 了 检 测 网 络 入 侵 活 动 ， B D S 需 要 识 别 事 件 模 式 ， 需 要 识 别 的 事 件 流 包 括 ： 1 .   网 络 活 动 - 例 如 D N S 活 动 和 H T T P 请 求 。 2 .   主 机 活 动 - 例 如 用 户 登 录 和 程 序 调 用 。 3 .   对 网 络 中 所 发 生 的 各 种 活 动 进 行 分 析 - 例 如 沙 盒 技 术 针 对 程 序 行 为 特 性 的 分 析 报 告 等 等 。 检 测 网 络 入 侵 检 测 网 络 入 侵 B D S 的 其 中 一 个 目 标 就 是 提 供 高 效 率 的 自 动 化 检 测 服 务 ， 并 尽 可 能 地 降 低 假 阳 性 。 这 也 就 意 味 着 ， B D S 的 敏 感 度 阈 值 需 要 进 行 设 置 ， 并 且 在 收 集 到 了 大 量 有 效 证 据 之 后 才 可 以 生 成 警 报 信 息 。 如 果 阈 值 设 置 的 非 常 低 ， 那 么 B D S 系 统 所 收 集 到 的 信 息 虽 然 可 以 用 于 检 测 攻 击 ， 但 是 其 自 动 化 识 别 的 可 信 度 并 不 高 。 不 过 ， 此 时 的 B D S 可 以 识 别 具 有 明 显 意 图 的 恶 意 行 为 模 式 ， 因 为 这 种 行 为 与 正 常 的 网 络 流 量 相 比 是 不 正 常 的 。 异 常 检 测 系 统 实 现 的 基 础 是 恶 意 活 动 必 须 在 某 些 事 件 流 中 产 生 异 常 。 但 不 幸 的 是 ， 在 现 实 的 攻 击 场 景 中 ， 并 不 是 所 有 的 恶 意 活 动 都 会 产 生 异 常 ， 而 某 些 良 性 活 动 有 时 却 会 产 生 异 常 ， 因 此 这 种 基 于 异 常 的 检 测 系 统 其 报 告 假 阳 性 也 很 高 。 尽 管 这 种 单 纯 基 于 异 常 的 检 测 系 统 在 一 般 情 况 下 可 能 会 不 起 作 用 ， 但 是 它 仍 然 可 以 给 研 究 人 员 提 供 一 种 思 路 ， 以 帮 助 他 们 在 某 些 看 似 无 关 联 的 事 件 之 间 建 立 联 系 。 H u n t i n g 系 统 系 统 一 个 H u n t i n g 系 统 可 以 给 研 究 人 员 提 供 一 系 列 的 异 常 观 察 结 果 ， 其 中 包 括 ： 1 .   指 向 特 定 主 机 、 网 络 或 国 家 地 区 的 流 量 信 息 ； 2 .   会 话 时 间 与 持 续 时 间 ；
3 .   特 定 工 具 、 应 用 程 序 和 协 议 的 使 用 情 况 ； 但 需 要 注 意 的 是 ， 系 统 所 观 察 到 的 结 果 并 不 一 定 是 系 统 遭 到 入 侵 的 结 果 。 比 如 说 ， 用 户 在 执 行 云 端 远 程 备 份 任 务 时 ， 很 可 能 会 产 生 大 量 向 外 部 主 机 发 送 的 数 据 。 或 者 说 ， 网 络 管 理 员 如 果 使 用 新 的 工 具 来 提 高 生 产 力 的 话 ， 同 样 有 可 能 导 致 网 络 流 量 出 现 异 常 ， 而 上 述 这 些 情 况 都 将 可 能 让 系 统 的 检 测 结 果 产 生 较 高 的 假 阳 性 。 然 而 ， 当 一 个 H u n t i n g 系 统 能 够 像 人 类 一 样 对 观 察 到 的 结 果 进 行 分 析 、 排 序 和 关 联 的 话 ， 系 统 的 检 测 能 力 将 会 大 大 提 升 。 H u n t i n g 工 具 所 要 实 现 的 功 能 工 具 所 要 实 现 的 功 能 基 本 上 ， 一 款 H u n t i n g 工 具 应 该 具 备 以 下 五 种 功 能 ： 1 .   C o l l e c t s ： 收 集 各 种 各 样 的 事 件 流 样 本 （ 登 录 记 录 、 D N S 解 析 和 网 络 流 数 据 等 等 ） 。 2 .   M o d e l s ： 对 每 种 类 型 的 事 件 流 以 及 涉 及 到 的 元 素 （ 用 户 、 主 机 和 网 络 ） 进 行 建 模 。 3 .   R e p o r t s ： 基 于 已 建 立 的 模 型 报 告 事 件 流 中 观 察 到 的 异 常 活 动 。 4 .   P r e s e n t s ： 用 不 同 的 方 法 收 集 观 察 报 告 ， 以 支 持 更 加 复 杂 的 安 全 分 析 。 5 .   E x p a n d s ： 通 过 获 取 网 络 或 主 机 的 额 外 信 息 来 扩 展 分 析 能 力 。 网 络 健 康 网 络 健 康 很 明 显 ， H u n t i n g 工 具 的 “ C o l l e c t s ” 功 能 以 及 “ P r e s e n t s ” 功 能 的 设 计 难 度 并 不 大 ， 而 为 了 生 成 足 够 有 效 的 观 测 报 告 ， “ M o d e l s ” 和 “ R e p o r t s ” 组 件 则 需 要 使 用 更 加 新 颖 的 方 式 来 进 行 开 发 。 除 此 之 外 ， 此 类 工 具 的 目 标 用 户 需 要 是 经 验 丰 富 的 用 户 ， 他 不 仅 需 要 足 够 了 解 他 所 需 要 处 理 的 网 络 情 况 ， 而 且 还 需 要 具 备 一 定 的 网 络 安 全 技 术 ， 而 这 也 是 很 多 企 业 都 缺 乏 的 资 源 。 因 此 ， 我 们 建 议 广 大 管 理 员 可 以 考 虑 使 用 托 管 安 全 服 务 提 供 商 （ M S S P ） 所 提 供 的 H u n t i n g 服 务 ， 而 这 种 服 务 可 以 给 客 户 提 供 一 种 实 现 主 动 安 全 管 理 的 新 方 法 。 而 广 大 C I S O 或 C I O 们 可 以 考 虑 根 据 自 己 组 织 所 处 的 网 络 环 境 来 开 发 适 合 自 己 使 用 的 H u n t i n g 工 具 。 对 异 常 事 件 的 处 理 能 力 将 关 系 到 网 络 的 健 康 情 况 ， 其 中 有 些 问 题 可 能 会 跟 安 全 无 关 ， 但 是 只 要 问 题 存 在 ， 组 织 的 运 营
效 率 就 会 受 到 影 响 ， 因 此 基 于 异 常 智 能 分 析 的 网 络 检 测 系 统 可 能 会 是 大 家 可 以 考 虑 的 工 具 之 一 。 *   参 考 来 源 ： l a s t l i n e ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理