[发明专利]APT信息的确定方法及装置、存储介质、电子装置

说明书

本发明提供了一种APT信息的确定方法及装置、存储介质、电子装置，其中，该方法包括：获取恶意样本；对所述恶意样本进行静态检测得到第一样本信息，以及对所述恶意样本进行动态检测得到第二样本信息；根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息。通过本发明，解决了相关技术中确定APT信息效率低下的技术问题。

技术领域

本发明涉及网络安全领域，具体而言，涉及一种APT信息的确定方法及装置、存储介质、电子装置。

背景技术

网络攻击是黑客或者病毒木马等对电子设备发起的攻击，通过窃取文件等给用户带来了巨大损失。

在对高级持续性威胁(Advanced Persistent Threat，APT)团伙进行追踪发现时，主要依据网络传播中的恶意文件、钓鱼邮件等攻击进行上下文关联分析。攻击者利用恶意程序对网络及信息系统进行入侵控制，达到窃取敏感数据和破坏系统和网络环境的目的，亟待提高对企业网络中传播的恶意样本检测率和批量分析能力。

相关技术中，在计算机安全领域内，目前网络攻击变得越来越专业化和针对性。面对这样的攻击事件，往往缺少对该攻击事件的整体认识，而对其防御也是各自为战，并没有形成一个很好的防御体系。比如APT(高级持续性威胁)攻击或者“震网”病毒，这种攻击是有目的性和针对性的，只对特定的行业或者某些目标系统才具有攻击性。而目前没有方案当这些攻击事件在小范围内发生时，能够提前获得威胁情报，并在大范围内进行预警和防御。导致网络攻击的防御滞后。

针对相关技术中存在的上述问题，目前尚未发现有效的解决方案。

发明内容

本发明实施例提供了一种APT信息的确定方法及装置、存储介质、电子装置。

根据本发明的一个实施例，提供了一种APT信息的确定方法，包括：获取恶意样本；对所述恶意样本进行静态检测得到第一样本信息，以及对所述恶意样本进行动态检测得到第二样本信息；根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息。

可选的，对所述恶意样本进行静态检测得到第一样本信息包括：将所述恶意样本输入静态沙箱；使用所述静态沙箱采集所述恶意样本的元数据；根据所述元数据获取所述恶意样本的第一样本信息。

可选的，对所述恶意样本进行动态检测得到第二样本信息包括：将所述恶意样本输入动态沙箱；在所述动态沙箱中模拟运行所述恶意样本，并根据模型运行所述恶意样本时生成的主机行为检测所述恶意样本的第一样本信息。

可选的，获取恶意样本包括以下至少之一：从业务系统的网络流量中获取第一恶意样本；从钓鱼邮件的附件列表中获取第二恶意样本。

可选的，根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息包括：确定与所述第一样本信息或所述第二样本信息匹配的攻陷指标IOC信息；根据所述IOC信息查找与所述恶意样本相关的上下文；从所述上下文中解析得到所述恶意样本的家族信息和历史访问信息；将所述家族信息和所述历史访问信息确定为所述恶意样本的APT信息。

可选的，在根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息之后，所述方法还包括：根据所述APT信息追溯APT攻击源的身份信息。

根据本发明的另一个实施例，提供了一种APT信息的确定装置，包括：获取模块，用于获取恶意样本；监测模块，用于对所述恶意样本进行静态检测得到第一样本信息，以及对所述恶意样本进行动态检测得到第二样本信息；确定模块，用于根据所述第一样本信息或所述第二样本信息确定所述恶意样本的高级持续性威胁APT信息。

可选的，所述检测模块包括：第一输入单元，用于将所述恶意样本输入静态沙箱；采集单元，用于使用所述静态沙箱采集所述恶意样本的元数据；获取单元，用于根据所述元数据获取所述恶意样本的第一样本信息。