APT攻击检测_apt攻击检测软件

目录：

• 1、应对APT 攻击的措施或方法有哪些？
• 2、分点概述如何最大限度检测apt攻击手段
• 3、先认识再防范：如何抵御APT攻击

应对APT 攻击的措施或方法有哪些？

应对APT攻击的措施:

1.就是针对高级威胁的判定。

近年来，有组织的APT攻击愈发呈现出隐蔽性与多样化，并且往往针对商业和政治目标展开长期的经营与策划。 不过一旦得手，其影响则是巨大而深远的。

正是由于APT攻击针对性强、隐蔽性高、代码复杂度高等特点，传统的安全防御手段往往应对乏力，而受到攻击的个人或机构更是无法进行有效判定。

任何静态的防御技术对于APT攻击来说都是基本无效的。 因为APT攻击面往往很小，单纯依靠本地数据监测，无法进行有效判定。

2.则是在判定后，如何进行有效处置。

各种传统的安全防护技术与防护产品在APT攻击的检测与防御中仍将发挥基础性作用，不仅要进行常规系统防御，还要成为探测攻击信息的主要情报来源。

黑客大杀器——APT：

从APT名字中的高级和持续性这两个单词中就能明白APT同一般的攻击手法不是一个段位。以伊朗核设施被震网病毒攻击案例为例。

早在05年某超级大国就通过各种手段突破伊朗核设施的层层防护，将病毒植入其中。震网病毒造成伊朗1/5的离心机报废，直到2012年因为在一个U盘中发现了震网病毒才彻底解决掉这个问题。

分点概述如何最大限度检测apt攻击手段

APT（Advanced Persistent Threat）--------高级持续性威胁。 利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。APT攻击的原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中，此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞，利用这些漏洞组建攻击者所需的网络，并利用0day漏洞进行攻击。

高级持续性威胁(Advanced Persistent Threat，APT)，威胁着企业的数据安全。APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。

APT入侵客户的途径多种多样，主要包括以下几个方面。

——以智能手机、平板电脑和USB等移动设备为目标和攻击对象继而入侵企业信息系统的方式。

——社交工程的恶意邮件是许多APT攻击成功的关键因素之一，随着社交工程攻击手法的日益成熟，邮件几乎真假难辨。从一些受到APT攻击的大型企业可以发现，这些企业受到威胁的关键因素都与普通员工遭遇社交工程的恶意邮件有关。黑客刚一开始，就是针对某些特定员工发送钓鱼邮件，以此作为使用APT手法进行攻击的源头。

——利用防火墙、服务器等系统漏洞继而获取访问企业网络的有效凭证信息是使用APT攻击的另一重要手段。

总之，高级持续性威胁(APT)正在通过一切方式，绕过基于代码的传统安全方案(如防病毒软件、防火墙、IPS等)，并更长时间地潜伏在系统中，让传统防御体系难以侦测。

“潜伏性和持续性”是APT攻击最大的威胁，其主要特征包括以下内容。

——潜伏性：这些新型的攻击和威胁可能在用户环境中存在一年以上或更久，他们不断收集各种信息，直到收集到重要情报。而这些发动APT攻击的黑客目的往往不是为了在短时间内获利，而是把“被控主机”当成跳板，持续搜索，直到能彻底掌握所针对的目标人、事、物，所以这种APT攻击模式, 实质上是一种“恶意商业间谍威胁”。

——持续性：由于APT攻击具有持续性甚至长达数年的特征，这让企业的管理人员无从察觉。在此期间，这种“持续性”体现在攻击者不断尝试的各种攻击手段，以及渗透到网络内部后长期蛰伏。

——锁定特定目标：针对特定政府或企业，长期进行有计划性、组织性的窃取情报行为,针对被锁定对象寄送几可乱真的社交工程恶意邮件，如冒充客户的来信,取得在计算机植入恶意软件的第一个机会。

——安装远程控制工具：攻击者建立一个类似僵尸网络Botnet的远程控制架构，攻击者会定期传送有潜在价值文件的副本给命令和控制服务器(CC Server)审查。将过滤后的敏感机密数据，利用加密的方式外传。

先认识再防范：如何抵御APT攻击

据或者知识产权信息的威胁。而准确地说，高级持续性威胁（Advanced Persistent Threat）是指组织（特别是政府）或者小团体使用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。 本文中，我们将看看APT（高级持续性威胁）是如何演变的以及你需要如何抵御这种类型的威胁。 哪些人受到威胁？ 一些网络管理员看完APT的定义后，得出的结论是他们的网络并没有受到威胁。中小型企业怎么可能成为大型网络犯罪团伙或国家的攻击对象？实际上，APT刚开始主要是政府机构为国防需要采取的攻击手段，后来APT攻击者将他们的范围扩大到了攻击公司，例如谷歌，但并不是只有大型高科技公司才会成为攻击目标。虽然对于APT攻击者而言，政府机构或者涉及国家安全或者国防承包项目的大型跨国企业更具吸引力，但企业规模并不是关键，因为近来，很多小公司也开始负责存储情报片段数据来获得政治或经济利益。还有那些处于一定职位，能够访问情报信息的个人也可能成为攻击目标。 即使是在安全方面投入血本的大型企业仍然可能受到APT攻击，通过各种不同的手段，例如有时候只需要简单地利用尚未修补的已知漏洞。在企业环境中，政策通常会规定新的补丁在部署到生产机器前必须进行全面的测试，这样做无疑可以避免不兼容的问题，但这却让你的系统处于威胁之中。在其他情况下，无线安全漏洞、智能手机桥接，甚至云供应商网络渗透都可能为APT攻击者敞开大门。 任何规模的公司，只要员工可以访问网站、使用电子邮件（尤其是HTML邮件）、传输文件等，就有可能受到APT威胁，这些活动可以被利用来传输APT组件，例如恶意软件可以通过路过式下载、感染附件或文件进行传输。即使是部署了强大的边缘保护的企业仍然无法逃过APT攻击，例如通过内部接入被感染的可移动驱动器（U盘、闪存卡）、其他地方被感染的笔记本电脑等。 APT采取怎样的形式？ 高级持续性攻击的“高级”是指，这种攻击形式的攻击者有一个基于特定战略的缜密的计划，即使他们使用的是相对简单的机制来实施。换句话说，APT攻击者不一定是娴熟的黑客，他们可以利用互联网上现成的脚本，和修改别人的恶意软件，或者他们可以创建自定义恶意软件来攻击特定目标。通常，他们使用许多不同攻击类型来攻击同一目标，并且不断来回攻击，也就是所谓的“持续性”。并且，这种攻击通常是以隐形且低调的方式进行的，APT攻击者都是隐形专家，他们采取措施来掩盖他们的踪迹，避免在日志中留下入侵的证据。 APT攻击者也使用社会工程技术和/或招募内部人员来获取有效登录凭证。分支机构通常没有总部那么严格的安全防范措施，因此有时会被利用来通过远程访问向目标系统植入恶意软件。一旦安装了恶意软件，攻击者就能够从任何地方访问和控制你的系统，或者采用自动化程序，这样恶意软件就会将你的重要数据发送给攻击者。 APT攻击者选择使用何种工具主要取决于他们的攻击目标是什么以及其网络配置和安全状况。这里有个简单的比喻：窃贼可能可以使用信用卡打开简单锁的房门，但是如果所有门都是呆锁，他就要找不同的工具来进去了。同样的，APT攻击者通常会尽可能使用最简单的工具来进行攻击。为什么要浪费一个定制的先进工具在不必要的工作上呢？而且这种工具只会给APT攻击者留下马脚。 APT攻击者经常利用僵尸网络，僵尸网络能够给他们提供更多资源来发动攻击，并且很难追踪到攻击的源头。虽然僵尸网络经常与垃圾邮件联系在一起，但它们可以用于多种类型的攻击。一个简单的命令和控制服务器就可以控制位于数百个不同公司的电脑，这些电脑上的恶意软件可以不断更新，一直“领先于”你的检测工具。即使你的公司不是APT攻击的目标，你的网络也可能在你不知情的情况下被用来作为犯罪工具：作为僵尸网络的一部分，用来攻击其他网络。 检测APT 必须明确的是，APT并不是一种特定攻击方法，它描述了“谁、什么和为什么”而没有说明“如何”。市面上并没有商业解决方案可以真正检测或者抵御APT，然而，APT却沦为了众多安全供应商的营销短语和流行用语（虽然他们甚至不知道它的含义）。 针对已知攻击的解决方案可能无法检测先进的APT攻击，因为这种攻击是以“隐形模式”进行的。检测APT需要一个良好的监控解决方案，能够识别和分析服务器和客户端的微妙变化和异常。无论攻击者的犯罪计划多么缜密，他必然会留下点踪迹，也就是刑事调查中的痕迹证据，这种证据并不明显，甚至可能是肉眼看不见的。在数字世界中，APT攻击者为了发动攻击（进入网络、植入恶意软件、复制数据）肯定会在系统的某处留下一些模糊的踪迹。你的安全软件必须能够识别这些标记，将其作为潜在恶意活动的指示。与手动检查文件相比，软件不仅更快而且更有效，因为APT攻击者通常会使用这样的诡计：恶意程序文件名与常见Windows文件类似。软件可以识别文件名的细微区别（例如使用大写I代替小写L等），而肉眼很难识别。 一旦发现了异常行为，就会引发对受感染机器进行更进一步的检查。另一个关键要素是及时通知，这样的话，就可以尽快对机器进行全面检查，而且应该及时保存APT攻击的证据，因为聪明的APT攻击者会尝试删除他们的踪迹以避免被检测到。 软件是检测网络中异常的最好工具，而APT检测的另一方面则需要人为因素，也就是指你可以收集关于网络犯罪的最新情况。正如传统恐怖分子通常会通过 “聊天框”来发出信号，APT攻击者可能会通过不同的通信渠道发出信号，说明攻击正在计划中或者已经取得进展等。但你并不需要安排一个人来拦截和分析这些聊天信息，但是你需要清楚网络犯罪世界发生了什么事情。 保护你的网络 很多抵御APT攻击的防御措施与你可能已经部署的用来抵御一般恶意软件和入侵威胁的措施相同。良好的防病毒和防恶意软件是很重要的，但同样重要的是，你要明白在APT攻击中，渗透者的资源通常要比那些一般攻击者要多得多。这意味着他们可以雇佣专门的程序员随时来创建或者修改恶意软件，根本没有安全供应商创建了定义，也就是零日威胁。 根据定义，APT是一种有针对性的攻击，公司的公共事业和声誉都可能导致公司成为APT攻击目标。因此声誉/品牌监控和管理可以是抵御这种攻击的重要因素。“邪恶公司（Evil corporations）”和那些立场（政治立场、社会立场或其他）不受APT攻击者欢迎的公司很可能成为攻击目标。而在某些情况下，处于某一行业（油公司、银行等）就足以让你成为攻击对象。然而，你可以通过精心培养公司的公众形象来减少风险。

标签：apt攻击检测软件