[发明专利]一种基于规则的APT攻击行为的检测方法

说明书

本发明涉及APT检测领域，旨在提供一种基于规则的APT攻击行为的检测方法。该种基于规则的APT攻击行为的检测方法包括步骤：定义创建APT攻击场景规则使用的语法；创建APT攻击场景规则，构建APT攻击场景知识库；分析模块调用规则解析模块，解析、加载APT攻击场景规则；采集模块对应用层协议全流量采集，获得流量数据；进行数据筛选；分析重要告警；识别行为；构建APT攻击行为失败的处理。对于APT这样的攻击行为，在整个攻击过程中总会存在若干个攻击暴露点，本发明以此为基础对相关的流量进行回溯关联，改变传统基于单个时间点进行特征匹配的局面，对长时间窗的数据进行关联分析，实现对攻击者完整攻击意图的识别。

技术领域

本发明是关于APT(Advanced Persistent Threat，高级持续性威胁)检测领域，特别涉及一种基于规则的APT攻击行为的检测方法。

背景技术

APT攻击是一种有组织、有特定目标、隐蔽性强、破坏力大、持续时间长的新型攻击和威胁，它的主要特点是：

单个攻击源隐蔽能力强：为了躲避传统检测系统，APT更加注重动态行为和静态文件的隐蔽性。例如通过隐蔽通道、加密通道避免网络行为被检测，或者通过伪造合法签名的方式避免恶意代码文件本身被识别，这就给传统基于签名的检测带来很大困难。

攻击手段多，攻击持续时间长：APT攻击分为多个步骤，从最初的信息搜集，获取入口点，实施远程控制到重要数据发现、信息窃取并外传等等，往往要经历几个月、一年甚至更长的时间。而传统的检测方式是基于单个时间点的实时检测，难以对跨度如此长的攻击进行有效跟踪，无法识别攻击者的真实意图，之前已发生过、未能引起分析人员注意的告警，有可能隐藏着蓄意攻击意图。因此只有将长时间的可疑行为进行关联分析才能实现APT的有效检测。

基于APT攻击所体现出来的上述特点，使得传统以实时检测、实时阻断为主体的防御方式难以有效发挥作用。因此要有效识别、对抗APT，必须采取新的检测方法。

发明内容

本发明的主要目的在于克服现有技术中的不足，提供一种基于规则的APT攻击行为的检测方法及其系统。为解决上述技术问题，本发明的解决方案是：

提供一种基于规则的APT攻击行为的检测方法，用于对APT行为进行分析与检测，所述基于规则的APT攻击行为的检测方法包括下述步骤：

步骤一：定义创建APT攻击场景规则使用的语法：

(1)整理与攻击行为相关的属性，用于定义规则；常见的与攻击行为相关的属性包括基准告警类型(检测准确性高的告警或者非常重要的告警类型)、追溯时间范围、关联告警类型、告警相关的IP位置信息；

(2)整理规则自身使用的信息，包括规则ID、规则名称、规则描述、新规则开始标识；

(3)将(1)和(2)整理的信息作为可配置项，约定配置项名称，且规定每一个配置项的配置方法、可取值范围；

步骤二：创建APT攻击场景规则，构建APT攻击场景知识库：

(4)依据已经发生的(典型的)APT攻击事件以及攻击者常用的攻击手段，进行归纳与总结，定义APT攻击场景规则(APT攻击场景规则，就是根据以前发生过的典型APT攻击事情、案例以及发展趋势，总结提炼得到的APT攻击使用的方法和步骤)，且定义的APT攻击场景规则包括基于WEB的APT攻击、基于邮件社工的APT攻击、文件传输与访问的APT攻击；

(5)将(4)中定义的APT攻击场景规则用步骤一约定的语法表示出来，保存到配置文件，用于后续规则解析模块读取、解析、加载；

步骤三：分析模块调用规则解析模块，解析、加载APT攻击场景规则；

步骤四：采集模块对(常见)应用层协议全流量采集，获得流量数据；