[发明专利]一种APT检测系统及装置

说明书

本发明公开了一种APT检测方法、系统及装置，包括APT检测装置对可疑的文件样本进行动态分析，得到恶意网络信息；根据分析得到的恶意网络信息优化用于异常流量分析的策略配置。通过本发明提供的技术方案，使得异常流量分析功能快速提升了流量分析的精度，有助于提高APT检测的准确性和有效性。进一步地，APT检测装置检测到来自终端的异常流量，按照恶意网络信息对相关的恶意网络行为进行处理，以中止恶意进程并删除终端上的恶意软件，使得系统从源头阻断了恶意软件的运行，提高了检测精确度和防护能力，从而提高了APT检测的准确性和有效性。

技术领域

本发明涉及安全监测技术，尤指一种APT检测方法、系统及装置。

背景技术

高级持续性威胁(APT，Advanced Persistent Threat)是一种高级且持续的攻击。相较于一般零星的黑客攻击事件，APT攻击具有计划性、较强的针对性，并可长期潜伏。美国国家标准和技术研究院对APT给出了详细定义：“精通复杂技术的攻击者利用多种攻击向量(如：网络，物理和欺诈等)、借助丰富资源创建机会实现自己的目的”。这些目的通常包括对目标企业的信息技术架构进行篡改，从而盗取数据(如将数据从内网输送到外网)，执行或阻止一项任务、程序；又或者是潜入对方架构中伺机进行偷取数据等。

APT的特点表现在A与P上，A代表高级(Advanced)，主要表现在攻击水平高超，即攻击行为特征难以提取、单点隐蔽性强、攻击渠道多样化、攻击空间不确定。P代表持续性(Persistent)，主要表现在攻击过程持续时间长、攻击成功后隐藏时间长。

传统的安全检测技术主要包括：基于签名的检测技术，如网络入侵检测、恶意代码检测等，主要针对已知且长期大量传播的攻击比较有效；主动行为防御检测技术，如杀毒厂商的桌面防御系统、杀毒软件等，能实时监控进程的行为，但会影响用户使用，并存在大量的误报。传统的检测手段主要针对已知的威胁，对于未知的漏洞、木马程序、攻击手法等，无法进行检测。显然，传统的检测手段在应对APT攻击检测时更是显得力不从心。

目前，APT检测技术归纳起来主要包括：动态分析检测、异常流量检测、终端防御检测。其中，

动态分析检测的典型代表有沙箱检测技术，主要是通过在虚拟环境上执行检测，基于运行结果来判定是否为恶意攻击。但是，动态分析检测只能检测恶意软件并提出预警，并不能从源头阻断恶意软件的运行。在执行了动态分析检测之后，由于缺乏和终端设备之间的联动，恶意软件可能还是会继续在终端设备上运行；

异常流量检测类似于防火墙技术，主要是通过对通过设备的流量包进行协议解析和内容解析，并与事先设定的规则(如黑白名单)进行比对，从而检测出异常的行为。异常流量检测基于异常流量分析的APT检测系统可以检测联网的恶意软件，但是，由于异常流量检测的精确度很大程度上取决于规则库，而很多首次出现的网络病毒其访问的恶意网站并不在规则库之列，因此，异常流量检测存在精确度欠佳的问题。并且，异常流量检测只能在本设备上阻断恶意流量，由于缺乏和终端设备之间的联动，因此，在恶意流量被阻断之后，终端设备上的恶意软件和恶意进程可能还是在本地继续运行。

传统的终端上的终端防御检测功能只是实现了静态杀毒软件的功能，对于没有列入静态病毒库的病毒无法清除。并且，由于缺乏和其他设备之间的实时联动，无法及时阻断和清除其他设备检测出的本地恶意文件。

综上所述，目前APT防御检测技术，要么对恶意流量的检测精确度欠佳；要么无法从源头阻断恶意进程的运行及清除恶意软件等，从而降低了APT防御技术的准确性和有效性。

发明内容

为了解决上述技术问题，本发明提供一种APT检测方法、系统及装置，能够提高APT检测的准确性和有效性。

为了达到本发明目的，本发明提供了一种高级持续性威胁APT检测系统，包括：异常流量分析单元、终端防御单元、动态分析单元，其中，