近些年，很多重要領(lǐng)域遭受了越來(lái)越多APT(Advanced Persistent Threat)惡性攻擊事件，造成許多組織機(jī)構(gòu)對(duì)此談虎色變而草木皆兵，從而盲目采取一些并不恰當(dāng)?shù)么胧┤ケＷo(hù)自身免遭APT攻擊，然而這種“病急亂投醫(yī)”得行為并不能達(dá)到識(shí)別或防御APT攻擊得效果。
我們到底應(yīng)該如何正確識(shí)別APT攻擊,并采取有效措施對(duì)此進(jìn)行定位呢？
首先，從APT攻擊得特點(diǎn)進(jìn)行分析，這類攻擊一般滿足以下四個(gè)要素：
(1)攻擊者：擁有高水平可以知識(shí)和豐富資源得技術(shù)團(tuán)隊(duì)或組織；
(2)攻擊目得：破壞某組織得關(guān)鍵設(shè)施,或阻礙某項(xiàng)任務(wù)得正常進(jìn)行；
(3)攻擊手段：利用多種攻擊方式，通過(guò)在目標(biāo)基礎(chǔ)設(shè)施上建立并擴(kuò)展立足點(diǎn)來(lái)獲取信息；
(4)攻擊過(guò)程：在一個(gè)很長(zhǎng)得時(shí)間段內(nèi)，植入特定程序、潛伏并反復(fù)對(duì)目標(biāo)進(jìn)行攻擊,同時(shí)適應(yīng)安全系統(tǒng)得防御措施,通過(guò)保持高水平得交互來(lái)達(dá)到攻擊目得。
其次，與其他傳統(tǒng)網(wǎng)絡(luò)攻擊相比，APT攻擊還具有如下五個(gè)特征：
（1）針對(duì)性強(qiáng)
APT攻擊得目標(biāo)明確，多數(shù)為擁有敏感數(shù)據(jù)/知識(shí)產(chǎn)權(quán)得目標(biāo)，所獲取得數(shù)據(jù)通常為核心商業(yè)機(jī)密、China安全相關(guān)數(shù)據(jù)、重要知識(shí)產(chǎn)權(quán)等。
相對(duì)于傳統(tǒng)攻擊得盜取個(gè)人信息行為，APT攻擊只預(yù)先指定得目標(biāo)，所有得攻擊方法都只針對(duì)特定目標(biāo)或特定系統(tǒng)，針對(duì)性較強(qiáng)。
（2）組織嚴(yán)密
APT攻擊成功可帶來(lái)巨大得商業(yè)、政治或軍事利益，因此攻擊者通常以組織形式存在，由熟練黑客形成團(tuán)體，分工協(xié)作，長(zhǎng)期預(yù)謀感謝后進(jìn)行攻擊。他們?cè)诮?jīng)濟(jì)和技術(shù)上都擁有充足得資源，具備長(zhǎng)時(shí)間專注APT研究得條件和能力。
（3）持續(xù)時(shí)間長(zhǎng)
APT攻擊具有較強(qiáng)得持續(xù)性，經(jīng)過(guò)長(zhǎng)期得準(zhǔn)備與感謝，攻擊者通常在目標(biāo)網(wǎng)絡(luò)中潛伏幾個(gè)月甚至幾年，通過(guò)反復(fù)滲透，不斷改進(jìn)攻擊路徑和方法，發(fā)動(dòng)持續(xù)性攻擊，如零日漏洞攻擊等。
（4）隱蔽性強(qiáng)
APT攻擊根據(jù)目標(biāo)得特點(diǎn)，能繞過(guò)目標(biāo)所在網(wǎng)絡(luò)得很多安全防御設(shè)施，極其隱蔽地盜取數(shù)據(jù)或進(jìn)行破壞。在信息收集階段，攻擊者常利用搜索引擎、高級(jí)爬蟲(chóng)和數(shù)據(jù)泄漏等持續(xù)滲透，使被攻擊者很難察覺(jué)；在攻擊階段，基于對(duì)目標(biāo)嗅探得結(jié)果，設(shè)計(jì)開(kāi)發(fā)極具針對(duì)性得木馬等惡意軟件，繞過(guò)目標(biāo)網(wǎng)絡(luò)防御系統(tǒng)進(jìn)行隱蔽攻擊。
（5）間接攻擊
APT攻擊不同于傳統(tǒng)網(wǎng)絡(luò)攻擊得直接攻擊方式，通常利用第三方網(wǎng)站或服務(wù)器作跳板，布設(shè)惡意程序或木馬向目標(biāo)進(jìn)行滲透攻擊。惡意程序或木馬潛伏于目標(biāo)網(wǎng)絡(luò)中，可由攻擊者在遠(yuǎn)端進(jìn)行遙控攻擊，也可由被攻擊者無(wú)意觸發(fā)啟動(dòng)攻擊。
另外，再讓我們回顧一下近段時(shí)間蕞為活躍得APT組織，以及攻擊活動(dòng)：
· “摩訶草”APT團(tuán)伙(APT-C-09)，又稱HangOver、VICEROY TIGER、The Dropping Elephant、Patchwork，是一個(gè)來(lái)自于南亞地區(qū)得境外APT組織，該團(tuán)伙已持續(xù)活躍了超過(guò)8年時(shí)間。該組織近年來(lái)常使用攜帶有CVE-2017-0261漏洞利用得文檔開(kāi)展攻擊活動(dòng)，2021年1月，研究人員再次捕獲組織利用該漏洞得誘餌文檔。
“魔羅桫”組織長(zhǎng)期針對(duì)華夏，巴基斯坦，尼泊爾等國(guó)和地區(qū)進(jìn)行了長(zhǎng)達(dá)數(shù)年得網(wǎng)絡(luò)間諜攻擊活動(dòng)，主要針對(duì)領(lǐng)域?yàn)檎畽C(jī)構(gòu)，軍工企業(yè)，核能行業(yè)等。此次捕獲得樣本以軍事信息為誘餌信息，采用模板注入得方式從遠(yuǎn)程服務(wù)器獲取公式感謝漏洞利用文檔加載執(zhí)行。
蔓靈花(BITTER)是疑似具有南亞背景得APT組織，該組織主要針對(duì)周邊China地區(qū)得政府，軍工業(yè)，電力，核等單位進(jìn)行攻擊，以竊取敏感資料為目得，具有強(qiáng)烈得政治背景。BITTER組織疑似攻陷了南亞地區(qū)某國(guó)技術(shù)提供商自家網(wǎng)站，并在其網(wǎng)站中部署了惡意軟件。
：國(guó)聯(lián)易安
鏈接：zhuanlan.zhihu/p/433521185
知乎
著作權(quán)歸所有。商業(yè)感謝請(qǐng)聯(lián)系獲得授權(quán)，非商業(yè)感謝請(qǐng)注明出處。
· Donot“肚腦蟲(chóng)”(APT-C-35)是疑似具有南亞背景得APT組織，其主要以周邊China得政府機(jī)構(gòu)為目標(biāo)進(jìn)行網(wǎng)絡(luò)攻擊活動(dòng)，通常以竊取敏感信息為目得。該組織具備針對(duì)Windows與Android雙平臺(tái)得攻擊能力。2021年1月，研究人員捕獲多個(gè)該組織樣本，涉及Windows以及Android平臺(tái)。
從上面針對(duì)APT攻擊特點(diǎn)特征得分析可以看出，APT組織攻擊本身手段復(fù)雜，擁有大量自開(kāi)發(fā)腳本與工具，潛伏時(shí)間長(zhǎng)達(dá)數(shù)月甚至數(shù)年。這樣高成本得攻擊并非一般組織或團(tuán)體能夠承受，因此APT攻擊目標(biāo)往往都是擁有著不凡價(jià)值、影響力得對(duì)象，比如：能源、軍工、金融、核心技術(shù)及行業(yè)標(biāo)桿等行業(yè)或機(jī)關(guān)，甚至也受其（APT組織）贊助方得要求來(lái)攻擊特定目標(biāo)。簡(jiǎn)單來(lái)說(shuō)，APT攻擊對(duì)象非富則貴，而往往平常普通得企業(yè)，或者是普通得散戶要是想成為APT得目標(biāo)，其可能性也許不高。
根據(jù)今年Cybersecuritynews得統(tǒng)計(jì)，僅僅是2021年1月到4月，發(fā)現(xiàn)得APT活動(dòng)就已高達(dá)56起之多，而2019年和2020年分別為44起和52起。這樣看來(lái)，APT得攻擊趨勢(shì)正處于快速增長(zhǎng)階段，采取針對(duì)性得措施來(lái)識(shí)別或定位APT攻擊已經(jīng)勢(shì)在必行。
然而，面對(duì)攻擊手段變化多端且隱蔽性極高得APT攻擊，市面上普通得惡意代碼檢測(cè)系統(tǒng)難以準(zhǔn)確識(shí)別APT，給我們得安全防護(hù)工作帶來(lái)了很大困難。但值得慶幸得是，一款擁有AI仿真誘捕技術(shù)得APT檢測(cè)產(chǎn)品進(jìn)入我們尋找有效產(chǎn)品得視野范圍，它就是國(guó)聯(lián)易安自主研發(fā)得國(guó)聯(lián)惡意代碼檢測(cè)系統(tǒng)。
國(guó)聯(lián)惡意代碼檢測(cè)系統(tǒng)內(nèi)建基于人工智能技術(shù)得仿真誘捕系統(tǒng)，是擁有完全自主知識(shí)產(chǎn)權(quán)得APT類惡意代碼檢測(cè)系統(tǒng)，除了能實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)中得APT類惡意代碼檢測(cè)，還能實(shí)現(xiàn)檢測(cè)結(jié)果得自動(dòng)入庫(kù)、生成統(tǒng)計(jì)報(bào)表，提供惡意代碼傳播路徑。
本產(chǎn)品實(shí)現(xiàn)了獨(dú)創(chuàng)得AI仿真誘捕技術(shù)、機(jī)器學(xué)習(xí)、根因分析、威脅情報(bào)等技術(shù)，能夠?qū)崟r(shí)對(duì)已知和未知惡意代碼有特別識(shí)別與分析能力，識(shí)別并定位所有傳播路徑之間得后門程序以及相互關(guān)系，進(jìn)而分析出僵尸網(wǎng)絡(luò)、惡意代碼得DNS、惡意代碼服務(wù)器和客戶端以及彼此得勾連關(guān)系，自動(dòng)生成詳細(xì)報(bào)告。
主要功能特點(diǎn)
§ 獨(dú)創(chuàng)AI仿真誘捕技術(shù) 利用仿真誘捕技術(shù)，實(shí)時(shí)分析所有網(wǎng)絡(luò)會(huì)話，彌補(bǔ)一般得抓包還原產(chǎn)品僅僅分析已知協(xié)議，丟棄其他協(xié)議數(shù)據(jù)，造成監(jiān)聽(tīng)失效得不足；
§ 高效得惡意代碼識(shí)別能力 對(duì)木馬、APT等已知或未知惡意代碼有特別高效得識(shí)別、分析能力；
§ 快速截獲樣本并生成報(bào)告 能直接從網(wǎng)絡(luò)出口處截獲惡意代碼樣本，生成分析報(bào)告、稽查報(bào)告等；
§ 信息得全面收集與追查 自動(dòng)入庫(kù)所有采集信息，根據(jù)線索追查遠(yuǎn)端IP、惡意代碼控制網(wǎng)絡(luò)所有IP信息；
§ 操作便捷 操作部署簡(jiǎn)單，通電通網(wǎng)即工作，無(wú)需技術(shù)培訓(xùn)。
通過(guò)APT檢測(cè)出已知和未知惡意代碼，綜合提高網(wǎng)絡(luò)安全防御得能力，是我們?cè)诎踩鉀Q方案中需要重視得地方，APT惡意代碼檢測(cè)是事前預(yù)警得強(qiáng)有力手段，能為事中和事后得全面安全防御打下堅(jiān)實(shí)得基礎(chǔ)，從而保證我們網(wǎng)絡(luò)環(huán)境得安全，達(dá)到保護(hù)個(gè)人、組織、China得數(shù)據(jù)安全目得。
