九游老哥云
清静知识图谱 | APT组织画像归因
2021-11-29
克日，九游老哥科技推出清静知识图谱手艺白皮书《践行清静知识图谱，携手迈进认知智能》，旨在对清静知识图谱看法内在、焦点框架、要害手艺和应用实践举行周全总结与先容，助力网络清静智能化迈入认知智能阶段。
本文为清静知识图谱白皮书《践行清静知识图谱，携手迈进认知智能》英华解读系列第二篇——剖析APT威胁追踪手艺，重点先容基于知识图谱的APT组织画像归因。
01APT组织画像归因挑战
2017年Shadow Brokers泄露了NSA（美国国家清静局）多个震惊天下的攻击武器工具，天下顶级APT组织的攻击水平由此可见一斑。泄露的内容中除了种种0day误差使用工具，尚有一款类似Metasploit的Exploit攻击框架，挪用多个�？榫傩形淦鞯淖樽昂凸セ�，说明APT组织具备高水平的误差研究和定制武器开发能力。未知攻击和定制武器的使用给APT组织的归因溯源带来挑战。
现在纯粹依赖人工研判或者依赖清静专家基于离线数据举行特征建模和剖析已经很难有用知足大部分企业或组织对APT组织攻击事务举行实时剖析的要求。现在追踪和发明APT组织内的攻击团伙的要领主要包括直接基于网络流量举行特征建模和基于样本代码特征举行建模，可是由于原始流量数据量往往过于重大，且噪声特征占有很是大的比例，导致直接基于原始流量构建的特征模子的鲁棒性欠佳，并且此类要领通常需要泯灭较多的人工剖析本钱，某些情形下只能基于离线的历史数据举行剖析，无法知足实时剖析和追踪的需求。
因此，业内均对APT组织画像归因开展了起劲的探索事情，对APT组织建模，建设知识库，并团结知识库举行攻击仿真，以剖析恶意行为特征，将恶意网络运动与特定组织或小我私家举行关联归因。
02APT组织监控之道
为了有用从海量数据中发明APT组织相关的高危清静事务，九游老哥科技提出一种基于上下文感知盘算框架的攻击组织追踪要领，如图1所示。
图1 基于攻击组织本体的上下文感知盘算框架
首先需要界说以攻击组织为焦点的本体结构，基于该本体结构设计上下文的收罗�？楹蜕舷挛耐评砟？�，通过这些�？榻鞘凳钡亩嘣匆旃雇睬楸ê褪凳钡纳诚溲熘拔鲂畔⒕傩惺章�，并举行语义的过滤、融合及推理后存储至基于攻击组织本体构建的知识库中。其中，上下文收罗�？榈闹饕π谴右旃埂⒅卮蠖嘌男畔⒃粗谢袢∩舷挛男畔�，一方面包括非实时的非结构化和半结构化的网页，果真性子的博客论坛，结构化（SITX）的开源威胁情报以及外地积累的攻击组织的威胁情报信息等；另一方面也包括结构化的网络威胁检测装备爆发的告警日志和实时动态沙箱的恶意软件剖析报告。
然后，基于攻击组织本体界说范式化清静事务的模板，在大数据流式盘算框架下实现流式处置惩罚引擎将海量多模态数据举行剖析，明确成为复合清静事务模板的范式化清静事务。由于攻击者举行现实的入侵运动时往往不但使用一种攻击手段，而是在更广的时间域内使用一系列相互关联的攻击要领举行攻击，以是在举行攻击行为的监测和追踪时，需要将更大时间区间内的事务举行关联，从而获得越发周全和准确的攻击行为场景。为了抵达这个目的，需要在范式化清静事务的基础上，进一步基于攻击链模子将多个事务举行关联，天生包括多个事务的攻击链。凭证事务时间序列，将某一时间段内的所有针对统一目的IP的事务整合天生攻击链，事务插入行为链的历程如图2所示。通过使用攻击组织知识库举行事务威胁上下文语义的富化、攻击链关联和攻击组织特征关联盘算，最终发明攻击组织相关的高危事务。
图2 攻击链天生流程
除了上述基于上下文感知盘算框架的APT组织追踪要领，九游老哥科技还提出了其他APT组织活跃监控手艺，例如，基于特征图聚类的未知攻击组织发明要领，下图为攻击团伙运动监控界面，包括攻击团伙的运动情形以及团伙态势地图等信息，可以从海量、多源、异构的数据中实时、快速和有用地发明攻击组织。
图3 攻击团伙运动监控界面
2020年10月至2021年9月时代，九游老哥科技共监测并研判有用的APT组织的活跃线索有57个，平均每个月活跃组织约19个。其中，从2020年12月至2021年2月时代APT组织极为活跃，平均活跃组织快要每月30个。
图4 APT组织活跃态势
03总结
虽然在诸多威胁感知场景下，基于统计机械学习的智能剖析要领取得了主要的突破，但在面临动态重大的网络行为剖析时，感知层输入往往缺乏有清静语义的规范化建模，数据层恶意攻击的误报情形（非真实攻击）难以阻止，多维度的感知剖析效果，仍需要清静专家深度地加入研判与关联剖析，才华完整还原攻击全貌，这限制了APT等高级重大攻击技战术的剖析自动化水平的提升。因此，面向APT组织画像归因的研究, 需要使用清静知识图谱统一形貌APT攻击每个阶段的TTPs，实现对APT攻击的自动化威胁追踪，掌握攻击者的攻击特征、掘客潜在的�；�，甚至防堵未来的攻击，这需要网络清静职员一连地配合探索。
>>下一篇
数据清静治理制度的六项生长|浅议《网络数据清静治理条例（征求意见稿）》与《数据清静法》之较量（上篇）
