面向APT家族分析的攻击路径预测方法研究

作者：陈伟翔; 任怡彤; 肖岩军; 侯锐; 田志宏^*

来源：信息安全学报, 2023, 8(01): 1-13.

DOI：10.19363/J.cnki.cn10-1380/tn.2023.01.01

• APT攻击
• 恶意行为基因库
• HMM
• 攻击路径还原及预测
• 恶意软件家族分类

近年来,针对政府机构、工业设施、大型公司网络的攻击事件层出不穷,网络空间安全已成为事关国家稳定、社会安定和经济繁荣的全局性问题。高级持续威胁(Advanced Persistent Threat, APT)逐渐演化为各种社会工程学攻击与零日漏洞利用的综合体,已成为最严重的网络空间安全威胁之一,当前针对APT的研究侧重于寻找可靠的攻击特征并提高检测准确率,由于复杂且庞大的数据很容易将APT特征隐藏,使得获取可靠数据的工作难度大大增加,如何尽早发现APT攻击并对APT家族溯源分析是研究者关注的热点问题。基于此,本文提出一种APT攻击路径还原及预测方法。首先,参考软件基因思想,设计APT恶意软件基因模型和基因相似度检测算法构建恶意行为基因库,通过恶意行为基因库对样本进行基因检测,从中提取出可靠的恶意特征解决可靠数据获取问题;其次,为解决APT攻击路径还原和预测问题,采用隐马尔可夫模型(HMM)对APT恶意行为链进行攻击路径还原及预测,利用恶意行为基因库生成的特征构建恶意行为链并估计模型参数,进而还原和预测APT攻击路径,预测准确率可达90%以上;最后,通过HMM和基因检测两种方法对恶意软件进行家族识别,实验结果表明,基因特征和HMM参数特征可在一定程度上指导入侵检测系统对恶意软件进行识别和分类。

• 单位
  中国科学院信息工程研究所; 广州大学; 信息安全国家重点实验室