基于SIEM系统的APT攻击检测框架

摘要：

针对高级持续性威胁(advanced persistent threat,APT)攻击具有潜伏期长、隐蔽性高、针对性强、持续时间长的特点,提出了基于安全信息和事件管理(security information and event management,SIEM)系统的APT攻击检测框架.框架分为网络边界日志分析和内部网络流量分析两大模块,网络边界日志分析模块采用大数据分析技术,实时对各类安全防护设备产生的海量异构安全日志和流量统一整合关联、采用特征码检测技术构建第一层恶意代码检测,在网络边界或主机边界形成对APT攻击的第一道防线;内部网络流量分析模块采用大数据分析技术对内部网络流量进行过滤、与边界日志分析模块联动、结合基于图编辑距离的静态同源分类技术构建第二层恶意代码检测,重点防御C&C加密信道、0day漏洞、变形木马.通过网络取证分析实现了全流量回溯技术发现异常、布隆算法过滤入侵行为、虚拟执行分析技术还原APT攻击事件,以此形成内部网络APT攻击防线.

关键词：APT攻击、SIEM系统、恶意代码检测、大数据分析、网络取证分析

所属期刊栏目：44

分类号：TP309.2(计算技术、计算机技术)

资助基金：吉林省自然科学基金;吉林师范大学博士启动项目

在线出版日期：2023-08-21（万方平台首次上网日期，不代表论文的发表时间）

页数：共6页

页码：118-123