[发明专利]一种多维度深层次检测APT攻击的方法

摘要

本发明涉及APT攻击检测领域，旨在提供一种多维度深层次检测APT攻击的方法。该种多维度深层次检测APT攻击的方法包括步骤：对常见的网络应用层协议数据包做流量采集、解析还原；对获得的网络应用行为进行分析检测，记录攻击行为并进行告警；进一步优化各攻击点的检测策略和机制；关联生成APT攻击链路。本发明对APT攻击生命周期的各个阶段中可能的攻击点，从多个维度进行深层次的分析检测，并且某一攻击阶段中发现的攻击线索用来进一步作为其他攻击阶段的检测依据，各攻击阶段的检测结论用来进一步关联，形成确定性更高的攻击证据。

主权项

一种多维度深层次检测APT攻击的方法，其特征在于，包括如下步骤：步骤A：流量采集模块对常见的网络应用层协议数据包做流量采集、解析还原；所述流量采集模块能对旁路镜像流量中的网络应用层协议数据包进行捕获，并通过IP碎片重组、TCP重装、网络应用层协议解析，按常见的网络应用层协议的应用规范对网络应用层协议数据包进行解析还原，最终获取网络应用层协议数据包中包含的具体网络应用行为；步骤B：针对APT攻击生命周期的各个攻击阶段中可能的攻击点，分别对步骤A获得的网络应用行为进行分析检测，记录攻击行为并进行告警；步骤C：使用单个攻击点检测产生的攻击行为告警信息，进一步优化各攻击点的检测策略和机制；步骤D：使用单个攻击点检测产生的攻击行为告警信息，通过攻击源IP、被攻击IP、各攻击点在APT攻击生命周期中的阶段位置，以及各告警信息的时间信息，关联生成APT攻击链路。