[发明专利]检测威胁攻击的方法、装置、设备和存储介质

说明书

本发明实施例一种利用访问关系检测高级持续性威胁攻击的方法、装置、计算机设备及可读存储介质，其中方法包括：获取业务资产，并根据业务资产确定业务访问关系的业务访问策略的类型，其中业务访问策略的类型包括业务必须访问策略和业务非必须访问策略；根据业务资产对业务访问关系进行梳理，生成网络访问控制列表；若业务访问关系中的业务访问策略为业务非必访问策略，则将业务访问策略定义为拒绝；检测服务器流量，将服务器流量与网络访问控制列表进行匹配，将业务访问策略为拒绝的服务器流量确定为高级持续性威胁，并进行告警。从组织自身的业务特性出发，从路径上遏制高级持续性威胁攻击。提升安全管理工作的效率以及提升安全运维的效果。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种利用访问关系检测高级持续性威胁攻击的方法、装置、计算机设备及可读存储介质。

背景技术

目前，一个完整的APT(Advanced Persistent Threat，高级持续性威胁)攻击大致具备以下几个阶段：

情报收集阶段：这一阶段的目标不仅仅是收集针对预定目标IT环境的战略信息，还要收集其组织结构的相关信息。收集的信息包罗万象，从企业使用的业务应用程序和软件到组织中存在的角色和关系应有尽有。入侵阶段：借助情报收集阶段获得的信息，并辅以以往对公司环境攻击积累的了解，威胁实施者能够选择并确定攻击目标所要利用的漏洞。最终渗入公司网络，攻破组织外围防护之后需要确保受攻击的主机和c&c服务器之间实现连续通信，威胁实施者利用相关技术偷偷保持c&c通信流量。横向渗透阶段：确信存在对受攻击网络的持续访问后，攻击实施者将在整个公司网络中横向移动，伺机寻找存储敏感信息的重要主机。数据窃取阶段：攻击的最终目标是将目标组织外围内部的信息传输至威胁实施者控制的位置。数据传输可以快速完成，也可以逐渐完成，在后面这种方式中，信息将进入暂存状态，之后准备好实现隐蔽泄露。

APT攻击作为一个长期的、隐蔽的、持续的攻击行为，其防护方案也较为复杂，针对不同的阶段，目前有不同的针对性防护手段：

阶段一：情报收集多采用社会工程学，主要目标是人，可以看做是一般犯罪案件中的踩点。由于目标是人，因此提高组织人员的安全意识即可相应降低该阶段的安全风险。

阶段二：入侵方式多种多样，可采用社会工程学或技术性入侵或者两者结合的方式，比较常见的方式是通过钓鱼邮件、即时通讯、社交网络平台等，诱使目标单击链接或下载恶意软件。最终，建立与目标之间的连接。当然，也可以直接利用目标的系统、应用漏洞或者0day来入侵。因此，此阶段需要部署相应的技术防护手段进行防护，比如常见的防火墙、入侵防护系统、WEB(World Wide Web，万维网)防护系统、甚至针对0day漏洞的专用防护设备等。

阶段三：此阶段需要在组织网络的各个关键区域部署技术防护手段，以防止攻击者在内网进行嗅探、入侵。常见的防火措施有部署防火墙、入侵防护系统、WEB防护系统、甚至针对0day漏洞的专用防护设备等。

阶段四：此阶段可考虑在存放重要\敏感文件的服务器上对文档或磁盘进行加密，并阻止通过网络进行传递，常见措施为部署数据防泄密软件\硬件设备。

从以上针对APT攻击的防护方案中可以看出，如果要有效降低APT攻击的风险，需要在APT攻击的各个阶段投入大量的人力\资金资源。其中，对于阶段一，人员安全意识的提高是一个持续的过程，需要大量的信息安全意识培训，需要长期的、持续大量的人力资源的投入；对于阶段二、阶段三、阶段四，由于需要部署较多的防护设备，此阶段需要大量的资金投入；与此同时，合理、有效的利用以上设备需要维护人员具有非常高的技术水平，需要高端人力资源的投入；因此，由上可以看出，现有针对APT攻击的技术防护方案的缺点在于需要大量的资源投入，尤其是资金方面，根据组织规模的不等可能需要几十或几百万的投入，成本过高。

发明内容