[發(fā)明專利]針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法、裝置及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202111362550.4
• 申請(qǐng)日: 2021-11-16
• 公開(kāi)（公告）號(hào): CN114070629B
• 公開(kāi)（公告）日: 2023-10-20
• 發(fā)明（設(shè)計(jì)）人: 賈雪;姜訓(xùn);張付存;王曄;郭靚;余軍;徐勝國(guó);俞皓
• 申請(qǐng)（專利權(quán)）人: 南京南瑞信息通信科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 南京縱橫知識(shí)產(chǎn)權(quán)代理有限公司 32224
• 代理人: 俞翠華

1.一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，包括：

獲取日志數(shù)據(jù)；

獲取本地威脅情報(bào)庫(kù)，所述本地威脅情報(bào)庫(kù)中包括威脅主體信息、訪問(wèn)方式信息，攻擊目標(biāo)信息和攻擊指標(biāo)信息，用于進(jìn)行威脅的判斷和分析；

基于大數(shù)據(jù)、人工智能分析技術(shù)，對(duì)所述日志數(shù)據(jù)進(jìn)行預(yù)處理及監(jiān)測(cè)分析，生成安全威脅事件告警；

利用所述本地威脅情報(bào)庫(kù)對(duì)所述安全威脅事件告警進(jìn)行分析，識(shí)別出告警數(shù)據(jù)；

對(duì)識(shí)別出的告警數(shù)據(jù)根據(jù)預(yù)設(shè)劇本，進(jìn)行攻擊源的威脅情報(bào)分析及針對(duì)影響資產(chǎn)的漏洞的研判取證；

對(duì)告警根據(jù)預(yù)設(shè)劇本進(jìn)行響應(yīng)操作，并通報(bào)預(yù)警。

2.根據(jù)權(quán)利要求1所述的一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，所述日志數(shù)據(jù)的獲取方法包括：

利用蜜罐獲取攻擊模式趨勢(shì)數(shù)據(jù)；

利用流量威脅探針識(shí)別攻擊者試圖利用的漏洞，分析出攻擊者使用的攻擊所需的基本信息。

3.根據(jù)權(quán)利要求1所述的一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，所述本地威脅情報(bào)庫(kù)的獲取方法包括：

通過(guò)爬蟲腳本或第三方接口從外部開(kāi)源威脅情報(bào)庫(kù)中收集告警信息，并進(jìn)行告警分析；基于告警分析結(jié)果，提取出威脅主體信息、訪問(wèn)方式信息、攻擊目標(biāo)信息、攻擊指標(biāo)信息，并范式化STIX標(biāo)準(zhǔn)化格式，形成本地威脅情報(bào)庫(kù)。

4.根據(jù)權(quán)利要求1所述的一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，所述安全威脅事件告警的生成方法包括：

對(duì)所述日志數(shù)據(jù)進(jìn)行數(shù)據(jù)聚合和分解，得到范式化日志數(shù)據(jù)；

將所述范式化日志數(shù)據(jù)，通過(guò)人工智能方法和規(guī)則匹配方法進(jìn)行學(xué)習(xí)，找到最精確的規(guī)則模型，進(jìn)而得到安全威脅事件告警。

5.根據(jù)權(quán)利要求1所述的一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，所述告警數(shù)據(jù)的識(shí)別方法包括：

基于安全威脅事件告警中告警事件的攻擊源IP，利用所述本地威脅情報(bào)庫(kù)進(jìn)行分析，對(duì)于誤報(bào)告警數(shù)據(jù)，標(biāo)記誤報(bào)，并將誤報(bào)告警數(shù)據(jù)反饋至所述本地威脅情報(bào)庫(kù)；

對(duì)于非誤報(bào)告警數(shù)據(jù)，則基于所述本地威脅情報(bào)庫(kù)，利用研判取證和漏洞分析對(duì)非誤報(bào)告警數(shù)據(jù)進(jìn)行攻擊取證，并向安全專家展示。

6.根據(jù)權(quán)利要求5所述的一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，所述研判取證包括：情報(bào)取證和網(wǎng)絡(luò)取證；

所述情報(bào)取證具體為：通過(guò)收集威脅情報(bào)追蹤攻擊者IP、域名，發(fā)現(xiàn)攻擊者留下的痕跡，分析出攻擊者的TTPs戰(zhàn)略戰(zhàn)術(shù)及過(guò)程；通過(guò)特征分析，流量載荷研判，發(fā)現(xiàn)網(wǎng)絡(luò)失陷主機(jī)，自動(dòng)化識(shí)別目的性黑客的攻擊意圖；整理上述收集到的威脅情報(bào)信息，反饋至本地情報(bào)庫(kù)，實(shí)現(xiàn)對(duì)攻擊者的溯源，為安全運(yùn)維人員決策響應(yīng)做支撐；

所述網(wǎng)絡(luò)取證具體為：包括查找C2服務(wù)器、Whois、DNS解析記錄，記錄網(wǎng)絡(luò)連接信息；分析采樣樣本，通過(guò)關(guān)聯(lián)分析，獲取攻擊過(guò)程中的證據(jù)信息。

7.根據(jù)權(quán)利要求1所述的一種針對(duì)APT攻擊的安全編排與自動(dòng)化響應(yīng)方法，其特征在于，所述漏洞分析具體為：

針對(duì)本次攻擊利用的漏洞，采用PoC技術(shù)對(duì)告警影響的主機(jī)資產(chǎn)進(jìn)行漏洞驗(yàn)證，并對(duì)存在漏洞資產(chǎn)進(jìn)行主機(jī)加固，同時(shí)對(duì)本區(qū)域所有資產(chǎn)與改漏洞進(jìn)行特征匹配，預(yù)警可能被該類攻擊利用的漏洞資產(chǎn)，并下發(fā)漏洞預(yù)警單。