基于威胁发现的APT攻击防御体系研究

APT攻击的未知性和不确定性使得传统防护体系难以快速检测防御,其持续进化能力也使得基于特征检测技术的传统防护手段无法满足日益增长的安全需求。文章基于红蓝对抗思想构建了APT攻防模型,并基于杀伤链分类总结出常见网络攻击的步骤和技术。文章结合APT攻防实践经验提出一种以APT威胁发现为核心的防御思想模型和“云、管、端、地”协同的综合安全技术框架。

基于AI的钢铁行业工控安全防护系统方案

本项目建设主要从工业设备安全防护、控制安全防护、网络安全防护、数据安全防护、工业App应用安全防护等角度进行安全防护设计和建设;针对工控系统内部网络流量和协议的安全审计层面进行数据安全防护,达到对工业互联网企业分类分级增强级(三级)安全防护,逐步实施,最终满足工业联网企业分类分级管理防护的相关要求。

移动网络未知访问源安全性远程预警方法仿真

未知访问源以匿名方式进行攻击或入侵是一种具有匿名性和变化性特点的攻击手段,其多样化和复杂性使得准确识别攻击者的来源变得困难,增加了预警的难度。为此,提出一种移动网络未知访问源安全性远程预警方法。构建平均功率谱密度函数,结合不同特征构建访问行为特征向量,利用半监督支持向量机识别访问行为,利用二阶时域分布检测方法得到特征重组后的信号;其次,引入随机森林算法检测恶意访问行为,计算具体恶意访问行为风险发生概率,依据风险等级实现未知访问源安全性远程预警。实验结果表明,所提方法的整体漏警率最高仅为2%,误警率均在1%以下,且内存开销接近内存阈值。

铁路信号系统高级持续威胁攻击分析及应对措施研究

针对国内外日益猖獗的高级持续威胁攻击,首先从基本概念、攻击机理、生命周期等方面进行全方位剖析,深入研究社会工程学、木马后门、隐遁逃逸等高级持续威胁攻击常用到的关键技术。其次通过分析铁路信号系统的网络架构和业务特点,找出其可能遭受高级持续威胁攻击的途径及防御薄弱点。最后结合网络安全建设成熟度滑动标尺模型的5个阶段,从技术和管理两方面提出一系列应对措施,技术方面包括基于行为的网络流量分析技术、大数据关联分析技术、欺骗防御技术等,管理方面包括漏洞管理、供应链管理、安全意识培训等,旨在为铁路信号系统应对高级持续威胁攻击进行防御规划,并为未来的网络安全建设提供参考。

基于全局行为特征的未知恶意文档检测

相比于基于宏的恶意办公文档,基于漏洞利用的恶意办公文档在攻击过程中往往不需要目标交互,能在目标无感的情况下完成攻击,已经成为APT攻击的重要手段,因此检测基于漏洞利用特别是未知漏洞利用的恶意文档对于发现APT攻击具有重要作用。当前的恶意文档检测方法主要围绕PDF文档展开,分为静态检测和动态检测两类,静态检测方法容易被攻击者规避,且无法发现基于远程载荷触发的漏洞利用,动态检测方法仅考虑PDF中JavaScript脚本或文档阅读器进程的行为特征,忽视了针对系统其他进程程序的间接攻击,存在检测盲区。针对上述问题,本文分析了恶意办公文档的攻击面,提出恶意文档威胁模型,并进一步实现一种基于全局行为特征的未知恶意文档检测方法,在文档处理过程中提取全系统行为特征,仅训练良性文档样本形成行为特征库用于恶意文档检测,并引入敏感行为特征用于降低检测误报率。本文在包含DOCX、RTF、DOC三种类型共计522个良性文档上进行训练获取行为特征库,然后在2088个良性文档样本和211个恶意文档样本上进行了测试,其中10个恶意样本为手动构造用于模拟几种典型的攻击场景。实验结果表明该方法在极低误报率(0.14%)的情况下能够检测出所有的恶意样本,具备检测利用未知漏洞的恶意文档的能力,进一步实验表明该方法也能够用于检测针对WPS Office软件进行漏洞利用的恶意文档。

基于URL智能白名单的Web应用未知威胁阻断技术研究

在网络空间对抗不断加剧的情况下,我国各重要行业单位信息化深度发展过程中建设的大量Web应用系统的安全面临严峻考验,各行业单位防护技术及措施存在不足,急需建立有效技术防护体系。文章提出一种基于URL智能白名单的Web应用未知威胁阻断防护方案,从合规行为角度入手,以访问控制白名单和非合规行为阻断为核心,通过建立业务白名单动态模型、URL访问控制白名单,实现应对Web应用未知威胁的主动防御体系,提升我国重要行业单位Web应用系统安全防护水平。

基于大数据分析和未知威胁感知的电网企业信息安全主动防御体系研究

本文以国家电网信息化SG-ERP建设框架为基础,设计了一种基于大数据挖掘和分析的电网企业信息安全主动防御体系,提出了基于知识库的海量异构数据采集方法及未知威胁感知研究验证方法,阐述了基于大数据的安全防御体系数据预处理和挖掘方法,对电网企业建立信息安全主动防御体系具有较高的借鉴作用。

基于网络动态全流量分析的未知威胁发现

目前,全球网络安全已步入未知威胁时代,大型网络动态流量安全分析仪器是国家网络安全的基石,具有不可替代的重要性。如何快速分析、发现网络流量中对我国家安全有害的恶意网络行为,特别是未知攻击,是当下我国家网络安全亟待解决的重大战略需求。传统网络流量安全分析需要攻方武器完整的先验知识,然而对于未知威胁,防守方几乎不可能做到此事。于是,传统方法就此陷入一个难以逾越的技术瓶颈,需要另辟蹊径。本文通过内生安全理念,模拟免疫系统未知病毒识别机理,形成先验知识不完备条件下未知威胁的快速发现、快速追踪、以及快速表征等三大创新能力,藉此突破传统方法在未知威胁分析方面的技术瓶颈,分析具备未知威胁发现能力的网络动态流量安全分析平台的发展趋势,将从理论和实战两方面促进我国网络安全科技进步,意义重大而深远。

未知环境中的无人机航迹搜索策略

为了让无人机具有在未知环境中完成任务的能力,无人机必须根据实际的环境变化进行实时的快速的航迹规划。针对这个问题,通过将滚动时域优化思想与A*搜索算法相结合,提出了一种实时局部优化航迹搜索(LORS)策略。该算法借鉴A*算法的基本思想,并且考虑未知环境的特点和无人机自身的限制,采取滚动时域优化的思想对航迹进行在线实时规划,在生成可飞航迹的同时大大地减少了计算量。通过仿真结果表明,该算法可以针对未知环境中的固定和低速运动威胁,实时地生成满意的航迹。

基于区间灰关联的未知雷达辐射源智能识别

对未知雷达辐射源的分类识别是一个难点问题,提出了一种基于区间灰关联的未知雷达辐射源智能识别方法。该方法采用产生式规则表示专家知识,然后在采用区间型知识灰关联分析的基础上,利用二级匹配的知识推理方法,识别未知雷达辐射源工作状态,并进一步进行威胁分析。仿真表明,该方法是有效可行的,为未知雷达辐射源的识别提供了一种新思路。

公共图书馆应对未知威胁APT攻防技术的浅析

自从谷歌在2010年遭受到黑客的严重攻击之后,先进的APT威胁已经成为信息安全界的"流行词",对于像谷歌、RSA、科摩多等世界知名公司来说,APT的持续性攻击所带来的不良后果及巨大影响是灾难性的,最终的结果是让大家对现有的安全防护体系进行深刻认识与分析,从而找到更高级且有效的防护手段。

基于神经网络的未知雷达辐射源智能识别技术

提出了一种基于神经网络的未知雷达辐射源智能识别方法,该方法以实际中获得的雷达信号参数为基础,训练神经网络,对未知雷达参数进行预测识别,给出可能的工作状态,并分析其威胁程度。仿真实验表明,该方法是有效可行的,为工程上实现未知雷达辐射源的识别提供了一种新思路。

APT攻击详解与检测技术

高级持续性威胁(APT)以窃取特定目标的机密情报或者是破坏计算机系统为目的,严重威胁着企业、社会甚至是国家层面的信息安全。针对现有APT攻击检测技术不能完全有效地检测出APT攻击的问题,提出了APT攻击的检测思路。首先,从定义和实际情况出发对APT攻击的特征进行了总结,围绕APT攻击的生命周期详细分析了APT攻击的过程,并列举了常用的技术手段;然后,归纳了传统检测技术在应对APT攻击时的困难之处,总结了目前APT攻击检测技术以及它们的优缺点;最后,提出了检测APT攻击的思路。对APT攻击的检测应充分考虑对未知威胁的检测、对APT攻击的判断、对部分历史数据的分析以及实时性检测。

未知威胁解决方案综述

如今,企业面临着一个不断演变的网络威胁环境。攻击者能够通过窃取知识产权来直接获取利益,也可以入侵、窃取用户的个人金融信息,甚至破坏对方的服务以至国家的基础设施。动机的变化,同时也带来了攻击方式的变化。现今主流的安全防御机制,往往依靠已知攻击特征码进行模式匹配来检测已知的网络攻击,无法检测到新的未知攻击。

小样本下未知内部威胁检测的方法研究

极少量的内部威胁通常被淹没在海量的正常数据中,而传统的有监督检测方法在此很难发挥作用。此外,各类新形式内部威胁的出现使得传统需要大量同类标记样本数据学习特征的方法在实际中并不适用。针对检测未知内部威胁,文中提出了一种基于原型的分类检测方法。该方法使用长短期记忆网络提取用户行为数据的特征,通过在特征空间上比较与各类原型的距离(余弦相似度)来发现未知内部威胁,并采用元学习方法更新参数。最终通过基于CMU-CERT的合成数据集的实验也验证了该方法的有效性,在小样本条件下,对新出现的未知内部威胁的分类的准确率达到了88%。

基于决策树的未知信号威胁等级判定

介绍了一种机器学习方法——决策树算法,阐述了其在对未知信号威胁等级判定中的应用,并根据给出的数据构造了完整的决策树,最后编程实现决策树,并使用该树对输入的测试信号进行了判定,给出了结果。

基于云沙箱系统的未知威胁代码主动防御仿真

现有的网络安全防护装置无法满足用户需求,无法实现未知威胁代码准确、高效检测和完全主动防御。提出了基于云沙箱系统的未知威胁代码主动防御方法。在严格受控和高度隔离的云沙箱系统程序环境中,采用词袋模型将系统中未知威胁代码行为报告转换成特征向量空间数据形式。通过计算各信息单元之间的相似度,将相似度较高的信息单元聚类到同一特征簇实现预处理,并计算未知威胁代码分析报告信任值,对未知威胁代码分析报告按照优先级排序进行主动防御。仿真结果表明,提出方法能够实现未知威胁代码检测和主动防御,检出率高,错检率和漏检率较低,且能够实现不同类型威胁代码的完全主动防御。

电力通信网络终端未知威胁协同防御方法

为提高电力通信网的防御性能,缩短其在面对未知威胁时的响应时间,本文设计了一种电力通信网络终端未知威胁协同防御方法。通过对终端威胁入侵成功概率分析,采用威胁匹配矩阵模型确定网络威胁指数;计算电力通信网络特征路径长度的基础上,设置区域协同防御目标变量及约束条件,获取任意不良数据在电力通信网络中的最大标准残差。针对未知威胁设计协同防御模型,获得计算攻击与防御策略的均衡模型。测试该防御方法在不同攻击下的响应时间,实验数据表明,该方法的防御响应时间虽随距离长度的增加而增加,但整体用时均较少,且频率终止响应时间均小于80ms,说明该方法的防御效果较好。

基于烟草行业IT资产风险管理的未知威胁安全研究

随着信息技术的发展,烟草企业网络规模的不断扩大,内部问题而造成的安全事故越来越多,因此如何建立一个合规的内网安全系统,如何进行网络安全以及路由安全的策略配置,如何识别、梳理、发现内网IT资产的业务信息、流量信息,如何发现新型的未知威胁和攻击,已经成为目前地市烟草公司中迫切需要解决的问题。

基于蜜罐技术的移动终端未知威胁智能防御方法

针对传统的移动终端未知威胁防御方法存在的威胁漏报、外来信息检测不全面的情况,设计了一种基于蜜罐技术的移动终端未知威胁智能防御方法。通过蜜罐技术采集移动终端未知威胁信息,利用无监督聚类算法对信息进行分类,并设定比例数,从而设定移动终端未知威胁的入侵检测规则;根据未知威胁入侵规则绘制威胁路径,分辨出恶意节点;在此基础上,引入时间概念,利用蜜罐技术转移未知威胁的攻击并对攻击源进行捕获与分析,实现对移动终端未知威胁的智能防御。实验以威胁漏报数量和外来信息查全率作为验证指标,对比结果表明,与传统方法相比,本研究所提方法对未知威胁的漏报数量较少,对外来信息的查全率较高,能够有效且准确实现对移动终端未知威胁的智能防御。