APT攻击技术与思考-天融信探索.docxVIP

APT技术分析与思考-阳光1 什么是APT 1.1 概述 IT技术的突飞猛进促使着云计算、物联网、移动互联网等成为ICT当前最重的要业务，深刻地普惠着人们的生活。但与此同时，各种信息安全问题也随之而来，困扰甚至危及个人、企业及国家安全，使得信息安全产业“身份倍增”。其中，近期的APT(Advanced Persistent Threat)问题更是将信息安全产业推到风口浪尖上，“APT”也成为业界内的“时髦名词”。究其原因，近几年世界各地发生了多起名噪一时的APT攻击事件，主要有： ? 2010年1月，极光行动(Operation Aurora)攻击GMail。 ? 2010年7月，震网(Stuxnet)攻击伊朗布什尔核电站。 ? 2011年3月，Comodo的数字签名被窃。 ? 2011年3月，EMC的RSA SecurID技术数据遭窃。 ? 2011年4月，Sony PSN用户资料外泄。 ? 2011年5月，美国军火大厂洛克希德马丁(Lockheed Martin)的被入侵。 ? 2011年5月，Gmail大量账号被入侵。 ? 2011年6月，CIA被入侵。 ? 2011年6月，Sega游戏公司被入侵，用户资料外泄。 ? 2011年6月，国际货币基金（IMF）被入侵。 ? 2011年7月，苹果公司（Apple）被入侵。 ? 2011年11月，日本总务省发现计算机遭木马入侵已三个月。 ? 2012年1月，亚马逊旗下美国电子商务网站Zappos遭到黑客网络攻击，2400万用户的电子邮件和密码等信息被窃取。 ? 2012年3月，东软集团被曝商业秘密外泄，约20名员工因涉嫌侵犯公司商业秘密被警方抓捕。此次商业秘密外泄造成东软公司损失高达4000余万元人民币。 ? 2012年3月，央视3.15晚会曝光招商银行、中国工商银行、中国农业银行员工以一份十元到几十元的价格大肆兜售个人征信报告、银行卡信息，导致部分用户银行卡账号被盗。 ? 2012年5月，1号店90万用户信息被500元叫卖。有媒体从90万全字段的用户信息资料上进行了用户信息验证，结果表明大部分用户数据属真实信息。个人信息的泄露将会导致诈骗、勒索甚至威胁人身安全的事件发生频率增高，让人心悸。 ? 2012年7月，京东、雅虎、Linkedin和安卓论坛累计超过800万用户信息泄密，而且让人堪忧的是，部分网站的密码和用户名称是以未加密的方式储存在纯文字档案内，意味着所有人都可使用这些信息。 ?? 2012年7月，三星电子员工向LGD泄密AMOLED技术被起诉。 ? 2012年8月，银行外包后台成泄密重灾区，江苏银行1个月卖千份客户资料。同月，上海数十万条新生儿信息遭倒卖，出自市卫生局数据库外包维护工作人员。 ? 2012年9月，美国媒体报道：有黑客组织声称破解了联邦调查局(FBI)主管的笔记本电脑，获得了1200万苹果iOS用户UDID、用户名、设备名称、设备类型、苹果推送通知服务记录、电话号码、地址、等重要内容。 ? 2012年11月，“三通一达”等多家快递公司客户信息遭贩卖。快递单号的信息被大面积泄露，甚至衍生出多个专门交易快递单号信息的网站。这些交易网站显示，被交易的快递单号来自包括申通、圆通、中通、韵达在内的多个快递公司，“淘单114”还写着“单号来源于各地快递员”。 要分析APT首先必须了解APT攻击与普通攻击有什么区别，其实在两者并无本质的区别，都是网络攻击行为，都包含攻击三要素即攻击目标、攻击目的、攻击过程，而前者相对于后者的特点体现在攻击三要素的总结就是“APT”，但不是“Advanced Persistent Threat”而是“Advanced Persistent Targeted”，即针对性地、高级地、持续性地攻击。 T：攻击目标明确、攻击目的明确 攻击目标通常都具有深厚背景，包括可政治、经济、安全技术等，攻击目的通常都是窃取、控制、破坏攻击目标所掌握的重要资源，而这些资源肯定是攻击目标所重点保护的对象，因此决定了攻击过程的高难度性，体现在难以突破、难以隐蔽、难以定位。 P：攻击过程时间长 由于攻击过程的高难度性决定了需要寻找机会进行纵向突破进入攻击目标网络，再进行横向摸索渗透，为了避免暴露攻击行为需隐匿在目标网络正常行为中，整个过程需要经历数月甚至数年。 A：攻击手段高级 由于攻击过程的高难度性决定攻击手段的高级性，主要体现在人力、物力、财力以及技术代价。例如，耗费大量人力、物力、财力进行情报搜集；利用社会工程学诱骗、利用0day漏洞或特种木马攻击、利用物理摆渡直接从内部发起攻击等；利用合法网络通道建立隐蔽信道。 1.2 APT攻击典型案例 极光行动(2009-2010) 针对GOOGLE等三十多个高科技公司的极光攻击。攻击者通过FACEBO