APT检测防御系统的设计与实现

◆任艳 李旭 张蕾

APT检测防御系统的设计与实现

◆任艳 李旭 张蕾

（新疆财经大学 信息管理学院 新疆 830012）

针对目前高级持续性威胁（Advanced Persistent Threat，APT）的攻击给各大企业带来的威胁，本文提出了APT的检测防御系统的设计与实现。本文采用恶意代码检测和入侵检测相结合的模式进行设计和实现，APT检测包括传统的IPS检测、静态检测和动态检测三个部分。传统的IPS检测包括特征匹配、av检测等；静态检测包括Yara检测、暴力破解等；动态检测是APT防御系统的关键，从虚拟机的选型到检测系统的分析，本文给出了详细的说明，动态检测即通过虚拟机模拟运行来判断文件是否安全，并可以导出结果进行分析。

APT；入侵检测；动态检测；静态检测

1 绪论

高级持续性威胁（Advanced Persistent Threat，APT），是以盗取核心资料和数据为目的发起的网络侵袭行为，利用先进的复合式攻击手段经过策划对特定的目标数据进行长期持续性网络攻击的形式[1]。APT其攻击途径跟其他攻击方式相比更具有隐蔽性，是一种高级持续的攻击，具有检测难、持续时间长和攻击目标明确等特征。在发动APT攻击前，会搜索攻击对象受信系统和应用程序的漏洞以对攻击对象和目标进行精确的数据收集。因此传统基于攻击特征的入侵检测和防御方法在检测和防御APT方面效果很不理想。

2 APT检测和防御方案分类

纵观整个APT攻击过程发现，有几个步骤是APT攻击目标时实施的重点：首先就是信息的非法收集，攻击者通过将恶意代码植入私人电脑，进行单点攻破，使用网络和社会工程学收集关于系统和使用者等关键信息，通过网络流量特点、软件版本缺陷、网络端口等信息的整理并分析出系统可能存在的安全缺口。……