【正文】 線之前，要嚴(yán)格地進(jìn)行各種安全測(cè)試和加固。并對(duì)員工的主機(jī)實(shí)行mac雙向綁定，從而預(yù)防ARP攻擊 應(yīng)用程序的安全的防護(hù)WEB應(yīng)用程序是整個(gè)網(wǎng)絡(luò)中的第一道防線，同時(shí)也是整個(gè)網(wǎng)絡(luò)中最容易被攻擊者攻擊的一個(gè)環(huán)節(jié)，從而導(dǎo)致了WEB應(yīng)用程序的安全變得很重要。（6）日志管理對(duì)日志進(jìn)行統(tǒng)一管理，安全管理員應(yīng)該定期進(jìn)行日志分析。（4）病毒防御系統(tǒng)統(tǒng)一為網(wǎng)內(nèi)中的所有主機(jī)和服務(wù)器安裝殺毒軟件。 內(nèi)網(wǎng)的安全的防護(hù)（1）訪問控制配置訪問控制策略，對(duì)網(wǎng)絡(luò)進(jìn)行訪問控制，并且在內(nèi)網(wǎng)中應(yīng)該不要使用無線網(wǎng)，無線網(wǎng)絡(luò)存在諸多安全隱患，而且不方便集中管理上網(wǎng)用戶，為了避免攻擊者通過無線網(wǎng)絡(luò)滲透進(jìn)內(nèi)網(wǎng)或者機(jī)密資料被竊取，所以應(yīng)避免使用無線網(wǎng)絡(luò)。主機(jī)、應(yīng)用系統(tǒng)登錄安全問題。（2）內(nèi)網(wǎng)帶來的威脅內(nèi)部成員之間重要文檔在傳輸過程中帶來的安全問題，當(dāng)某個(gè)不具備某文檔閱讀權(quán)限的內(nèi)部員工可能會(huì)接觸、打開、復(fù)制、打印該文檔，這樣就有可能造成文件的泄露。這些威脅也許會(huì)通過U盤、移動(dòng)硬盤等移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行傳播。（4）模擬攻擊安全管理員將識(shí)別出的報(bào)警數(shù)據(jù)進(jìn)行關(guān)聯(lián)性分析， 明確這些報(bào)警數(shù)據(jù)與APT攻擊之間存在的語義關(guān)系，并將孤立的攻擊報(bào)警從海量的報(bào)警中提取出來，根據(jù)關(guān)聯(lián)特征組建攻擊場(chǎng)景相關(guān)的知識(shí)庫，對(duì)識(shí)別出的報(bào)警與之相匹配、對(duì)照，構(gòu)建 APT攻擊，如果構(gòu)建成功，則APT攻擊被發(fā)現(xiàn)，并將其記錄。往往這些不受重視的報(bào)警常常是攻擊者掩藏蓄謀已久的攻擊意圖的好地方（2）濃縮數(shù)據(jù)量對(duì)輸入的數(shù)據(jù)量進(jìn)行壓縮， 在全流量中的數(shù)據(jù)進(jìn)行篩選，將有用的信息刪選出來，并將與攻擊不相關(guān)聯(lián)的數(shù)據(jù)及時(shí)刪除，并保留與APT攻擊有關(guān)的數(shù)據(jù)流量， 將其有用數(shù)據(jù)弄成一個(gè)集合，壓縮對(duì)數(shù)據(jù)量，從而為檢測(cè)系統(tǒng)騰出更大的空間。該記憶的檢測(cè)方案主要分成如下幾個(gè)步驟: （1）擴(kuò)大檢測(cè)范圍該方案對(duì)數(shù)據(jù)流量的檢測(cè)領(lǐng)域進(jìn)行拓展， 并將全流量數(shù)據(jù)進(jìn)行有效的存儲(chǔ)，對(duì)存儲(chǔ)的流量數(shù)據(jù)會(huì)進(jìn)行深入分析?；谟洃浀臋z測(cè)可以有效緩解上述問題。一份統(tǒng)一的威脅名單：根據(jù)威脅檢測(cè)技術(shù)和虛擬分析技術(shù)的結(jié)果，模擬APT攻擊，可以產(chǎn)生一個(gè)可疑的威脅名單或則一份APT攻擊記錄報(bào)表，并將其可以名單和記錄的APT攻擊報(bào)表及時(shí)的地反饋給安全人員報(bào)表系統(tǒng)：該系統(tǒng)根據(jù)不同的目的，提供不同的報(bào)表供 IT 安全管理人員查看。如果該文件是一個(gè)正常文件，隔離后，用戶需要額外的操作才能得到該文件；如果該文件是一個(gè)惡意文件，放過的話，就會(huì)對(duì)會(huì)對(duì)用戶的系統(tǒng)造成影響。 對(duì)于異常告警，安全審計(jì)人員需及時(shí)確認(rèn)原因；并對(duì)未能確認(rèn)原因的異常告警信息，尤其是異常流量警告信息，并及時(shí)聯(lián)系安全技術(shù)支持人員進(jìn)行近一步分析這種異常，從而發(fā)現(xiàn)APT攻擊，但是該檢測(cè)的缺點(diǎn)是不能檢測(cè)未知的異常,同時(shí)隨著異常種類越來越來多,導(dǎo)致特征庫越來越龐大,從而監(jiān)測(cè)性能也隨之下降。該方案主要注重的是對(duì)元數(shù)據(jù)的提取， 以此對(duì)整個(gè)網(wǎng)絡(luò)流量的基本情況進(jìn)行檢測(cè)， 從而發(fā)現(xiàn)異常行為。 因而導(dǎo)致沙箱檢測(cè)在這種情形下檢測(cè)不出來惡意代碼， 但是在另外一種情形下可能檢測(cè)出來 異常檢測(cè)模式： 異常檢測(cè)流程圖APT攻擊常使用端口跳變、應(yīng)用層加密等手段隱藏惡意流量特征，只有通過一系列的數(shù)據(jù)聚類才能發(fā)現(xiàn)異常，異常檢測(cè)是利用預(yù)先設(shè)定好特征庫或規(guī)則庫和用戶通過從賬號(hào)登錄的IP地址、時(shí)間、行為操作序列等特征的統(tǒng)計(jì)可得到該賬號(hào)的正常行為產(chǎn)生的數(shù)據(jù)量建立一個(gè)有效的模型。 檢測(cè)的整體流程圖該方案在一定程度上可以有效檢測(cè) APT 攻擊， 對(duì)攻擊方式進(jìn)行非特征匹配。通常APT攻擊會(huì)采用一些惡意程序文件名與常見Windows文件類似，讓我們很難發(fā)現(xiàn)。APT攻擊者為了發(fā)動(dòng)攻擊肯定會(huì)在系統(tǒng)的某處留下一些模糊的蹤跡，然而這些蹤跡在我們平時(shí)看來是正常的一些網(wǎng)絡(luò)行為，所以這就導(dǎo)致了我們很難檢測(cè)到APT攻擊。所以要檢測(cè)出APT攻擊已成為許多企業(yè)所面臨的難題，因?yàn)锳PT種攻擊是以“隱形模式”進(jìn)行的。為了避免受害者推斷出攻擊的來源，APT 代碼需要對(duì)其在目標(biāo)網(wǎng)絡(luò)中存留的痕跡進(jìn)行銷毀，這個(gè)過程可以稱之為 APT 的退出。為確保以后的數(shù)據(jù)竊取行動(dòng)中會(huì)得到最有價(jià)值的數(shù)據(jù)，APT會(huì)長期低調(diào)地潛伏。當(dāng)接收到特定指令，或者檢測(cè)到環(huán)境參數(shù)滿足一定條件時(shí)，惡意程序開始執(zhí)行預(yù)期的動(dòng)作。然后，APT攻擊活動(dòng)利用網(wǎng)絡(luò)通信協(xié)議來與Camp。（Camp。另外，攻擊者在探測(cè)期中也需要收集各類零日漏洞、編制木馬程序、制訂攻擊計(jì)劃等，用于在下一階段實(shí)施精確攻擊，當(dāng)攻擊者收集到足夠的信息時(shí)，就會(huì)對(duì)目標(biāo)網(wǎng)絡(luò)發(fā)起攻擊。(5)攻擊者在持續(xù)不斷獲取受害企業(yè)和組織網(wǎng)絡(luò)中的重要數(shù)據(jù)的時(shí)候，一定會(huì)向外部傳輸數(shù)據(jù)。從一些受到APT攻擊的大型企業(yè)可以發(fā)現(xiàn)，這些企業(yè)受到威脅的關(guān)鍵因素都與普通員工遭遇社交工程的惡意郵件有關(guān)。APT攻擊在沒有挖掘到目標(biāo)的有用信息之前，它可以悄悄潛伏在被攻擊的目標(biāo)的主機(jī)中。 APT攻擊的原理APT攻擊的原理和其他網(wǎng)絡(luò)攻擊的區(qū)別主要在于他攻擊形式更為高級(jí)和先進(jìn)，其高級(jí)性體現(xiàn)在APT在發(fā)動(dòng)攻擊之前，需要對(duì)攻擊目標(biāo)信息進(jìn)行精確的收集，在此收集的過程中，有可能結(jié)合當(dāng)前IT行業(yè)所有可用的攻擊入侵手段和技術(shù)，他們不會(huì)采取單一的攻擊手段，病毒傳播、SQL 注入等 。第二章 相關(guān)的基礎(chǔ)知識(shí) ATP的概念A(yù)PT攻擊是一種非常有目標(biāo)的攻擊。但是，多重指標(biāo)很容易導(dǎo)致判斷出現(xiàn)失誤，而且，攻擊者還可能利用偽造技術(shù)指標(biāo)來將懷疑對(duì)象轉(zhuǎn)嫁到別人身上，大大提升了判斷的難度。因此，我們將會(huì)看到越來越多的本地化攻擊。APT攻擊是一個(gè)在時(shí)間上具備連續(xù)性的行為，在以后信息技術(shù)快速的發(fā)展中，APT攻擊將會(huì)變得越來越復(fù)雜，這并不僅僅表示攻擊技術(shù)越來越強(qiáng)大，也意味著部署攻擊的方式越來越靈活。例如，美國國防部的 High Level 網(wǎng)絡(luò)作戰(zhàn)原則中，明確指出針對(duì) APT 攻擊行為的檢測(cè)與防御是整個(gè)風(fēng)險(xiǎn)管理鏈條中至關(guān)重要也是基礎(chǔ)的組成部分，西方先進(jìn)國家已將APT防御議題提升到國家安全層級(jí)，這絕不僅僅造成數(shù)據(jù)泄露。缺乏統(tǒng)一的形式化描述,不能全面系統(tǒng)地表達(dá)APT攻擊的全過程。國內(nèi)防不住，國外其實(shí)也防不住[2]。APT變化多端、效果顯著且難于防范,因此,漸漸成為網(wǎng)絡(luò)滲透和系統(tǒng)攻擊的演進(jìn)趨勢(shì)。ATP攻擊的發(fā)現(xiàn)與防護(hù)方案設(shè)計(jì)目錄摘要 IIAbstract III第一章 概述 1 目的與意義 1 1 主要設(shè)計(jì)內(nèi)容 3第二章 相關(guān)的基礎(chǔ)知識(shí) 4 ATP的概念 4 APT攻擊的原理 4 APT的危害 5第三章 APT攻擊的發(fā)現(xiàn) 6 ATP攻擊的途徑 6 ATP攻擊的過程剖析 6 ATP的檢測(cè) 8 9 異常檢測(cè)模式 10 威脅檢測(cè)技術(shù) 11 基于記憶的檢測(cè) 13第四章 APT防護(hù)方案設(shè)計(jì) 15 網(wǎng)絡(luò)拓?fù)鋱D 15 存在的威脅 15 內(nèi)網(wǎng)的安全的防護(hù) 16 應(yīng)用程序的安全的防護(hù) 17 服務(wù)器安全的防護(hù) 18 漏洞的防護(hù) 18 社會(huì)工程學(xué) 20 針對(duì)SQL注入的防護(hù) 21 防護(hù)方案后的拓?fù)鋱D 23第五章 ATP攻防實(shí)驗(yàn) 25 實(shí)驗(yàn)平臺(tái)的搭建 25 平臺(tái)拓?fù)鋱D 25 web的搭建 25 FTP服務(wù)器的搭建 29 弱密碼攻擊 33 攻擊 33 防護(hù) 38. 測(cè)試 44 操作系統(tǒng)IPC$ 漏洞攻擊 46 攻擊 46 防護(hù) 51 測(cè)試 55 SQL注入攻擊 57第六章 總結(jié) 65 總結(jié) 65 展望 65參考文獻(xiàn) 67致謝 68 II第一章 概述 目的與意義近年來，隨著信息技術(shù)的高速發(fā)展，信息化技術(shù)在給人們帶來種種物質(zhì)和文化生活享受的同時(shí)，各種安全問題也隨之而來，諸如網(wǎng)絡(luò)的數(shù)據(jù)竊賊、黑客對(duì)主機(jī)的侵襲從而導(dǎo)致系統(tǒng)內(nèi)部的泄密者。所以要設(shè)計(jì)一套能有效防護(hù)APT攻擊的方案顯得及其重要。目前仍有很多人對(duì)APT這個(gè)名詞感到陌生，APT到底是什么，關(guān)于APT的定義非?；靵y，APT攻擊并不是具體限定于某一種唯一的方法和步驟,他攻擊的手段多種多樣，廣泛的用到了社會(huì)工程學(xué)的手段。外對(duì)APT攻擊的檢測(cè)主要還都處于探索狀態(tài)。根據(jù)許多APT行為特征的蠕蟲病毒分析報(bào)告來看，我國信息化建設(shè)和重要信息系統(tǒng)也可能受到來自某些國家和組織實(shí)施的前所未有的 APT 安全威脅，然而我國當(dāng)前面向重要網(wǎng)絡(luò)信息系統(tǒng)的專業(yè)防護(hù)服務(wù)能力和產(chǎn)業(yè)化程度相對(duì)較低，尚難以有效應(yīng)對(duì)高級(jí)持續(xù)性威脅攻擊，形勢(shì)相當(dāng)嚴(yán)峻，另一方面，由于APT攻擊的高度復(fù)合性和復(fù)雜性，目前尚缺乏對(duì) APT 成因和檢測(cè)的完善方法的研究。以后，這類攻擊將會(huì)具備更大的破壞能力，使得我們更難進(jìn)行屬性分析。（2）APT攻擊將更有破壞性：在以后，APT攻擊將帶有更多的破壞性質(zhì)，無論這是它的主要目的，或是作為清理攻擊者總計(jì)的手段，都很有可能成為時(shí)間性攻擊的一部分，被運(yùn)用在明確的目標(biāo)上。 主要設(shè)計(jì)內(nèi)容運(yùn)用已學(xué)過的信息安全原理與技術(shù)、現(xiàn)代密碼學(xué)、計(jì)算機(jī)網(wǎng)絡(luò)和網(wǎng)絡(luò)攻防等專業(yè)知識(shí)，對(duì)高級(jí)持續(xù)性威脅(AdvancedAPT攻擊和其他的網(wǎng)絡(luò)攻擊相比，他們有著本質(zhì)的區(qū)別，病毒擁有3個(gè)基本屬性，APT攻擊在擁有那些基本屬性的同時(shí)，也擁有了屬于自己特有的屬性。因?yàn)閱我坏墓羰侄稳菀妆话l(fā)現(xiàn)，很難達(dá)到APT攻擊所想要的結(jié)果，所以通常會(huì)使用自己設(shè)計(jì)、具有極強(qiáng)針對(duì)性和破壞性的惡意程序[5]，主動(dòng)挖掘被攻擊對(duì)象受信系統(tǒng)和應(yīng)用程序的漏洞，對(duì)目標(biāo)系統(tǒng)實(shí)施毀滅性的打擊,APT攻擊的方式可以根據(jù)實(shí)際情況進(jìn)行動(dòng)態(tài)的調(diào)整，從整體上掌控攻擊進(jìn)程，APT攻擊還具備快速編寫所需滲透代碼的能力。傳統(tǒng)安全事故經(jīng)常是可見的、危害即刻發(fā)生，造成的威脅很小；可是APT攻擊則是不可見，危害在幕后發(fā)生，因?yàn)锳PT攻擊具有很強(qiáng)的隱蔽性，所以悄然間便可竊取被攻擊目標(biāo)的核心數(shù)據(jù)，當(dāng)一個(gè)企業(yè)或一個(gè)國家知道被攻擊成功時(shí)，則造成的危害已經(jīng)不可挽回，他的破壞力是非常強(qiáng)的，在國與國之間沒有真正較量沒有發(fā)生之前時(shí)發(fā)作，一旦發(fā)作也許會(huì)導(dǎo)致系統(tǒng)不運(yùn)行，包括金融系統(tǒng)，攻擊的目標(biāo)大多數(shù)是針對(duì)國家的要害部門，所以它的危害是非常嚴(yán)重，威脅到國家的信息安全。黑客一開始，就是針對(duì)某些特定員工發(fā)送的釣魚郵件，以此作為使用APT手法進(jìn)行攻擊的所有源頭。通過對(duì)數(shù)據(jù)進(jìn)行壓縮、加密的方式導(dǎo)致現(xiàn)有絕大部分基于特征庫匹配的檢測(cè)系統(tǒng)失效，實(shí)現(xiàn)數(shù)據(jù)的傳輸總之，高級(jí)持續(xù)性威脅(APT)正在通過一切方式，繞過基于代碼的傳統(tǒng)安全方案如防病毒軟件、防火墻、IPS等)，并更長時(shí)間的潛伏在系統(tǒng)中，讓傳統(tǒng)防御體系難以偵測(cè)[6]。第二階段：進(jìn)入點(diǎn)。CC服務(wù)器通信，并確認(rèn)入侵成功的計(jì)算機(jī)和Camp。第四階段：橫向擴(kuò)展。這是APT長期潛伏不容易被發(fā)現(xiàn)的特點(diǎn)，來挖掘出最多的資料，而且在這個(gè)過程當(dāng)中，通常不會(huì)是重復(fù)自動(dòng)化的過程，而是會(huì)有人工的介入對(duì)數(shù)據(jù)作分析，以做最大化利用。APT 根據(jù)入侵之前采集的系統(tǒng)信息，將滯留過的主機(jī)進(jìn)行狀態(tài)還原，并恢復(fù)網(wǎng)絡(luò)配置參數(shù)，清除系統(tǒng)日志數(shù)據(jù)，使事后電子取證分析和責(zé)任認(rèn)定難以進(jìn)行。對(duì)于傳統(tǒng)的攻擊行為，安全專家僅需關(guān)注惡意程序的樣本提取并做分析，便可以掌握攻擊者的動(dòng)機(jī)及傳播渠道，可是對(duì)于APT攻擊以點(diǎn)概面的安全檢測(cè)手段已顯得不合時(shí)宜，所以要想在APT攻擊還沒發(fā)生之前，事先檢測(cè)到APT攻擊是很困難的，面對(duì)APT攻擊威脅，我們應(yīng)當(dāng)有一套更完善更主動(dòng)更智能的安全防御方案，必須承認(rèn)APT攻擊的發(fā)起者有著超群的智慧和豐富的經(jīng)驗(yàn)，因此檢測(cè)APT攻擊就必須密切關(guān)注攻擊者所釋放的惡意代碼的每一個(gè)細(xì)節(jié)?？墒前踩藛T可以快速定位攻擊源頭，并做出對(duì)應(yīng)的安全防御策略，但是這些卻無法準(zhǔn)確提取APT攻擊屬性與特征?？墒侵灰覀兞粜挠^察，是可以