搜索

[9953] 2016-03-25_探寻APT的化学本质与破解之术

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2016-03-25_探寻APT的化学本质与破解之术 探 寻 A P T 的 化 学 本 质 与 破 解 之 术 S a m S m i t h   F r e e B u f   2 0 1 6 - 0 3 - 2 5 高 级 持 续 性 威 胁 （ 高 级 持 续 性 威 胁 （ A d v a n c e d   P e r s i s t e n t   T h r e a t ） 简 称 ） 简 称 A P T ， 从 无 到 有 不 过 十 年 时 间 。 而 在 去 年 年 底 ， 卡 巴 斯 基 在 预 测 ， 从 无 到 有 不 过 十 年 时 间 。 而 在 去 年 年 底 ， 卡 巴 斯 基 在 预 测 2 0 1 6 年 安 全 发 展 趋 势 时 表 示 ： 年 安 全 发 展 趋 势 时 表 示 ： A P T 将 死 。 将 死 。 我 们 反 观 过 去 的 三 个 多 月 ， 却 发 现 A P T 攻 击 行 为 并 未 下 降 ，   B l a c k E n e r g y   A P T 组 织 仍 在 通 过 W o r d 文 档 进 行 针 对 乌 克 兰 的 A P T 攻 击 、 D a r k h o t e l   A P T 组 织 强 势 回 归 的 第 一 个 目 标 便 是 中 国 电 信 . . . . . . 事 实 胜 于 雄 辩 ， A P T 确 实 没 有 走 远 。 A P T 的 诞 生 的 诞 生 回 溯 至 2 0 0 5 年 ， 西 方 一 些 计 算 机 应 急 响 应 组 织 （ 曾 ） 发 布 报 告 ， 提 醒 人 们 注 意 某 些 针 对 性 的 钓 鱼 电 子 邮 件 会 释 放 木 马 ， 小 心 敏 感 信 息 泄 露 ， 但 那 时 “ A P T ” 一 词 尚 未 被 发 明 出 来 。 直 到 2 0 0 6 年 ， 美 国 空 军 （ U S A F ） 分 析 师 格 雷 格 · 拉 特 雷 上 校 创 造 了 A P T 一 词 ， 用 它 来 解 释 情 况 不 明 的 平 民 入 侵 活 动 ， 这 样 就 能 在 不 泄 露 机 密 的 情 况 下 对 攻 击 活 动 的 特 征 进 行 讨 论 。 A P T 混 沌 的 定 义 混 沌 的 定 义 虽 然 安 全 从 业 者 经 常 会 关 注 到 A P T 这 个 词 ， 事 实 上 A P T 并 没 有 一 个 的 完 整 定 义 ， 这 也 为 安 全 研 究 者 的 测 试 带 来 了 不 小 的 麻 烦 。 这 里 整 理 了 几 种 解 释 。 维 基 百 科 维 基 百 科 ： A P T 高 级 持 续 性 威 胁 ， 是 指 隐 匿 而 持 久 的 电 脑 入 侵 过 程 ， 通 常 由 某 些 人 员 精 心 策 划 ， 针 对 特 定 的 目 标 。 其 通 常 是 出 于 商 业 或 政 治 动 机 ， 针 对 特 定 组 织 或 国 家 ， 并 要 求 在 长 时 间 内 保 持 高 隐 蔽 性 。 N S S 实 验 室 实 验 室 ： N S S 采 用 了 另 一 种 解 释 ， 有 针 对 性 的 持 续 攻 击 T P A （ T a r g e t e d   P e r s i s t e n t   A t t a c k ） ， 强 调 了 攻 击 是 “ 有 针 对 性 ” 的 这 一 属 性 。 G a r t n e r ： （ 攻 击 者 ） 通 过 已 有 的 防 御 手 段 并 造 成 持 续 性 伤 害 ， 而 未 被 发 现 的 任 何 攻 击 都 可 以 称 为 A P T 。 这 里 出 现 了 怪 圈 ， G a r t n e r 将 “ 未 被 发 现 ” 视 为 A P T 的 重 要 属 性 。 这 个 定 义 的 核 心 是 “ 已 有 的 防 御 措 施 ” 和 “ 未 发 现 的 攻 击 的 无 用 测 试 ” 。 R S A ： A P T 指 针 对 目 标 为 高 价 值 财 产 或 物 理 系 统 的 攻 击 活 动 。
D a m b a l l a ： A P T 是 一 个 针 对 商 业 和 政 治 活 动 的 网 络 犯 罪 类 型 。 为 了 长 期 存 在 于 操 作 系 统 当 中 ， A P T 需 要 具 备 高 度 的 隐 匿 性 … … 以 上 是 A P T 的 几 种 不 同 定 义 ， 对 于 安 全 人 员 进 行 测 试 场 景 的 分 类 几 乎 没 有 任 何 帮 助 。 因 此 ， 为 了 明 确 A P T 检 测 的 实 际 目 的 ， 我 们 采 用 了 这 样 的 定 义 ： A P T 是 一 种 有 针 对 性 的 攻 击 活 动 ， 有 选 择 性 地 针 对 高 价 值 资 产 或 者 物 理 系 统 进 行 带 有 明 确 目 的 的 破 坏 或 窃 取 数 据 。 A P T 攻 击 目 标 有 哪 些 ？ 攻 击 目 标 有 哪 些 ？ 网 络 攻 防 中 数 据 盗 窃 与 目 标 性 攻 击 并 不 鲜 见 ， 那 为 什 么 A P T 产 生 的 影 响 如 此 巨 大 ？ A P T 攻 击 集 成 了 多 种 攻 击 手 段 ， 有 黑 客 团 队 经 过 精 心 策 划 ， 对 攻 击 目 标 进 行 长 期 持 续 的 攻 击 行 为 。 很 多 时 候 ， A P T 有 国 家 背 景 、 为 政 治 目 的 服 务 ， 当 然 不 排 除 为 了 商 业 、 知 识 产 权 以 及 经 济 目 的 的 A P T 攻 击 。 A P T 攻 击 除 了 国 家 级 的 军 事 政 治 目 标 之 外 ， 便 是 针 对 能 源 、 公 共 服 务 、 科 研 、 大 型 企 业 、 金 融 等 重 要 信 息 资 产 部 门 。 近 几 年 ， A P T 攻 击 技 术 更 加 复 杂 、 攻 击 手 段 更 加 隐 蔽 ， 而 且 攻 击 已 经 不 局 限 于 传 统 的 信 息 系 统 ， 而 是 逐 渐 把 目 标 扩 散 到 工 业 控 制 等 系 统 ， 例 如 针 对 工 业 控 制 系 统 编 写 的 破 坏 性 病 毒 ： 震 网 （ s t u x n e t ） 、 d u q u 等 。 A P T 到 底 是 什 么 样 的 ？ 到 底 是 什 么 样 的 ？ 我 们 知 道 A P T 都 是 出 于 某 种 现 实 目 的 ， 我 们 仍 旧 要 扒 一 下 这 种 目 标 性 攻 击 的 真 实 样 貌 。 根 据 美 国 安 全 公 司 曼 迪 昂 特 （ M a n d i a n t ） 在 一 份 A P T 报 告 中 描 述 的 “ A P T 攻 击 是 一 系 列 攻 击 行 为 ， 大 致 遵 循 如 下 周 期 活 动 攻 击 是 一 系 列 攻 击 行 为 ， 大 致 遵 循 如 下 周 期 活 动 ” ： 1 、 侦 查 、 侦 查 在 发 动 攻 击 行 动 之 前 ， 必 要 的 信 息 收 集 作 为 社 工 的 一 部 分 ， 大 部 分 的 A P T 是 以 组 织 员 工 为 切 入 口 ， 因 此 攻 击 者 非 常 注 意 收 集 员 工 的 个 人 信 息 、 社 会 关 系 以 及 爱 好 等 。 2 、 初 始 入 侵 、 初 始 入 侵 攻 击 者 收 集 了 足 够 的 信 息 后 ， 采 用 恶 意 代 码 攻 击 组 织 员 工 的 个 人 电 脑 ， 攻 击 方 法 包 括 ： 1 ) 社 会 工 程 学 方 法 ， 如 通 过 e m a i l 给 员 工 发 送 包 含 恶 意 代 码 的 文 件 附 件 ， 当 员 工 打 开 附 件 时 ， 员 工 电 脑 就 感 染 了 恶 意 代 码 ; 2 ) 远 程 漏 洞 攻 击 方 法 ， 比 如 在 员 工 经 常 访 问 的 网 站 上 放 置 网 页 木 马 ， 当 员 工 访 问 该 网 站 时 ， 就 遭 受 到 网 页 代 码 的 攻 击 。 这 些 恶 意 代 码 往 往 是 系 统 位 置 未 知 漏 洞 ， 因 此 安 全 防 御 工 具 无 法 察 觉 。 这 些 恶 意 代 码 往 往 是 系 统 位 置 未 知 漏 洞 ， 因 此 安 全 防 御 工 具 无 法 察 觉 。 3 、 站 稳 脚 跟 、 站 稳 脚 跟 在 网 络 中 植 入 远 程 访 问 工 具 ， 从 而 帮 助 攻 击 者 开 启 网 络 后 门 ， 实 现 隐 蔽 访 问 。 4 、 提 权 、 提 权 攻 击 者 将 员 工 电 脑 当 做 跳 板 ， 通 过 利 用 漏 洞 和 破 解 密 码 ， 获 得 受 害 者 电 脑 的 管 理 员 权 限 ， 可 能 还 会 试 图 获 取 W i n d o w s 域 管 理 员 特 权 权 限 。 5 、 内 部 勘 察 、 内 部 勘 察 攻 击 者 在 内 部 渗 透 和 长 期 潜 伏 的 过 程 中 ， 有 意 识 的 收 集 周 遭 设 施 、 安 全 信 任 关 系 、 域 结 构 的 信 息 。 6 、 横 向 发 展 、 横 向 发 展 攻 击 者 将 控 制 权 扩 展 到 其 他 工 作 站 、 服 务 器 及 设 施 ， 收 集 数 据 。 7 、 保 持 现 状 、 保 持 现 状
巩 固 之 前 获 取 的 访 问 权 限 及 登 录 凭 证 。 8 、 任 务 完 成 、 任 务 完 成 此 时 ， 受 害 者 网 络 中 成 功 盗 取 数 据 。 A P T 检 测 及 防 御 检 测 及 防 御 目 前 ， A P T 攻 击 检 测 大 致 围 绕 三 个 方 面 ： 恶 意 代 码 检 测 、 主 机 应 用 保 护 、 网 络 入 侵 检 测 。 这 些 单 一 模 式 对 防 御 A P T 攻 击 来 说 ， 略 显 捉 襟 见 肘 。 孤 立 地 进 行 恶 意 代 码 检 测 和 主 机 应 用 保 护 难 以 解 决 根 本 问 题 。 中 国 科 学 院 计 算 技 术 研 究 所 副 总 工 程 学 旗 曾 撰 文 阐 述 了 利 用 大 数 据 进 行 中 国 科 学 院 计 算 技 术 研 究 所 副 总 工 程 学 旗 曾 撰 文 阐 述 了 利 用 大 数 据 进 行 A P T 分 析 ， 认 为 大 数 据 通 常 具 有 分 析 ， 认 为 大 数 据 通 常 具 有 4 个 特 征 ： 体 个 特 征 ： 体 量 大 、 速 度 快 、 数 据 格 式 和 类 型 不 同 、 数 据 真 实 精 确 （ 量 大 、 速 度 快 、 数 据 格 式 和 类 型 不 同 、 数 据 真 实 精 确 （ v o l u m e 、 、 v e l o c i t y 、 、 v a r i e t y 和 和 v e r a c i t y ） 。 这 给 数 据 存 储 带 来 一 ） 。 这 给 数 据 存 储 带 来 一 系 列 难 点 。 系 列 难 点 。 “ 对 于 A P T 而 言 ， 更 多 的 是 针 对 网 络 空 间 ， 而 网 络 空 间 本 身 具 有 数 据 类 型 和 数 据 格 式 不 一 样 ， 日 志 信 息 的 行 为 、 内 容 、 结 构 化 各 异 的 特 点 。 ” 不 难 看 出 ， 利 用 大 数 据 进 行 有 效 地 监 测 ， 不 仅 可 以 用 来 解 决 A P T 攻 击 问 题 ， 也 可 以 应 用 到 其 它 相 关 领 域 。 A P T 安 全 产 品 解 析 安 全 产 品 解 析 F i r e E y e 无 疑 是 对 抗 A P T 中 的 佼 佼 者 ， 推 出 了 基 于 恶 意 代 码 防 御 系 统 （ M a l w a r e   P r o t e c t i o n   S y s t e m ） 和 集 中 管 理 系 统 （ C e n t r a l M a n a g e m e n t   S y s t e m ） 两 个 模 块 的 解 决 方 案 。 而 C M S 除 了 集 中 管 理 系 统 中 的 多 个 M P S 引 擎 外 ， 还 可 以 获 取 云 中 的 全 球 威 胁 情 报 ， 同 时 支 持 将 检 测 到 的 恶 意 代 码 传 到 云 ， 实 现 威 胁 情 报 共 享 。 趋 势 科 技 D e e p   D i s c o v e r y 解 决 方 案 采 用 的 是 网 络 入 侵 检 测 技 术 来 检 测 A P T 攻 击 的 命 令 通 道 ， 还 通 过 在 入 侵 检 测 引 擎 上 部 署 沙 箱 。 整 个 方 案 包 括 检 测 、 分 析 、 调 整 、 响 应 四 个 步 骤 。 和 F i r e E y e 相 似 ， 也 实 现 了 不 同 引 擎 之 间 威 胁 情 报 的 广 泛 共 享 机 制 。 华 为 自 适 应 华 为 自 适 应 A P T 防 御 解 决 方 案 分 为 恶 意 代 码 检 测 与 大 数 据 分 析 两 个 思 路 。 以 华 为 沙 箱 为 基 础 ， 通 过 关 联 分 析 准 确 测 防 御 解 决 方 案 分 为 恶 意 代 码 检 测 与 大 数 据 分 析 两 个 思 路 。 以 华 为 沙 箱 为 基 础 ， 通 过 关 联 分 析 准 确 测 得 得 A P T 中 恶 意 软 件 的 感 染 范 围 ， 只 对 中 恶 意 软 件 的 感 染 范 围 ， 只 对 A P T 中 关 键 的 恶 意 软 件 、 对 外 通 道 进 行 深 度 检 测 和 拦 截 ； 以 中 关 键 的 恶 意 软 件 、 对 外 通 道 进 行 深 度 检 测 和 拦 截 ； 以 C I S 大 数 据 安 全 分 析 大 数 据 安 全 分 析 平 台 为 基 础 ， 采 用 机 器 学 习 快 速 检 测 各 种 异 常 行 为 ， 多 维 度 的 分 析 有 助 于 快 速 发 现 平 台 为 基 础 ， 采 用 机 器 学 习 快 速 检 测 各 种 异 常 行 为 ， 多 维 度 的 分 析 有 助 于 快 速 发 现 A P T 并 及 时 进 行 预 警 。 并 及 时 进 行 预 警 。 总 结 总 结 鉴 于 A P T 高 昂 的 时 间 、 金 钱 及 人 力 成 本 ， 它 断 然 不 是 网 络 黑 色 产 业 的 良 选 ， 但 无 论 A P T 还 是 网 络 黑 色 产 业 的 攻 击 行 为 ， 都 带 有 攻 击 的 本 质 ， 二 者 的 攻 击 行 为 也 有 很 多 相 似 之 处 。 A P T 攻 击 善 于 打 攻 击 善 于 打 “ 游 击 战 游 击 战 ” ， 喜 欢 另 辟 蹊 径 ， 一 旦 从 目 标 身 上 撕 开 了 一 个 口 子 ， 便 可 以 趁 虚 而 入 。 所 以 针 对 ， 喜 欢 另 辟 蹊 径 ， 一 旦 从 目 标 身 上 撕 开 了 一 个 口 子 ， 便 可 以 趁 虚 而 入 。 所 以 针 对 A P T 的 防 的 防 御 思 维 必 然 先 要 从 御 思 维 必 然 先 要 从 “ 面 面 ” 来 思 考 ， 进 而 将 来 思 考 ， 进 而 将 “ 点 ， 线 ， 面 点 ， 线 ， 面 ” 结 合 ， 形 成 一 个 结 合 ， 形 成 一 个   “ 防 御 体 防 御 体 ” 。 因 此 ， 未 来 以 华 为 为 代 表 的 基 于 大 。 因 此 ， 未 来 以 华 为 为 代 表 的 基 于 大 数 据 分 析 建 立 的 数 据 分 析 建 立 的 A P T 防 御 平 台 会 实 现 更 为 有 效 的 防 御 平 台 会 实 现 更 为 有 效 的 A P T 对 抗 及 溯 源 等 防 御 。 对 抗 及 溯 源 等 防 御 。 对 抗 A P T 是 场 “ 持 久 战 ” ， 攻 与 防 的 对 抗 永 远 不 会 停 止 ， A P T   也 不 会 就 此 消 失 ， 网 络 安 全 的 攻 防 技 术 就 是 在 攻 与 防 的 对 立 统 一 中 在 寻 求 突 破 。 因 此 ， A P T 攻 击 还 在 继 续 ， 未 来 ， 政 府 、 企 业 以 及 个 人 都 仍 将 面 临 着 重 重 考 验 。 * F r e e B u f 小 编 综 合 整 理 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理