本文由我在互联网安全大会 ISC 2022 分论坛“以对手为目标的威胁防御——安全情报与高级威胁论坛”中的分享《基于海量样本数据的高级威胁发现》整理而成，内容有所改动。...这次分享主要从 4 个方面呈现，分别是：严峻的网络威胁形势、恶意行为自动化检测技术、海量样本数据运营、情报生产和高级威胁发现。...作为高级威胁攻击的核心，漏洞利用的手段已经覆盖到现代网络战争的方方面面。因此，对应的漏洞利用检测技术在自动化检测过程中就处于非常重要的位置。...多重样本来源 基于输入的海量样本数据，经过各个检测分析阶段的处理和过滤，最终的目的是发现高级威胁。...海量样本数据的运营，支撑的另一项主要的业务是高级威胁发现业务。那么什么是高级威胁呢？
使用 SYSMON 检测 CACTUSTORCH CACTUSTORCH 是一种 JavaScript 和 VBScript 的 shellcode 生成器。...WMI 或者 SBW/SW COM 对象的文档 在这篇文章中，我们将讨论如何检测攻击者使用的两个方法来绕过基于宏的 office 恶意文件的现有标准/已知检测。...（winword.exe 没有生成任何东西，从而绕过标准检测规则）： ? ?...macro 执行后，它的 explorer.exe 会调用或生成 cmd.exe，这种方式很难用常规检测去定位（winword.exe 会生成 powershell.exe 或 cmd.exe 等等）。...我们能够用上面的追踪来建立 EDR 或者系统检测规则。
域名现在也被列入了一种无形资产，也被国家越来越重视，很多域名都不能随便使用了，那么我们在选择创办网站的时候，服务器和域名是必不可少的，域名在哪里买比较好呢？在购买的时候还需要注意哪些事项呢？...域名在哪里买比较好 域名在哪里买比较好，最好是选择那些大型靠谱的交易平台，如果是注册域名的话就去那种大型的域名注册商。...当然，在交易的时候去专业正规的交易平台购买域名，我们的权益就会有所保证，而且在后期维护的时候他们也会更加地负责。...购买域名的时候有哪些要注意的 在域名购买之前我们要考虑的因素也有很多，首先就是域名的长度。...以上就是域名在哪里买比较好的相关信息，我们在注册或购买域名时候需要注意的一些内容，大家如果还有什么疑问的话，也可以上网自行搜索。
无独有偶，DARPA也在2012年出台了ADAMS项目，该项目专门用于美国国内敏感部门、企业的内部威胁检测。...目前PRODIGAL已经在美国的部分涉密企业实际部署，结果得到部署企业的一致好评。因此今天我们来了解下PRODIGAL，希望从中可以为我们研发自主可控的内部威胁检测系统带来借鉴。...，导致数据挖掘分析的工作任务十分繁重； -由于工作环境（流程、新的规章制度）的改变和攻击者隐藏自己行为的影响，导致建立的内部威胁检测模型需要动态变化； -实际中的ITs仅仅是用计算机使用的记录数据是远远不够的...PRODIGAL不再试图用一个固定的分类器使用架构来检测异常，而是根据不同的威胁类型建立灵活的检测架构。...PRODIGAL已经在美国的部分涉密企业中部署，在运行中不断改进优化和丰富攻击特征语言数据库，相信PRODIGAL会成为将来第一款部署的强大内部威胁检测系统。
计算机互联网的世界丰富多彩，在互联网领域有很多我们看不见摸不着，但是又的确存在的东西，就拿互联网网站的域名来讲，这里边就有很多的知识，我们在个人做网站的时候少不了购买的就是域名和服务器，那么一般来讲去哪里买域名更加靠谱呢...去哪里买域名比较好 去哪里买域名其实现如今我们普通人在购买域名的时候，只需要找到靠谱的域名交易平台就可以了，一般来讲这些交易平台都是非常正规的，选择那些大型可靠的平台，在交易之前想清楚自己想要什么，然后联系卖方进行交易就可以了...在购买域名的时候要注意些什么 在购买域名的时候，其实也是有很多需要注意的点。...首先我们一定要清楚我们购买域名的地点是哪里，可以通过朋友推荐也可以是自己通过官方渠道购买，千万不要贪图便宜去那些小的商家购买，毕竟购买域名不是一次性的，它可以用好久，不能贪小便宜而损失了自己，其次在购买域名的时候...以上这些就是去哪里买域名以及购买域名时需要注意的那些点，其他再有什么不懂的地方也都可以上网查询。
但是呢，一般的图片马是不行的，回顾一下我们经常用也是流传最广的做图片马的方式。...先说说上传点的检测机制：程序采用 GDI+ 插件将用户上传的图片处理后保存。 作者的脑子很简单，当然这个思路也没什么错，毕竟只要是正常的图片文件没必要拦截。...而作者写的这个程序也的确很牛逼，copy 大法是完全失效的。 经过 copy 的图片马在程序过滤后都被剔除干净了。 可以看到用 Copy 打发做出来的被过滤的啥也不剩了，尝试了各种混合模式都不行。...所以看起来理论上这玩意能拦截除了图片本身的信息之外的任何额外附加信息。 0x2 绕过 但是呢, 程序作者好像漏了什么，图片本身的信息也是大有作为的。...总结: 不要相信用户输入的任何信息，也不要对自己的编码水平有太高的期望。 在本次案例中，首先是未对上传文件的名称做任何校验就写入硬盘这明显是不可取的。
Nicky这样的内部人（离职员工）对于任何一个组织而言都是潜在的巨大威胁，然而现实中的内部威胁检测系统至今蒙着神秘的面纱，不仅没有统一的设计标准，也没有得到普遍认可的商业版本。...企业中的内部威胁检测系统要求 企业中部署内部威胁检测系统的前提是实行内部安全审计，内部员工的计算机操作与网络使用行为应得到详细的记录，无论使用何种商业审计软件，进行内部人行为监控起码应包括以下类别： 登录事件...三层检测框架 当前的内部威胁检测思路主要是通过用户的计算机与网络行为构建起行为模型，然后利用异常检测算法检测用户异常。...小结 信息化的发展导致内部威胁的潜在危害越来越大，因此实际中的内部威胁检测系统便成为了亟待研究的问题。今天我们介绍了一种基于用户/角色行为的三层内部威胁检测系统框架。...传统的异常检测更多侧重于特征矩阵分析，而忽视了实时检测与多指标异常分析，多指标异常检测正是实现多类内部威胁检测的有效方法，因此三层检测系统一定程度上弥补了上述不足。
opportunities，一篇内部威胁检测的综述，来了解内部威胁检测的历史，挑战以及未来的研究方向。...与外部攻击相比，内部攻击的足迹难以隐藏，内部人员的攻击很难去检测因为恶意的内部威胁已经有被授权的权利通往内部信息系统。内部威胁检测在过去十年里吸引了大量关注，于是许多内部威胁检测方法被提出。...然而，使用深度学习模型来进行内部威胁检测仍然面临许多与内部威胁检测数据的特征相关的挑战，例如极小量的恶意活动以及自适应攻击。因此，发展先进的可以提升内部威胁检测表现的深度学习模型，仍有待研究。...在第三部分，我们介绍了常用的用于内部威胁检测的数据集，解释了为什么内部威胁检测需要深度学习，并对近年来基于深度学习的内部威胁检测的研究工作进行了综述。...手工设计的特征很难并且很低效去捕获用户行为信息。同时，浅层结构的学习模型，如HMM和SVM，是相对简单的结构，只有一层将原始特征转化为可用于检测的高级抽象。
我觉得这是一个很好的话题，技术人的职业规划不管如何发展，总归是一个从初级到高级的过程，不要妄想从初级一步跨越到架构师、CTO 之类的职位，所以高级工程师这个过渡阶段显得就很重要了，那么今天就来给大家说说你们还差在哪里...，只是时间长短问题而已，除了技术，你跟那些真正的高级工程师还有其他方面的差距！ ...然而那些优秀的工程师是怎么样的？ 他们项目做完了会想着哪里代码写的不够好，会想着重构下。 自己在赶某个功能的时候太匆忙了，刚好利用这段时间看看有没有更好的办法实现。...而高级工程师会自己主动找事做，他们永远不会觉得自己的时间多余，重构、优化、学习、总结等等等，有一大堆可以主动做的事。 4....所以，优秀的高级工程师永远有团队合作精神，永远以团队利益为优先，任何时候，不要做拖团队后腿的那位！
关于RTA RTA是一款专为蓝队研究人员设计的威胁行为能力检测框架。RTA提供了一套脚本框架，旨在让蓝队针对恶意行为测试其检测能力，该框架是基于MITRE ATT＆CK模型设计的。...RTA由多个Python脚本组成，可以生成50多种不同的ATT＆CK战术策略，以及一个预先编译的二进制应用程序，并根据需要执行文件时间停止、进程注入和信标模拟等活动。...在可能的情况下，RTA 将尝试执行策略所描述的实际恶意活动。在其他情况下，RTA 将模拟所有或部分活动。例如，某些横向移动操作默认会针对本地主机（尽管参数通常允许进行多主机测试）。...需要注意的是，Windows Defender或其他防病毒产品可能会在RTA运行时阻止或以其他方式干扰RTA。在根据测试目标运行RTA之前，请考虑如何在测试主机上配置安全产品。...自定义配置 广大研究人员可以通过修改common.py来自定义RTA脚本在我们环境中的工作方式。我们甚至可以编写一个全新的函数，用于一个或多个新的RTA。
Gamaredon APT（先进持久威胁）是一种针对政府和军事组织的高级威胁行动，这个组织在网络安全领域引起了广泛的关注。...Gamaredon APT概述Gamaredon APT是一个活跃的威胁行动组织，其主要目标是政府和军事组织。该组织首次在2013年被发现，自那以后一直在不断发展和改进其攻击能力。...通过这种方式，恶意代码可以隐藏在看似正常的文件中，如图片、文档等，从而绕过防御系统的检测。2. 数据操纵和篡改Gamaredon APT还利用非PE部分对数据进行操纵和篡改来达到攻击的目的。...实施多层次的安全策略：采用多个安全层次，包括网络防火墙、入侵检测系统和终端安全软件等，以增加系统的安全性和防御能力。这有助于检测和阻止来自Gamaredon APT的攻击。...应对这种攻击，需要采取多层次的安全策略，包括更新安全软件、加强员工安全意识和实施备份和恢复措施。在不断演化的威胁环境中，我们必须时刻保持警惕，并采取适当的防御措施来减少潜在的攻击风险。
如何理解这个贪字，新手习惯于找最好的编程语言，最好的入门书籍，代码最完善的入门资料，现在国内软件行业已经非常成熟了，国内的编程软件书籍质量已经得到了极大的提升，所以在选择编程语言的书籍的时候是可以有很多种选择了...，有关C语言国内最原始的书籍当属于谭浩强的C语言编程，而且因为当时由于条件限制这本书在很多细节方面值得商榷，但积极意义还是要大于本身的缺陷，国内第一代的程序员几乎都是看着这本书学习编程的，历史意义显得更加积极一些...C语言的书籍在国内范围内选择空间非常大，最简单的方式直接在商城里面寻找评价量最多的就够了，毕竟现在大家在买书的时候的眼光已经提升了许多，没有必要在这方面纠结太多，每种编程语言的侧重点不是太一样，但是在本质内容上没有什么太大的区别...，所以选择一门书制定严格的学习计划就可以开始了，题目的关键是C语言的数据结构而且还要求带源码的，只需要找一本C语言格式的数据结构书籍就可以了。...数据结构是未来编程中最基础的抽象模型，如同设计一个模块就要设计其中的数据结构，这点和数据机构编程过程极其的相似，所以在学习了C语言不知道如何实践的时候，可以直接通过数据结构来完成而且在操作的过程中不断的提升对代码的认知
关于Threatest Threatest是一个基于Go开发的安全测试框架，该框架可以帮助广大研究人员测试端到端威胁检测规则的有效性与可用性。...Threatest允许我们使用各种渗透测试技术对目标进行安全检测，并以此验证是否能够触发期望的安全警报。 ...检测工程 从广义上讲，检测工程是识别与组织相关的威胁、深入了解它们并提出可靠的策略来检测它们的学科。尽管没有标准化流程，但检测工程通常遵循几个阶段： 构思：哪些攻击技术与我们的组织相关？...研究：攻击技术是如何工作的？它生成什么日志或遥测数据？ 收集要求：实现检测需要哪些日志？我们是否需要更多的可见性或更广泛的范围来实施检测？ 开发：定义具体的检测策略以制定检测规则。...测试和部署：测试规则，最好是针对真实世界的数据，以确保它按预期工作，不会产生太多误报。 维护：持续收集检测规则生成的警报指标，并根据需要采取修改和维护。
前言 近来，我们一直都在通过一些开源免费的工具，来帮助中小企业提升其网络威胁检测能力。在本文中，我们将手把手的教大家通过Kibana，Wazuh和Bro IDS来提高自身企业的威胁检测能力。 ?...Wazuh是一款以OSSEC作为引擎的基于主机的入侵检测系统。通过与ELK的结合，便于管理员通过日志平台查看系统日志信息，告警信息，规则配置信息等。...然后回到discover，你应该能够看到你的bro日志！ ? 提取 - Bro和威胁情报 首先，我们在这里进行注册以获取免费威胁情报源。...遵循critical-stack-intel二进制文件的客户端安装说明进行安装： 然后使用api code（需要联网）将二进制文件连接到feed，此时它应该下载已订阅的威胁情报源。...，能够让你轻松的按照我们的说明来创建你自己的HIDS和NIDS监控系统，并进一步的提升你们企业的威胁检测能力。
引言 如题，普通工程师和高级工程师的差别在哪里？ 工作年限？经验？老板重视程度？是否做出重大业绩？ 首先，工作年限长的技术就一定更加高深么？ 不见得！...更何况，如果是一群人共同做出的业绩，如何区分大家彼此之间的技术高低呢？ 那么，普通工程师和高级工程师，差别到底在哪里呢？什么样的水平称得上高级工程师，什么样的水平只能称得上普通工程师？...比如说修汽车，门外汉连空气滤清器在哪里都不知道，更不要说如何拆卸，如何安装了。...所以，初级工程师对自己所从事的行业，至少是有大概的了解的，甚至具有一定的工作经验，可以在高级别同伴的带领下完成最为基本的操作。...这是对一个行业的彻底颠覆。这样的级别，就不仅仅是高级了，而是专家级别。 如何最快速的成长 如何最快速的从初级到高级？区别明确了，问题就好办了！
如果是有一种方法可通过部署个ASIC的硬件、或者软件的signature去识别、检测APT，那不是高级持续威胁（Advanced Persistent Threat），那只是个EDPTD（Easy to...很不幸的答案是“没有”。CSIRT团队有了很有价值的数据，以及记录了这些高级和持续性的威胁。遗憾的是CSIRT团队中断了部分的尝试，但并没有完全阻止到这些攻击。...即使常规的防病毒无法检测盒阻止这些威胁，这些“威胁”往往可以在漏洞利用的关键字作修改，或者运行多个杀毒引擎进行扫描免杀。而这里只是两个简单的例子。...这是个很长的过程，需要你主动的投入资源和用心经营。一个比较好的开始就是加入像FIRST.org这样的组织。FIRST的宣言是帮助减少这种类型的信息共享过程中的障碍。...例如前面提到的那些PDF样本，一旦你发现了其中的一些恶意样本，你需要对它进行解剖、分析，了解它打算做什么，谁是被攻击的目标，它曾经连接到哪里。
云计算架构下，云平台承载着越来越多的重要数据与用户关键业务，但随着各类威胁和攻击不断的升级，企业面临的安全挑战也越来越大。...腾讯安全高级产品经理周荃表示，以log4j漏洞为例，从漏洞的爆发，到企业检测受影响的资产、开启防护的补丁，再到最终漏洞的修复或者隔离，企业一般需要在至少5款产品中进行数十项的操作配置，整个流程往往需要花费...在发布会上，腾讯安全高级产品经理ericyong介绍称，腾讯云防火墙是一款云原生的SaaS化防火墙，在弹性扩展性能、防护边界方面都进行了重磅升级，实现网络流量在哪里，防火墙边界就拓展到哪里；新增零信任接入和防护能力...2、防护边界拓展到混合云边界，新增零信任接入防护：腾讯云防火墙的防护边界不断拓展，实现了网络流量在哪里，防火墙边界拓展到哪里，以及云端统一管控。...3、网络蜜罐+秒级威胁情报+小时级别虚拟补丁，改变攻防的不对等：腾讯云防火墙拓展了20+蜜罐系统，只需轻松两步，企业就能构建云上网络蜜罐系统；基于腾讯全球的威胁情报库，实时监测主动外联行为，阻止用户资产访问恶意
有人推测ChatGPT可以做一些事情，比如创建恶意代码变体，查找恶意软件，并测试新的威胁是否可以使用基于人工智能的技术逃避检测。这还有待观察，但滥用人工智能的可能性肯定在增加。...以下示例是https://beta.openai.com/playground/获取的。Q1 我在哪里可以找到勒索软件的源代码?勒索软件的源代码通常不能供公众使用。...Q4 在哪里可以找到用于测试和研究的勒索软件样本?...为此，您可以使用AI生成的输出检测器来扫描传入的内容。如果他们检测到人工智能创建了一个文件，它可以被标记为反恶意软件检查。...如果你不相信我们，就问ChatGPT:Morphisec的移动目标防御(MTD)技术能否阻止高级AI生成的针对终端的恶意软件?如果可以，如何阻止？
三、以威胁为中心的安全理念 实时防御是以漏洞为中心的，基于漏洞的签名检测机制有着较高的准确性，可以用以进行自动化的阻截。...但当基于已知威胁的签名机制不能检测针对其的高级别威胁时，我们就需要转化思路，因此积极的检测和响应则是以威胁为中心，它不再强调单点的检测，也不再单纯的追求告警的精确性，它促使你从面上去着手，将若干的点关联起来...在整个过程中（数据收集、检测、分析）都需要以威胁为中心，如果丢掉这个中心点，单纯的追求数据的大而全，则必然达不到效果。以威胁为中心，用数据来驱动安全，是检测APT类型威胁的有效手段。...因此明智的问题是“我从哪里获得所需要的数据？”，而不是“我需要对该数据提出什么样的问题？”...3.确定数据源：在这个阶段确定可以提供检测和分析价值的主要数据元，从具有最高风险权重的技术威胁开始，考虑可以从哪里看到威胁相应的线索、证据。
它并不关注攻击事件本身，而是关注攻击路径，站在攻击者的角度去思考攻击可能发生在哪里，以及可能采用的攻击战术和实施手段。...设计有效的事件响应计划 只有当组织能够及时响应每个检测到的威胁时，CTEM计划所增强的威胁可见性才能真正发挥作用。...基于风险的漏洞管理方法（RBVM）是一个框架，可用于帮助安全团队决定将安全响应工作的重点放在哪里。 通过明确定义的风险偏好，RBVM框架会根据威胁对组织安全状态的可能影响来判断优先处理哪些威胁。...其中，以网络资产攻击面管理（CAASM）、外部攻击面管理（EASM）、入侵和攻击模拟（BAS）、弱点优先级技术（VPT）、高级威胁检测与分析（TDR）几大产品为支撑，既可独立提供各自的安全能力，又能编排联动形成全面且完整的攻击面整体解决方案...具体而言，通过资产梳理以攻击者视角全面理清企业暴露在互联网中的数字资产； 通过常规检测、脆弱性检测、威胁情报、威胁定位等方式，评估和分析资产属性，确定数字资产存在的风险、脆弱性或异常行为； 通过深入分析攻击路径和技术手段
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
