基于网络行为的攻击同源分析方法研究

网络攻击威胁日益严峻,攻击溯源是增强防御能力、扭转攻防局势的重要工作,攻击的同源分析是溯源的重要环节,成为研究热点。根据线索类型的不同,攻击同源分析可以分为基于恶意样本的同源分析和基于网络行为的同源分析。目前基于恶意样本的同源分析已经取得了较为显著的研究成果,但存在一定的局限性,不能覆盖所有的攻击溯源需求,且由于恶意代码的广泛复用情况,使得分析结果不一定可靠;相比之下,基于网络行为的同源分析还鲜有出色的成果,成为溯源工作的薄弱之处。为解决现存问题,本文提出了一种基于网络行为的攻击同源分析方法,旨在通过抽取并分析攻击者或攻击组织独特的行为模式而实现更准确的攻击同源。为保留攻击在不同阶段的不同行为特征,将每条攻击活动划分为5个攻击阶段,然后对来自各IP的攻击行为进行了4个类别共14个特征的提取,形成行为特征矩阵,计算两两IP特征矩阵之间的相似性并将其作为权值构建IP行为网络图,借助社区发现算法进行攻击社区的划分,进而实现攻击组织的同源分析。方法在包含114,845条告警的真实的数据集上进行了实验,凭借实际的攻击组织标签进行结果评估,达到96%的准确率,证明了方法在攻击同源分析方面的有效性。最后提出了未来可能的研究方向。

基于CNN-LSTM的工控协议同源攻击检测方法

攻击者溯源对于维护工业控制系统(Industrial Control System,ICS)安全十分重要。通过部署分布式工控蜜罐,收集工控恶意流量,提出基于CNN-LSTM的工控协议同源攻击检测方法,运用CNN和基于注意力机制的LSTM对数据包和流量特征进行学习,根据BP反向传播算法对模型进行迭代寻优分类。模型相比较其他方法,具有更高的准确率和F值,对处理离线工控蜜罐数据具有相当的优势,准确率达到93.7%;找到包括Shodan、Cencys这类知名设备搜索引擎在内的10个组织,涉及到的IP节点超过200个。

B/S架构下基于会话指纹的同源重放攻击应对方案研究

针对采用"内网IP地址+NAT"接入互联网形成的内网中容易发生同源重放攻击的问题,通过引入会话指纹(Session Fingerprinting)的概念,提出了基于会话识别的同源重放攻击应对方案。该方案通过会话指纹,识别会话的变化,适时地要求用户输入原始认证信息,例如,用户名和密码,进行身份认证,达到应对重放攻击的目的。代码实现和理论分析均表明,提出的应对方案能够有效地应对同源重放攻击。

基于工控系统功能码特征的同源攻击分析

IP溯源是追踪攻击者源头的主要方法,工业控制系统(ICS)需要精确的IP溯源以提高其防护能力。现有IP溯源方法存在开销大、恶意IP所属组织识别效率低的问题。为此,通过采集和分析ICS蜜罐数据,提出一种基于工控协议功能码特征的同源攻击分析方法,以识别攻击行为相似的组织并提高IP溯源的效率和准确性。用工控协议功能码的粗粒度统计特征和细粒度序列特征来量化攻击行为,采用粗糙集和聚类模型分别对2类特征进行建模,在此基础上分析蜜罐数据中的同源攻击。实验结果表明,该方法具有较高的准确率和召回率,结合威胁情报后能够在蜜罐数据中发现包括shodan在内的10个恶意组织。