[发明专利]基于威胁情报和消息传递模型的高级持续性威胁检测方法

说明书

本发明公开了一种基于威胁情报和消息传递模型的高级持续性威胁检测方法，包括：在目标网络系统内收集主机的网络行为数据并存储至网络行为数据库中；利用开源网络情报OSINT对所述网络行为数据进行扩充，得到网络信息数据；根据所述网络信息数据构建网络实体异质图；利用所述异质图节点的特征对所述异质图节点进行嵌入得到网络实体特征向量；根据所述网络实体特征向量构建消息传递模型，以更新每个异质图节点的自身特征，并根据更新后的异质图节点特征判断所述异质图节点是否为恶意网络实体；若是，将所述恶意网络实体补充至威胁情报库。该方法能够识别出恶意网络实体又可以进一步补充APT组织的威胁情报信息，为后续的攻击检测提供更多的先验标签信息。

技术领域

本发明是关于威胁检测领域，特别是关于一种基于威胁情报和消息传递模型的高级持续性威胁检测方法。

背景技术

在信息全球化的背景下，网络空间成为国家主权的新疆域，国家政治、经济、文化、社会、国防安全及公民在网络空间的合法权益面临严峻风险与挑战。目前出现了一种具有高级性、针对性、持续性以及阶段性的网络攻击形式，称之为APT(Advanced PersistentThreat)攻击。通过对近年来已报告的APT攻击事件的分析，可以看出，APT攻击的数量逐年增加，其攻击手段也不断变化，涉及的领域越来越广。然而，抵抗APT攻击的防御技术却升级缓慢，防御重点仍在被动防御的层面上。APT攻击具有针对性强、攻击技术高级、隐蔽且潜伏时间长的特点，通常不会在单个时间段内产生异常行为，从而传统的被动检测方法难以实时发掘其隐藏的攻击行为。

近年来，网络威胁情报(Cyber Threat Intelligence，CTI)的出现为主动防御技术的研究带来了新思路。网络威胁情报是一种基于证据的知识，其涉及针对资产的已有的或潜在的威胁信息，包括与威胁相关的背景、机制、指标、含义和可采取行动的建议等。威胁情报作为针对特定攻击者建立的知识库，能提供多种情报数据用于对APT攻击者的主动式针对性检测。其中，威胁情报数据中的威胁指示器(Indicator of Compromise，IOC)中包含可用于检测可疑或恶意主机活动、网络活动的模式，例如，一个IOC可用于表示一系列的恶意域名。研究表明，网络日志是进行IOC匹配比较理想的类型，因为一些远控服务器在攻击发生时或许无法解析，因此不会产生其它类型的应用层日志，但通过网络活动就可以推断对应的主机上已经运行了一个木马或者蠕虫病毒，甚或是APT攻击。

目前，在大数据技术的支持之下，将IP、域名等IOC信息推送到IPS、SIEM等安全设备中对攻击进行检测发现，甚至实时阻截已成为了威胁情报的主流应用方式。然而，这种利用方式往往仅应用IOC进行简单的匹配，难以发掘APT组织首次利用的未知基础设施。此外，研究者们同时应用机器学习以及大数据分析技术，对域名等威胁情报信息进行特征分析，提取特征用于区分恶意的以及正常的网络实体。Bilge等人设计了EXPOSURE，一种大规模的应用被动DNS数据来检测恶意域名的系统，应用的特征包括每一个域名对应的不同IP地址的数目、平均TLL、不同字符的占比等。而有研究表明，这类特征只涉及单个网络实体，是易被攻击者改变的特征，而与之相对应，网络实体之间的关联关系则是不易被改变的全局特征。例如，域名到IP地址的解析或者自治系统编号(ASN)到IP范围的映射关系等。由于恶意网络实体之间往往存在一定的关联，因此由单个恶意网络实体可进一步推理发掘更多恶意实体。应用此类全局特征进行攻击检测的主要方法为，将网络实体的关联关系构建为图结构，应用基于图的推理算法，在图中进行节点标签或者特征的传播，从而完成恶意域名的检测与识别等任务。Oprea等人提出了基于信念传播(Belief Propagation)算法的框架，通过分析DNS日志和Web代理日志，尝试在APT活动的早期阶段识别攻击行为。Nabeel等人基于被动DNS数据，利用基于路径的推理算法，实现了域名的检测，它们构建了一种新的域名-IP二部图，同时实现了IP分类器以及域名分类器。然而大多数之前的工作集中于单类型关系的图构建，未能充分的利用网络实体之间复杂的连接关系，在识别的恶意实体类型方面受到了限制，同时在基于图的推理算法以及消息传递模型方面，仍有提升的空间。