一、前言 威胁情报是一种基于数据的，对组织即将面临的攻击进行预测的行动。预测（基于数据）将要来临的的攻击。威胁情报利用公开的可用资源，预测潜在的威胁，可以帮助你在防御方面做出更好的决策。...二、简介 本文主要针对是初学者，刚起步的搭建自己的威胁情报库的企业，通过简单便捷的python脚本来搭建自己的恶意ip数据库。此恶意数据库的IP来源于国外较为权威的威胁情报。...本文只是讲述其中的黑名单ip如何搜集，方向还可以拓展为恶意域名，恶意证书，可用类似方法。...import mmap 打开IP收录文件，检测流量中的IP是否在黑名单中 file = open("reputation.data") IP ='207.241.231.146' s = mmap.mmap...= -1: print "This "+IP+" is blacklisted" file.close() 四、总结 本文简单地描述如何利用开源威胁情报，帮助我们更好的防护网络不受到恶意的攻击
高级威胁漏洞背景 在高级威胁攻击中，黑客远程投递入侵客户端最喜欢的漏洞是office文档漏洞，就在刚刚结束不久的黑帽子大会上，最佳客户端安全漏洞奖颁给了CVE-2017-0199漏洞，这个漏洞是时下office...f2260d063e3aa2275acc59687e263e9c Shell.exe e8ad2a5650ba9b89c44389f78da205c8 ppsx 总结和漏洞防护建议 目前流行的office高级威胁漏洞趋向于稳定的逻辑漏洞
本文探讨内部威胁检测数据集分类办法。...春恋慕 月梦的技术博客 内部威胁检测数据集可以分为五类：Traitor-Based、Masquerader-Based、Miscellaneous Malicious、Substituted Masqueraders
对于数据安全行业，他的行为表明内部威胁仍然难以检测和预防。然而，在最初披露公开后的两年内，有关企业缺乏处理此类数据泄露的能力的信息尚未被披露。...不幸的是，我们的研究证实，内部威胁形势正变得越来越难以应对，因为一系列的不法分子超出了员工和特权IT员工所带来的风险。...高级持续威胁（APTs）的出现和成功导致了一系列令人担忧的漏洞，其中特权用户帐户的访问控制受到恶意外部人员的攻击。...通过劫持获取访问所需的合法凭证，可以在很长一段时间内检测不到导致操作损害和窃取数据的非法活动。...然而，令人鼓舞的是，当我们在2015年版的内部威胁年度研究中，关于谁对公司数据构成最大内部威胁的问题，似乎安全意识正在增长，尽管没有人们希望的那么快：55％的全球商业受访者表示“特权用户”，46％说'承包商和服务提供商
关于RTA RTA是一款专为蓝队研究人员设计的威胁行为能力检测框架。RTA提供了一套脚本框架，旨在让蓝队针对恶意行为测试其检测能力，该框架是基于MITRE ATT＆CK模型设计的。...在根据测试目标运行RTA之前，请考虑如何在测试主机上配置安全产品。 自定义配置 广大研究人员可以通过修改common.py来自定义RTA脚本在我们环境中的工作方式。
这次分享主要从 4 个方面呈现，分别是：严峻的网络威胁形势、恶意行为自动化检测技术、海量样本数据运营、情报生产和高级威胁发现。...恶意行为自动化检测技术 为了应对这些越来越多愈演愈烈的网络威胁，必须及时获取有关这些威胁的准确信息以进行应对。如何有效获取、收集和处理这些信息正在成为威胁应对过程中的主要挑战。...接下来，我将简单描述一下如何进行海量样本数据的运营，以及做好海量样本数据的运营如何支撑起情报生产和高级威胁发现的任务。 什么是漏斗模型？...该模型认为，在威胁检测和响应中，目标是如何高效利用有限的资源来达成目的，因此需要过滤掉无用的信息，把注意力集中的大概率为真的安全事件上。...情报生产和高级威胁发现 海量样本数据的运营，用于支持情报生产业务和高级威胁发现业务。接下来我将简单描述一下如何基于海量样本数据运营进行情报生产和高级威胁发现。 什么是威胁情报？
内部人威胁可能是最难以检测和控制的安全风险了，而对内部人威胁的关注也上升到了出台新法案的地步——2017年1月美国国会通过《2017国土安全部内部人员威胁及缓解法案》。...最近几年，这些方法有了用户行为分析(UBA)的增强，使用机器学习来检测网络中的异常用户行为。 Exabeam首席执行官尼尔·颇拉克解释称：“行为分析是得到内部人威胁真正洞见的唯一途径。...他说：“如果对低价值资产下手，那就不成其为威胁了。异常行为如果在业务上说得通，那也同样不应该归入威胁行列，比如被经理批准了的雇员行为。...INSA的理论是，这种渐进式不满的线索，能够，也应该，被技术检测出来。机器学习和人工智能就可以做到。 该早期检测可使经理们干预，乃至帮助挣扎中的雇员，预防重大安全事件发生。...INSA称，检测并缓和有恶意内部人倾向的雇员，有3个关键认知：CWB不会孤立发生；CWB往往会升级；CWB甚少是自发的。 如果早期无害CWB可以在升级之前被检测到，那么内部人威胁缓解也就成功可期了。
使用 SYSMON 检测 CACTUSTORCH CACTUSTORCH 是一种 JavaScript 和 VBScript 的 shellcode 生成器。...WMI 或者 SBW/SW COM 对象的文档 在这篇文章中，我们将讨论如何检测攻击者使用的两个方法来绕过基于宏的 office 恶意文件的现有标准/已知检测。...（winword.exe 没有生成任何东西，从而绕过标准检测规则）： ? ?...在 macro 执行过程中，winword.exe 会载入 4 个 WMI 相关模块，这些模块并不常用，所以可以用来检测这种技术。...我们能够用上面的追踪来建立 EDR 或者系统检测规则。
zeek是开源NIDS入侵检测引擎，目前使用较多的是互联网公司的风控业务。zeek中提供了一种供zeek分析的工具zat。...Pandas数据框和Scikit-Learn 动态监视files.log并进行VirusTotal查询 动态监控http.log并显示“不常见”的用户代理 在提取的文件上运行Yara签名 检查x509证书 异常检测...对域名进行检测，并对这些url进行“病毒总数的查询” ? 当你的机器访问 uni10.tk 时输出效果如下 ? 针对x509.log的数据，因为有些钓鱼或者恶意网站流量是加密的。...针对异常检测我们可以使用孤立森林算法进行异常处理。一旦发现异常，我们便可以使用聚类算法将异常分组为有组织的部分，从而使分析师可以浏览输出组，而不用一行行去看。 ? 输出异常分组 ?...检测tor和计算端口号。通过遍历zeek的ssl.log文件来确定tor流量这里贴出部分代码 ? 输出结果如下： ? ?
关于Threatest Threatest是一个基于Go开发的安全测试框架，该框架可以帮助广大研究人员测试端到端威胁检测规则的有效性与可用性。...Threatest允许我们使用各种渗透测试技术对目标进行安全检测，并以此验证是否能够触发期望的安全警报。 ...检测工程 从广义上讲，检测工程是识别与组织相关的威胁、深入了解它们并提出可靠的策略来检测它们的学科。尽管没有标准化流程，但检测工程通常遵循几个阶段： 构思：哪些攻击技术与我们的组织相关？...研究：攻击技术是如何工作的？它生成什么日志或遥测数据？ 收集要求：实现检测需要哪些日志？我们是否需要更多的可见性或更广泛的范围来实施检测？ 开发：定义具体的检测策略以制定检测规则。...维护：持续收集检测规则生成的警报指标，并根据需要采取修改和维护。
eBPF 对容器威胁检测意味着什么 翻译自 What eBPF Means for Container Threat Detection 。...然后，您可以开始编写检测异常行为的规则。 在下面的截图中，您可以看到发生了一个过程，它是哪个容器名称，由谁运行的，容器名称是什么等等。...下面的图片展示了我在 osquery 中使用 eBPF 遥测进行的检测。当我运行同样的攻击时，它显示发生了特权升级攻击，并检测到了 kthreadd 。...这个检测是基于路径二被生成触发的，而且有 kthreadd 存在，这表明在内核空间中发生了某些事情并且权限已经提升。虽然这是一个基本的检测方法，但它非常有效。...与此同时，它已经改进了容器威胁检测的可能性。
随着网络安全威胁的不断演变，攻击者愈发倾向于采用隐蔽、难以检测的手段来侵入目标系统。...无文件攻击（Fileless Attack）与高级持续威胁（Advanced Persistent Threat, APT）便是此类攻击手法的典型代表。...二、高级持续威胁（APT）：隐形的战争APT是一种由有组织、有目的的攻击者发起的、长期潜伏在目标网络中的复杂攻击。...实际订阅和集成威胁情报通常涉及与第三方服务提供商的接口交互，这里展示一个简化版的Python代码示例，演示如何从一个虚构的威胁情报API获取数据，并将其用于更新本地黑名单：import requests...四、结语无文件攻击与APT作为高级攻击手段，对企业的网络安全构成了严峻挑战。
近日，据黑莓安全研究与威胁情报团队称，名为Blind Eagle 的APT组织正在活跃，针对哥伦比亚各个关键行业发起持续性网络攻击，包括卫生、金融、执法、移民以及负责哥伦比亚和平谈判在内的机构都是该组织的重点攻击目标...黑莓安全研究与威胁情报团队还发现，该组织正在向厄瓜多尔、智利和西班牙地区扩张。 资料显示，Blind Eagle又被称为APT-C-36，以高活跃度和高危害性出名。...基于近段时间APT-C-36高活跃性，知名安全团队Check Point Research发布了该组织的详细调查报告，介绍了其高级工具集和攻击方式，例如通过鱼叉式网络钓鱼电子邮件传送的 Meterpreter
Linux高级入侵检测平台- AIDE AIDE(Advanced Intrusion Detection...Environment)在linux下"一切皆是文件"这是一款针对文件和目录进行完整性对比检查的程序 如何工作 这款工具年纪也不小了，相对来同类工具Tripwire说，它的操作也更加简单。...当管理员想要对系统进行一个完整性检测时，管理员会将之前构建的数据库放置一个当前系统可访问的区域，然后用AIDE将当前系统的状态和数据库进行对比，最后将检测到的当前系统的变更情况报告给管理员。...另外，AIDE可以配置为定时运行，利用cron等日程调度技术，每日对系统进行检测报告。 这个系统主要用于运维安全检测，AIDE会向管理员报告系统里所有的恶意更迭情况。
router 4 路由器配置 ISP 路由器配置 Pat和 静态nat 配置 router 1 路由器 router 1 路由器 扩展acl 列表 Router 3 路由器 ---- 前言 本章将会进行网络高级应用的综合实验
无独有偶，DARPA也在2012年出台了ADAMS项目，该项目专门用于美国国内敏感部门、企业的内部威胁检测。...因此今天我们来了解下PRODIGAL，希望从中可以为我们研发自主可控的内部威胁检测系统带来借鉴。...PRODIGAL不再试图用一个固定的分类器使用架构来检测异常，而是根据不同的威胁类型建立灵活的检测架构。...通俗地来说，以往的异常检测研究都是设定一种分类器固定的使用方法，使用什么算法构建分类器，如何使用分类器都是固定的；而PRODIGAL通过设计异常检测语言，使得可以表示多种灵活的分类器使用方式（选择与组合...为了方便大家理解异常检测语言的用处，我们给出一个特定攻击场景检测的语言表示，从中我们可以看出针对这种攻击如何选择分类器以及如何组织分类器进行检测。
前言 Suricata是一种网络流量识别工具，它使用社区创建的和用户定义的signatures签名集（规则）来检查和处理网络流量，当检测到可疑数据包时，Suricata 可以触发警报。...eve.json 日志格式为 JSON，记录所有安装的检测引擎和其他模块所生成的事件信息，如警报、HTTP 请求/响应、TLS 握手和 SSH 握手等。...基础配置 这次的实际环境中，我们使用双网卡服务器部署 Suricata ，然后配置核心交换机的网络流量端口镜像到Suricata服务器的网卡上，来进行流量检测。...后续，我们将探讨如何优化 Suricata 规则，添加外围告警，绘制信息密度更高的 dashboard 等内容。 精彩推荐
前言 近来，我们一直都在通过一些开源免费的工具，来帮助中小企业提升其网络威胁检测能力。在本文中，我们将手把手的教大家通过Kibana，Wazuh和Bro IDS来提高自身企业的威胁检测能力。 ?...Wazuh是一款以OSSEC作为引擎的基于主机的入侵检测系统。通过与ELK的结合，便于管理员通过日志平台查看系统日志信息，告警信息，规则配置信息等。...提取 - Bro和威胁情报 首先，我们在这里进行注册以获取免费威胁情报源。 选择你的Container，feeds 和 sensor（见以下的feeds截图）。 ?...遵循critical-stack-intel二进制文件的客户端安装说明进行安装： 然后使用api code（需要联网）将二进制文件连接到feed，此时它应该下载已订阅的威胁情报源。...使用以下命令列出feeds： critical-stack-intel list 结语 希望通过本文的学习，能够让你轻松的按照我们的说明来创建你自己的HIDS和NIDS监控系统，并进一步的提升你们企业的威胁检测能力
企业中的内部威胁检测系统要求 企业中部署内部威胁检测系统的前提是实行内部安全审计，内部员工的计算机操作与网络使用行为应得到详细的记录，无论使用何种商业审计软件，进行内部人行为监控起码应包括以下类别： 登录事件...三层检测框架 当前的内部威胁检测思路主要是通过用户的计算机与网络行为构建起行为模型，然后利用异常检测算法检测用户异常。...接下来我们的问题就是，如何计算最后一行与其他m-1行的偏移？...小结 信息化的发展导致内部威胁的潜在危害越来越大，因此实际中的内部威胁检测系统便成为了亟待研究的问题。今天我们介绍了一种基于用户/角色行为的三层内部威胁检测系统框架。...传统的异常检测更多侧重于特征矩阵分析，而忽视了实时检测与多指标异常分析，多指标异常检测正是实现多类内部威胁检测的有效方法，因此三层检测系统一定程度上弥补了上述不足。
同时，浅层结构的学习模型，如HMM和SVM，是相对简单的结构，只有一层将原始特征转化为可用于检测的高级抽象。...如何利用已经存在的小样本来适度地训练深度学习模型，对于内部威胁检测任务至关重要。...这种粗粒度检测面临着难以实现实时检测的问题。因此，如何识别细粒度的恶意序列或准确的恶意活动是内部威胁检测的重要问题。这也是一个非常具有挑战性的任务。...因此，一个新兴的话题是如何实现内部威胁的早期检测，即，在潜在的恶意活动发生之前检测它们。...因此，即使内部威胁检测模型能够取得优异的性能，但具有适当的可解释性也是至关重要的。因此，如何使预测结果为人类所理解，是建立可信可靠的内部威胁检测模型的关键。
领取专属 10元无门槛券
手把手带您无忧上云
