[发明专利]一种基于Bro的APT监测系统和方法

说明书

本发明公开了一种基于Bro的APT监测系统和方法，涉及计算机网络安全领域，包括宿主机、Docker容器和系统拓展；所述宿主机为网关，抓取并产生PCAP文件，并将所述PCAP文件输出给所述Docker容器；所述Docker容器包括提取模块和检测模块，对输入的所述PCAP文件进行提取和检测；所述提取模块和所述检测模块设置为Bro入侵检测系统。本发明通过对网络流量的直接综合分析，对APT攻击进行检测，具有较高的性能和可延展性，可对流量中传输的文件进行重组和提取，并对高速流量进行实时分析和生成日志的功能，并通过针对性的恶意文件检测，以及对日志的分析，实现了对流量中APT攻击的监测目标。

技术领域

本发明涉及计算机网络安全领域，尤其涉及一种基于Bro的APT监测系统和方法。

背景技术

APT攻击，即高级可持续威胁攻击，也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。这种攻击活动具有极强的隐蔽性和针对性，通常会运用受感染的各种介质、供应链和社会工程学等多种手段实施先进的、持久的且有效的威胁和攻击。

APT入侵客户的途径多种多样，主要包括以下几个方面：

一、以智能手机、平板电脑和USB等移动设备为目标和攻击对象继而入侵企业信息系统；

二、社交工程的恶意邮件是许多APT攻击成功的关键因素之一，随着社交工程攻击手法的日益成熟，邮件几乎真假难辨。从一些受到APT攻击的大型企业可以发现，这些企业受到威胁的关键因素都与普通员工遭遇社交工程的恶意邮件有关。从一开始，黑客就是针对某些特定员工发送钓鱼邮件，以此作为使用APT手法进行攻击的源头；

三、利用防火墙、服务器等系统漏洞继而获取访问企业网络的有效凭证信息是使用APT攻击的另一重要手段。

根据分析方案的不同，针对APT攻击的检测主要可分为两种类型：

(1)基于机器学习算法

许多学者基于机器学习(machine learning)算法与深度学习(deep learning)技术，对网络流量分类与检测进行了深入研究。如Thomas Karagiannis等人曾提出一种分类模型，其需要可访问的端口和IP地址信息，或端口和主机之间的流量模式；MatthewRoughan等人利用最近邻居模型(nearest neighbor)进行聚类以提供所需的分类；Yu Gu等人则采用熵最大方法(entropy maximization method)，通过流量预测判断网络状态；一种特别设计的神经网络(neural networks)则由Atiya等人提出，使用稀疏选择(sparse-basis selection)预测视频流量的利用率；还有一些研究人员采用贝叶斯神经网络(Bayesian neural networks)或支持向量机(support vector machine，SVM)等机器学习算法进行网络流量分类的研究。

(2)基于对流量的综合分析

相较于通过机器学习算法的直接检测，对于网络流量的直接综合分析也是APT攻击检测的一大方向，例如Bilge等人通过大量流量分析检测僵尸网络；Pavlos Lamprakis等人所提出的网络请求图(Web Request Graphs)算法；Jasek R.等人基于蜜罐对APT攻击进行检测；而FireEye公司的Haq T.等人基于对流量对象的特征提取和匹配，以及概率分析算法实现APT检测平台。

其中，基于流量的分析，仍是APT检测的主要方式。

目前的网络入侵检测系统，通常依靠签名匹配和服务器端口作为主要的识别技术，例如Bro入侵检测系统。本领域的技术人员致力于开发一种基于入侵检测系统报告的检测方案，从而提出一种基于Bro的APT监测系统和方法。

发明内容