基于APT入侵的網(wǎng)絡(luò)安全防護系統(tǒng)模型及其關(guān)鍵技術(shù)研究

0 引言

APT 攻擊，即高級持續(xù)性威脅(Advanced PersistentThreat,APT)，指組織或者小團體，利用先進的復(fù)合式攻擊手段對特定的數(shù)據(jù)目標(biāo)進行長期持續(xù)性網(wǎng)絡(luò)攻擊的攻擊形式。APT是竊取核心資料為目的所發(fā)動的網(wǎng)絡(luò)攻擊和侵襲行為，其攻擊方式比其他攻擊方式更為隱蔽，在發(fā)動APT攻擊前，會對攻擊對象的業(yè)務(wù)流程和目標(biāo)進行精確的收集，挖掘攻擊對象受信系統(tǒng)和應(yīng)用程序的漏洞。攻擊者會針對性的進行潛心準(zhǔn)備，熟悉被攻擊者應(yīng)用程序和業(yè)務(wù)流程的安全隱患，定位關(guān)鍵信息的存儲方式與通信方式，使整個攻擊形成有目的、有組織、有預(yù)謀的攻擊行為。因此傳統(tǒng)的入侵檢測技術(shù)難以應(yīng)對。

1 APT攻擊技術(shù)特點及對傳統(tǒng)入侵檢測技術(shù)的挑戰(zhàn)

APT攻擊是結(jié)合了包括釣魚攻擊、木馬攻擊、惡意軟件攻擊等多種攻擊的高端攻擊模式，整個攻擊過程利用包括零日漏洞、網(wǎng)絡(luò)釣魚、掛馬等多種先進攻擊技術(shù)和社會工程學(xué)的方法，一步一步地獲取進入組織內(nèi)部的權(quán)限。原來的APT攻擊主要是以軍事、政府和比較關(guān)鍵性的基礎(chǔ)設(shè)施為目標(biāo)，而現(xiàn)在已經(jīng)更多的轉(zhuǎn)向商用和民用領(lǐng)域的攻擊。從近兩年的幾起安全事件來看，Yahoo、Google、RSA、Comodo等大型企業(yè)都成為APT攻擊的受害者。在2012年5月被俄羅斯安全機構(gòu)發(fā)現(xiàn)的“火焰”病毒就是APT的最新發(fā)展模式，據(jù)國內(nèi)相關(guān)安全機構(gòu)通報，該病毒已于2012年6月入侵我國網(wǎng)絡(luò)。

1.1 APT攻擊的技術(shù)特點

APT攻擊就攻擊方法和模式而言，攻擊者主要利用各種方法特別是社會工程學(xué)的方法來收集目標(biāo)信息。

其攻擊主要有基于互聯(lián)網(wǎng)惡意軟件的感染、物理惡意軟件的感染和外部入侵等三個入侵途徑，其典型流程圖如圖1 所示。就以2010 年影響范圍最廣的GoogleAurora(極光)APT攻擊，攻擊者利用就是利用社交網(wǎng)站，按照社會工程學(xué)的方法來收集到目標(biāo)信息，對目標(biāo)信息制定特定性的攻擊滲透策略，利用即時信息感染Google的一名目標(biāo)雇員的主機，通過主動挖掘被攻擊對象受信系統(tǒng)和應(yīng)用程序的漏洞，造成了Google公司多種系統(tǒng)數(shù)據(jù)被竊取的嚴(yán)重后果。

從APT典型的攻擊步驟和幾個案例來看，APT不再像傳統(tǒng)的攻擊方式找企業(yè)的漏洞，而是從人開始找薄弱點，大量結(jié)合社會工程學(xué)手段，采用多種途徑來收集情報，針對一些高價值的信息，利用所有的網(wǎng)絡(luò)漏洞進行攻擊，持續(xù)瞄準(zhǔn)目標(biāo)以達到目的，建立一種類似僵尸網(wǎng)絡(luò)的遠(yuǎn)程控制架構(gòu)，并且通過多信道、多科學(xué)、多級別的的團隊持續(xù)滲透的方式對網(wǎng)絡(luò)中的數(shù)據(jù)通信進行監(jiān)視，將潛在價值文件的副本傳遞給命令控制服務(wù)器審查，將過濾的敏感機密信息采用加密的方式進行外傳[3].

1.2 APT攻擊對傳統(tǒng)檢測技術(shù)的挑戰(zhàn)

目前，APT 攻擊給傳統(tǒng)入侵檢測技術(shù)帶來了兩大挑戰(zhàn)：

(1)高級入侵手段帶來的挑戰(zhàn)。APT攻擊將被攻擊對象的可信程序漏洞與業(yè)務(wù)系統(tǒng)漏洞進行了融合，由于其攻擊的時間空間和攻擊渠道不能確定的因素，因此在攻擊模式上帶來了大量的不確定因素，使得傳統(tǒng)的入侵防御手段難以應(yīng)對APT入侵手段。

(2)持續(xù)性攻擊方式帶來的挑戰(zhàn)。APT是一種很有耐心的攻擊形式，攻擊和威脅可能在用戶環(huán)境中存在很長的時間，一旦入侵成功則會長期潛伏在被攻擊者的網(wǎng)絡(luò)環(huán)境中，在此過程中會不斷收集用戶的信息，找出系統(tǒng)存在的漏洞，采用低頻攻擊的方式將過濾后的敏感信息利用數(shù)據(jù)加密的方式進行外傳。因此在單個時間段上APT網(wǎng)絡(luò)行為不會產(chǎn)生異?，F(xiàn)象，而傳統(tǒng)的實時入侵檢測技術(shù)難以發(fā)現(xiàn)其隱蔽的攻擊行為。

2 安全防護技術(shù)模型研究

由于APT攻擊方式是多變的，以往的APT攻擊模式和案例并不具有具體的參考性，但是從多起APT攻擊案例的特點中分析來看，其攻擊目的可以分為兩方面：一是竊密信息，即竊取被攻擊者的敏感機密信息;二是干擾用戶行為兩方面，即干擾被攻擊者的正常行為。就APT攻擊過程而言，最終的節(jié)點都是在被攻擊終端。因此防護的最主要的目標(biāo)就是敏感機密信息不能被非授權(quán)用戶訪問和控制。針對APT攻擊行為，文中設(shè)計建立了一種基于靜態(tài)檢測和動態(tài)分析審計相結(jié)合的訪問控制多維度防護模型，按照用戶終端層、網(wǎng)絡(luò)建模層和安全應(yīng)用層自下而上地構(gòu)建網(wǎng)絡(luò)安全防護體系，如圖2所示。

2.1 安全防護模型技術(shù)

整個安全防護服務(wù)模型采用靜態(tài)檢測和動態(tài)分析的技術(shù)手段實時對網(wǎng)絡(luò)數(shù)據(jù)包全流量監(jiān)控。靜態(tài)檢測主要是檢測APT攻擊的模式及其行為，審計網(wǎng)絡(luò)帶寬流量及使用情況，對實時獲取的攻擊樣本進行逆向操作，對攻擊行為進行溯源并提取其功能特征。動態(tài)分析主要是利用所構(gòu)建的沙箱模型對網(wǎng)絡(luò)傳輸文件進行關(guān)鍵字檢測，對Rootkit、Anti-AV等惡意程序?qū)嵤┰诰€攔截，對郵件、數(shù)據(jù)包和URL中的可疑代碼實施在線分析，利用混合型神經(jīng)網(wǎng)絡(luò)和遺傳算法等檢測技術(shù)對全流量數(shù)據(jù)包進行深度檢測，結(jié)合入侵檢測系統(tǒng)審核文件體，分析系統(tǒng)環(huán)境及其文件中異常結(jié)構(gòu)，掃描系統(tǒng)內(nèi)存和CPU的異常調(diào)用。在關(guān)鍵位置上檢測各類API鉤子和各類可能注入的代碼片段。

2.2 安全防護模型結(jié)構(gòu)

用戶終端層是整個模型的基礎(chǔ)設(shè)施層，它主要由用戶身份識別，利用基于用戶行為的訪問控制技術(shù)對用戶的訪問實施驗證和控制，結(jié)合用戶池和權(quán)限池技術(shù)，訪問控制系統(tǒng)可以精確地控制管理用戶訪問的資源和權(quán)限，同時訪問者根據(jù)授權(quán)和訪問控制原則訪問權(quán)限范圍內(nèi)的信息資源。

網(wǎng)絡(luò)建模層是整個安全防護模型的核心。由內(nèi)網(wǎng)資源表示模型和多種安全訪問控制服務(wù)模型共同構(gòu)成。

采用對內(nèi)部資源形式化描述和分類的內(nèi)網(wǎng)資源表示模型為其他安全子模型提供了基礎(chǔ)的操作平臺。結(jié)合安全存儲、信息加密、網(wǎng)絡(luò)數(shù)據(jù)流監(jiān)控回放、操作系統(tǒng)安全、入侵檢測和信息蜜罐防御，以整個內(nèi)網(wǎng)資源為處理目標(biāo)，建立基于訪問控制技術(shù)的多維度安全防御保障體系。

安全應(yīng)用層是整個安全防護模型的最高層，包括操作審計、日志審查、病毒防御、識別認(rèn)證、系統(tǒng)和網(wǎng)絡(luò)管理等相關(guān)應(yīng)用擴展模塊。在用戶終端層和網(wǎng)絡(luò)建模層的基礎(chǔ)上構(gòu)建整個安全防護系統(tǒng)的安全防護服務(wù)。

基于APT入侵建立安全防護模型，最關(guān)鍵的就是在現(xiàn)有安全模型上建立用戶身份識別，用戶行為管控和網(wǎng)絡(luò)數(shù)據(jù)流量監(jiān)控的機制，建立安全防護模型的協(xié)議和標(biāo)準(zhǔn)的安全防御體系，并為整個安全解決方案和網(wǎng)絡(luò)資源安全實現(xiàn)原型。

3 網(wǎng)絡(luò)安全防護的關(guān)鍵技術(shù)

3.1 基于網(wǎng)絡(luò)全流量模塊級異域沙箱檢測技術(shù)

原理是將整個網(wǎng)絡(luò)實時流量引入沙箱模型，通過沙箱模型模擬網(wǎng)絡(luò)中重要數(shù)據(jù)終端的類型和安全結(jié)構(gòu)模式，實時對沙箱系統(tǒng)的文件特征、系統(tǒng)進程和網(wǎng)絡(luò)行為實現(xiàn)整體監(jiān)控，審計各種進程的網(wǎng)絡(luò)流量，通過代碼檢查器掃描威脅代碼，根據(jù)其危險度來動態(tài)綁定監(jiān)控策略。利用動態(tài)監(jiān)控對跨域調(diào)用特別是系統(tǒng)調(diào)用以及寄存器跳轉(zhuǎn)執(zhí)行進行監(jiān)控和限制，避免由于威脅代碼或程序段躲過靜態(tài)代碼檢查引起的安全威脅。但整個模型的難點在于模擬的客戶端類型是否全面，如果缺乏合適的運行環(huán)境，會導(dǎo)致流量中的惡意代碼在檢測環(huán)境中無法觸發(fā)，造成漏報。

3.2 基于身份的行為分析技術(shù)

其原理是通過發(fā)現(xiàn)系統(tǒng)中行為模式的異常來檢測到入侵行為。依據(jù)正常的行為進行建模，通過當(dāng)前主機和用戶的行為描述與正常行為模型進行比對，根據(jù)差異是否超過預(yù)先設(shè)置的閥值來判定當(dāng)前行為是否為入侵行為，從而達到判定行為是否異常的目的。其核心技術(shù)是元數(shù)據(jù)提取、當(dāng)前行為的分析，正常行為的建模和異常行為檢測的比對算法，但由于其檢測行為基于背景流量中的正常業(yè)務(wù)行為，因而其閥值的選擇不當(dāng)或者業(yè)務(wù)模式發(fā)生偏差可能會導(dǎo)致誤報。

3.3 基于網(wǎng)絡(luò)流量檢測審計技術(shù)

原理是在傳統(tǒng)的入侵檢測機制上對整個網(wǎng)絡(luò)流量進行深層次的協(xié)議解析和數(shù)據(jù)還原。識別用于標(biāo)識傳輸層定義的傳輸協(xié)議類型，解析提取分組中所包含的端口字段值，深度解析網(wǎng)絡(luò)應(yīng)用層協(xié)議信息，尋找符合特定的特征簽名代碼串。利用網(wǎng)絡(luò)數(shù)據(jù)層流量中交互信息的傳輸規(guī)律，匹配識別未知協(xié)議，從而達到對整個網(wǎng)絡(luò)流量的數(shù)據(jù)檢測和審計。利用傳統(tǒng)的入侵檢測系統(tǒng)檢測到入侵攻擊引起的策略觸發(fā)，結(jié)合全流量審計和深度分析還原APT攻擊場景，展現(xiàn)整個入侵行為的攻擊細(xì)節(jié)和進展程度。

3.4 基于網(wǎng)絡(luò)監(jiān)控回放技術(shù)

原理是利用云存儲強大的數(shù)據(jù)存儲能力對整個網(wǎng)絡(luò)數(shù)據(jù)流量進行在線存儲，當(dāng)檢測到發(fā)生可疑的網(wǎng)絡(luò)攻擊行為，可以利用數(shù)據(jù)流量回放功能解析可疑攻擊行為，使整個基于時間窗的網(wǎng)絡(luò)流量監(jiān)控回放技術(shù)形成具有記憶功能的入侵檢測機制，利用其檢測機制確認(rèn)APT攻擊的全過程。比如可以對網(wǎng)絡(luò)傳輸中的郵件、可疑程序、URL中的異常代碼段實施檢測分析，監(jiān)控整個網(wǎng)絡(luò)中異常加密數(shù)據(jù)傳輸，從而更快地發(fā)現(xiàn)APT攻擊行為。

若發(fā)生可疑行為攻擊漏報時，可以依據(jù)歷史流量進行多次分析和數(shù)據(jù)安全檢測，形成更強的入侵檢測能力。由于采用全流量的數(shù)據(jù)存儲，會顯著影響高速的數(shù)據(jù)交換入侵檢測中其系統(tǒng)的檢測處理和分析能力，在這方面可能還存在一定的技術(shù)差距。

4 結(jié)語

用傳統(tǒng)的入侵檢測手段很難檢測到APT攻擊。因此檢測的策略是要在大量網(wǎng)絡(luò)數(shù)據(jù)中發(fā)現(xiàn)APT攻擊的蛛絲馬跡，通過沙箱模型、網(wǎng)絡(luò)流量檢測審計和網(wǎng)絡(luò)監(jiān)控回放技術(shù)結(jié)合入侵檢測系統(tǒng)和信息蜜罐技術(shù)，形成基于記憶的智能檢測系統(tǒng)，利用網(wǎng)絡(luò)流量對攻擊行為進行溯源操作，結(jié)合工作流程對相關(guān)數(shù)據(jù)進行關(guān)聯(lián)性分析，提高對APT攻擊的檢測能力，及時發(fā)現(xiàn)網(wǎng)絡(luò)中可能存在的APT 攻擊威脅。在下一步工作中，要結(jié)合當(dāng)前云技術(shù)，在企業(yè)內(nèi)部搭建專屬的私有安全網(wǎng)絡(luò)，建立可信程序基因庫，完善私有云在防范APT攻擊的應(yīng)用。