SANGFOR_AF_APT检测功能介绍.docxVIP

敏感信息防泄漏技术详解 文档密级：产品线内公开 PAGE 4 深信服科技版权所有 APT检测功能介绍 深信服科技有限公司  概述 APT 全称Advanced Persistent Threat（高级持续性威胁），是以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。 传统防毒墙和杀毒软件查杀病毒木马的效果有限，在APT场景下，因为无法解读数据的应用层内容以及木马的伪装技术逃逸杀毒软件的检测，传统防毒墙和杀毒软件更是形同虚设，因此需要一种事后检测机制，用于发现和定位内部网络受病毒木马感染的机器。 深信服下一代防火墙APT检测功能主要解决的问题：针对内网PC感染了病毒、木马的机器，其病毒、木马试图与外部网络通信时，AF识别出该流量，并根据用户策略进行阻断和记录日志。帮助客户能够定位出那台PC中毒，并能阻断其网络流量，避免一些非法恶意数据进入客户端，起到更好的防护效果。 深信服下一代防火墙的APT检测功能主要由两部分检测内容来实现： 1.远控木马检测 在应用特征识别库当中存在一类木马控制的应用分类。这部分木马具有较明显的网络恶意行为特征，且行为过程不经由HTTP协议交互，故通过专门制作分析的应用特征来进行识别。如灰鸽子，炽天使，冰河木马，网络守望者等等。此种类型的木马也随深信服应用识别规则库的更新而更细。 2.僵尸网络检测 僵尸网络检测主要是通过匹配内置的僵尸网络识别库来实现。该特征库包含木马，广告软件，恶意软件，间谍软件，后门，蠕虫，漏洞，黑客工具，病毒9大分类。特征库的数量目前已达数十万，并且依然以每两周升级一次的速度进行更新。 僵尸网络特征库主要是将病毒木马HTTP访问时产生的数据流量特征（如URL、Host以及Referer字段等内容）提取出来按照特定的格式规范形成一个特征，用做进行病毒木马检测的依据。该特征会进行一个唯一性的判断过程，保证特征库中的内容都是具备唯一性的，此外，为了降低误判的概率，设备在匹配特征库之前还会进行一次白名单过滤，该白名单的组成主要包括访问量TOP10万以内的域名以及客户人工添加的一些域名，经过白名单过滤后的请求才会最终和僵尸特征库进行匹配过滤。 僵尸网络检测的具体流程： 1.客户端发送HTTP请求，该请求恶意软件检测模块捕获； 2.匹配恶意软件特征库； 3.取得匹配结果； 4.如果匹配到恶意软件特征，则根据策略发送告警日志，并将该HTTP结构打上恶意标记； 5.转发HTTP请求到服务器； 6.服务器响应该HTTP请求； 7.如果该HTTP结构已打上恶意标记，将服务器响应的内容保存到附件； 8.如果该HTTP结构没有恶意标记，或不是最后一包，转发HTTP响应到客户端； 9-10.如果该HTTP结构已打上恶意标记，且是最后一包，则断开双方连接。