APT攻击中的动态沙箱检测与反检测对抗技术进展.pdfVIP

动态沙箱检测与反检测技术进展 苏璞睿 中国科学院软件研究所 2019年12月13日 提 纲 • 一、背景及挑战 • 动态沙箱是检测高级威胁的重要手段 • 二、环境敏感的恶意软件 • 探测沙箱环境 ，对抗沙箱检测技术手段 • 三、环境敏感恶意软件的检测 • 针对环境探测的各种检测思路及进展 • 四、我们的工作及进展 • 金刚系统及相关进展 一、背景及挑战 高级持续性威胁 （APT ）攻击中 ，应用各种技术对抗当前的检测手段和防护策略 ， 动态沙箱是检测高级威胁的重要手段 ，也是最有效的手段之一。 APT攻击检测是保障国家网络空间安全的重大战略需求 传统防御体系 国家关键信息基础设施 境外情报机构 国家背景高技术手段 国家重要部门 有组织黑客团伙 国家经济命脉 高级持续性威胁 （APT）攻击是有组织实施、高技术资源支撑的高隐蔽 高价值情报 经济利益 性、高破坏性攻击，是当前网络空间对抗的最前沿，是国家重大战略需求 APT攻击检测防御是业界难题之一 技术 反虚拟化 未知漏洞利用 专有控制协议 ROP 对抗 类攻击代码 P2P僵尸网络 代码重用攻击 反沙箱对抗匿名网络 行为重组 JOP 手段 代码变形 SMC自修改代码 环境探测与反制 Stalling Code迟滞代码 检测 分析 追踪 传统 入侵检测 杀毒软件 反编译 代码校验 流量特征检测 反汇编 防火墙 防御 主动防御 网络隔离 程序调试 体系 n 国际顶级安 n 美国国家安 全公司RSA公 n 国际顶级攻击团 全局NSA下属 司遭受攻击 队Hacking-Team 方程式组织 遭受攻击 遭受攻击 动态沙箱是检测APT攻击的重要手段之一 传 统 恶意 检测分析 方 软件 系统 案 操作系统 应 恶意 对 检测分析 软件 思 系统 路 操作系统 沙箱系统的典型工作模式 （金刚系统） 应用软件 应用软件