搜索

[14254] 2019-06-21_AwakeSecurityPlatform：一款用NTA实现恶意行为检测的工具

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-21_AwakeSecurityPlatform：一款用NTA实现恶意行为检测的工具 A w a k e   S e c u r i t y   P l a t f o r m ： 一 款 用 N T A 实 现 恶 意 行 为 检 测 的 工 具 K a r u n e s h 9 1   F r e e B u f   2 0 1 9 - 0 6 - 2 1 随 着 企 业 及 各 类 组 织 机 构 逐 渐 将 网 络 的 使 用 转 向 云 和 远 程 ， 传 统 网 络 的 定 义 在 逐 渐 发 生 变 化 。 同 样 ， 物 联 网 设 随 着 企 业 及 各 类 组 织 机 构 逐 渐 将 网 络 的 使 用 转 向 云 和 远 程 ， 传 统 网 络 的 定 义 在 逐 渐 发 生 变 化 。 同 样 ， 物 联 网 设 备 的 使 用 越 来 越 多 ， 加 密 和 影 子 系 统 的 使 用 越 来 越 频 繁 ， 我 们 也 就 可 以 理 解 ， 为 什 么 一 直 以 来 在 保 持 网 络 和 系 备 的 使 用 越 来 越 多 ， 加 密 和 影 子 系 统 的 使 用 越 来 越 频 繁 ， 我 们 也 就 可 以 理 解 ， 为 什 么 一 直 以 来 在 保 持 网 络 和 系 统 安 全 方 面 的 问 题 都 得 不 到 妥 善 的 解 决 。 统 安 全 方 面 的 问 题 都 得 不 到 妥 善 的 解 决 。 更 重 要 的 是 ， 网 络 犯 罪 分 子 也 在 不 断 的 改 变 策 略 ： 他 们 越 来 越 依 赖 恶 意 软 件 ， 并 开 始 将 攻 击 目 标 转 移 到 窃 取 合 法 凭 证 上 ， 并 通 过 使 用 已 部 署 在 常 规 环 境 中 的 工 具 生 存 下 来 ， 例 如 p y t h o n 的 脚 本 、 p o w e r s h e l l 、 W M I 、 P s E x e c 或 M i c r o s o f t O f f i c e 的 宏 命 令 等 。 恶 意 行 为 的 检 测 是 一 项 挑 战 ， 尤 其 是 在 其 已 经 与 合 法 行 为 相 结 合 的 情 况 下 ， 企 业 试 图 通 过 传 统 的 网 络 取 证 工 具 （ 如 R S A   N e t W i t n e s s ） 以 及 一 些 网 络 流 量 分 析 （ N T A ） 工 具 （ 如 D a r k t r a c e ） 来 解 决 这 些 问 题 。 现 在 ， 越 来 越 多 的 服 务 需 求 方 开 始 向 二 者 相 结 合 的 技 术 方 向 发 展 ， 这 便 是 A w a k e   S e c u r i t y 出 现 的 原 因 。 网 络 个 体 追 踪 网 络 个 体 追 踪 A w a k e 安 全 平 台 可 用 于 分 析 通 信 ， 无 论 是 传 统 网 络 数 据 包 ， 还 是 v S w i t c h 流 量 ， 或 者 来 自 云 以 及 针 对 S a a S 应 用 程 序 、 无 服 务 计 算 实 例 的 A P I 调 用 ， 均 可 通 过 A w a k e 平 台 实 现 ， 同 时 它 还 侧 重 于 安 全 团 队 不 可 见 的 运 营 技 术 网 络 。 A w a k e 首 席 执 行 官 R a h u l   K a s h y a p 表 示 ， 这 个 安 全 平 台 通 过 传 统 的 网 络 S P A N 或 T A P / 云 T A P / 虚 拟 交 换 机 T A P / S a a S A P I 链 接 ， 以 访 问 数 据 包 、 通 信 等 ， 然 后 ， 我 们 通 过 对 这 些 所 得 数 据 等 实 时 分 析 发 现 企 业 或 组 织 机 构 中 的 “ 资 产 ” （ 设 备 、 用 户 、 应 用 程 序 等 ） 以 及 通 信 另 一 方 的 域 来 构 建 安 全 知 识 图 （ 我 们 将 其 称 为 E n t i t y I Q ） 。
A w a k e   S e c u r i t y   P l a t f o r m 自 动 识 别 和 追 踪 网 络 上 的 业 务 资 产 其 针 对 网 络 上 的 个 体 的 发 现 和 分 析 是 自 主 完 成 的 ， 该 平 台 执 行 完 整 数 据 包 和 加 密 流 量 分 析 ， 不 依 赖 （ 可 更 改 的 ） I P 地 址 进 行 追 踪 。 检 测 恶 意 行 为 和 意 图 检 测 恶 意 行 为 和 意 图 一 旦 对 网 络 目 标 进 行 了 分 析 ， 该 平 台 就 会 将 行 为 及 其 关 系 进 行 归 类 。 然 后 针 对 性 的 解 决 方 案 就 会 通 过 这 些 个 体 的 属 性
和 行 为 中 提 取 数 百 万 个 信 号 以 及 原 始 通 信 和 网 络 数 据 、 威 胁 情 报 和 用 户 行 为 分 析 来 检 测 新 的 攻 击 者 策 略 。 这 些 信 号 将 会 交 于 A w a k e 的 神 经 网 络 和 机 器 学 习 模 型 分 析 。 在 此 过 程 中 ， 该 平 台 通 过 相 似 性 分 析 对 网 络 个 体 进 行 聚 类 ， 从 而 可 以 更 好 的 发 现 表 现 出 恶 意 意 图 的 异 常 数 据 。 这 种 方 法 有 效 的 避 开 了 时 间 因 素 、 多 个 网 络 协 议 和 流 的 攻 击 者 策 略 ， 以 及 技 术 和 程 序 （ T T P ） ， 该 公 司 的 研 究 团 队 致 力 于 通 过 于 M I T R E   A T T 和 C K 框 架 报 纸 一 致 来 确 保 T T P 的 广 泛 覆 盖 。 平 台 成 功 识 别 4 个 I P 电 话 ， 用 于 提 供 语 音 呼 叫 信 息 K a s h y a p 指 出 ， 通 过 对 时 间 和 每 个 个 体 行 为 追 踪 的 分 析 ， 我 们 可 以 发 现 网 络 中 的 威 胁 行 为 、 恶 意 行 为 以 及 已 知 的 各 类 指 标 。 安 全 团 队 还 可 以 自 行 对 目 标 信 息 进 行 增 补 。 平 台 会 对 每 个 网 络 目 标 提 供 类 似 风 险 评 级 的 信 用 评 分 ， 以 及 详 细 的 行 为 和 时 间 戳 ， 向 用 户 说 明 高 风 险 的 原 因 。
A w a k e 平 台 根 据 风 险 对 网 络 环 境 中 的 目 标 进 行 评 分 每 个 结 果 信 息 都 可 以 通 过 产 品 界 面 进 行 访 问 ， 也 可 以 于 企 业 或 组 织 的 S I E M 一 起 使 用 ， 并 集 成 到 E D R 中 。 可 以 与 业 务 流 程 平 台 的 集 成 ， 可 以 与 防 火 墙 / 代 理 等 相 连 接 。 额 外 功 能 添 加 额 外 功 能 添 加 随 着 网 络 攻 击 技 术 的 发 展 ， A w a k e 平 台 也 能 够 进 行 同 步 发 展 。 与 亚 马 逊 采 取 的 A l e x a 平 台 方 法 类 似 ， A w a k e 提 供 了 一 个 开 放 式 平 台 ， 能 够 允 许 用 户 通 过 当 前 可 用 的 方 法 具 体 解 决 新 问 题 ， 而 不 是 强 制 使 用 整 个 解 决 方 案 来 应 对 最 新 威 胁 。 对 此 ， K a s h y a p 表 示 ， A w a k e 平 台 ， 分 析 师 可 通 过 一 种 名 为 Q u e r y I Q 的 语 言 对 其 进 行 访 问 和 其 他 操 作 。 该 语 言 有 一 个 词 汇 表 ， 可 以 为 平 台 添 加 新 的 检 测 和 响 应 技 能 。 具 体 而 言 ， A w a k e 允 许 用 户 自 行 使 用 这 种 语 言 依 据 实 际 需 求 对 其 进 行 更 改 。 A w a k e 平 台 可 以 创 建 新 的 检 测 功 能 ， 以 适 应 不 断 变 化 的 网 络 威 胁 加 入 一 个 普 通 的 网 络 攻 击 者 正 在 使 用 p o w e r s h e l l 这 种 工 具 连 接 到 类 似 T w i t t e r 这 样 的 已 知 网 站 ， 那 么 便 可 以 通 过 “ 命 令 和 控 制 — 检 测 这 种 行 为 ” 这 样 简 单 的 方 式 对 其 进 行 检 测 ， 非 常 易 于 操 作 ， 甚 至 不 需 要 专 门 耗 时 去 处 理 。 同 样 ， 当 一 个 客 户 在 使 用 这 个 平 台 的 时 候 ， 如 果 他 担 心 他 们 的 员 工 会 遭 到 钓 鱼 欺 骗 ， 那 么 就 可 以 构 建 一 种 检 测 机 制 来 发 现 那 些 虚 假 的 网 站 或 邮 箱 账 号 。
任 何 A w a k e 平 台 的 使 用 者 都 可 以 访 问 针 对 域 名 的 攻 击 信 息 简 而 言 之 ， A w a k e   S e c u r i t y   P l a t f o r m 的 出 现 ， 使 得 其 公 司 成 为 了 先 进 的 网 络 流 量 分 析 （ N T A ） 解 决 方 案 的 提 供 者 ， 可 广 泛 用 于 各 类 安 全 工 作 者 、 威 胁 猎 手 以 及 C S O 们 。 * 参 考 来 源 ： 参 考 来 源 ： h e l p n e t s e c u r i t y ， ， K a r u n e s h 9 1 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理