[發(fā)明專利]一種APT攻擊檢測系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201810095912.X
• 申請日: 2018-01-31
• 公開（公告）號: CN108040075B
• 公開（公告）日: 2020-09-01
• 發(fā)明（設(shè)計）人: 王文龍;江隆海;吳多新
• 申請（專利權(quán)）人: 海南上德科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州三環(huán)專利商標(biāo)代理有限公司 44202
• 代理人: 陳歡

1.一種APT攻擊檢測系統(tǒng)，其特征在于，包括若干個前端檢測子系統(tǒng)，分析中心以及后臺處理子系統(tǒng)，所述前端檢測子系統(tǒng)可部署在任意網(wǎng)絡(luò)位置，包括網(wǎng)絡(luò)出口或其他重要鏈路；所述分析中心以及后臺處理子系統(tǒng)部署在機房服務(wù)器中，所述前端檢測子系統(tǒng)與所述分析中心通過內(nèi)部網(wǎng)絡(luò)相連接，所述后臺處理子系統(tǒng)僅與所述分析中心通過網(wǎng)絡(luò)相連接，

所述前端檢測子系統(tǒng)用于從數(shù)據(jù)流中提取可疑文件或樣本，并發(fā)送往所述分析中心，同時根據(jù)安全策略進行攔截或防御；

所述分析中心用于匯總可疑文件或樣本，并發(fā)送往所述后臺處理子系統(tǒng)進行檢測；

所述后臺處理子系統(tǒng)用于對可疑文件或樣本進行檢測，提取惡意行為特征，生成安全檢測報告，形成安全防御策略，

所述APT攻擊檢測系統(tǒng)的實現(xiàn)，包括以下步驟：

S1：將若干個前端檢測子系統(tǒng)分別布置在網(wǎng)絡(luò)出入口或其他重要鏈路；

S2：將分析中心和后臺處理子系統(tǒng)部署在用戶的核心機房；

S3：在所有前端檢測子系統(tǒng)與分析中心之間建立內(nèi)部網(wǎng)絡(luò)連接；

S4：在分析中心與后臺處理子系統(tǒng)之間建立內(nèi)部網(wǎng)絡(luò)連接；

S5：前端檢測子系統(tǒng)監(jiān)控網(wǎng)絡(luò)數(shù)據(jù)流并從中提取出可疑文件，并通過內(nèi)部網(wǎng)絡(luò)將可疑文件發(fā)送到分析中心；

S6：所述分析中心對可疑文件或行為進行預(yù)檢測，如果預(yù)檢測結(jié)果無法辨別出可疑文件或行為的性質(zhì)，則發(fā)送至后臺處理子系統(tǒng)；

S7：后臺處理子系統(tǒng)對可疑文件或行為進行深度檢測，提取惡意文件或行為的特征，生成安全檢測報告，形成安全策略并發(fā)送至前端檢測子系統(tǒng)；

S8：前端檢測子系統(tǒng)根據(jù)安全策略對惡意文件或行為進行攔截和防御。

2.根據(jù)權(quán)利要求1所述的一種APT攻擊檢測系統(tǒng)，其特征在于，所述前端檢測子系統(tǒng)包括動態(tài)行為分析模塊、郵件安全檢測模塊和防御攔截模塊，

所述動態(tài)行為分析模塊用于從網(wǎng)絡(luò)數(shù)據(jù)流中提取可疑文件或樣本，并通過內(nèi)部網(wǎng)絡(luò)發(fā)送到所述分析中心；

所述郵件安全檢測模塊用于對來往郵件的附件進行分析，判斷是否為惡意攻擊郵件；

所述防御攔截模塊用于根據(jù)安全防御策略進行網(wǎng)絡(luò)攔截和防御。

3.根據(jù)權(quán)利要求2所述的一種APT攻擊檢測系統(tǒng)，其特征在于，所述郵件安全檢測模塊支持對于SMTP、POP3、IMAP三種標(biāo)準(zhǔn)郵件以及包括sina、sohu、163、126、yeah、21cm、qq在內(nèi)的web郵件的還原分析。

4.根據(jù)權(quán)利要求1所述的一種APT攻擊檢測系統(tǒng)，其特征在于，所述分析中心包括預(yù)檢測模塊，所述預(yù)檢測模塊用于檢測已知的病毒和木馬。

5.根據(jù)權(quán)利要求1所述的一種APT攻擊檢測系統(tǒng)，其特征在于，所述后臺處理子系統(tǒng)包括事件關(guān)聯(lián)分析模塊、多維度行為檢測模塊和沙箱檢測模塊，

所述事件關(guān)聯(lián)分析模塊用于對APT攻擊檢測結(jié)果進行集中關(guān)聯(lián)查詢和展示；

所述多維度行為檢測模塊用于從全方位多角度檢測并分析異常網(wǎng)絡(luò)行為并給出故障解決建議；

所述沙箱檢測模塊用于通過虛擬機觀察程序行為從而判斷是否存在攻擊行為。

6.根據(jù)權(quán)利要求5所述的一種APT攻擊檢測系統(tǒng)，其特征在于，所述多維度行為檢測模塊包括高危郵件分析模塊、Web攻擊檢測模塊、賬號異常檢測模塊、隱蔽信道檢測模塊、TCP異常會話檢測模塊，所述高危郵件分析模塊、Web檢測攻擊模塊、賬號異常檢測模塊、隱蔽信道檢測模塊、TCP異常會話檢測模塊分別通過網(wǎng)絡(luò)與所述分析中心相連接。