以“系统失陷”为假设，狩猎者基于安全经验与集成的数据平台，对信息系统进行持续的调查、验证、观测，以召回漏网的已知威胁，识别隐匿的未知威胁，并对威胁事件进行溯源和场景重建，进而固化为安全知识与启发式规则。...为应对这一挑战，高级的威胁分析策略、模型、算法、系统已成为安全产品、安全研究的重要方向。...杀毒软件已能够行之有效的阻拦绝大部分已知文件威胁，如今，面向高级威胁分析场景终端大数据分析，如EDR、集成终端数据的分析平台等应运而生。...从威胁狩猎的主要场景分类出发，下图粗略的对相关工作进行了分组。为了对抗高级威胁，各位作者在方法的命名上也是煞费苦心，各大侦探、神与神兽齐聚一堂，也映衬了APT检测与溯源的高难度系数。 ?...然而，相对于利益驱动下APT等高级威胁的高对抗性、针对性、持续性、长周期等场景特性，溯源数据的挖掘方法研究仍处于初级阶段。
报告摘要 近期，神州网云依靠高级威胁检测引擎并结合天际友盟的威胁情报，精确发现了多起高级威胁组织的攻击，通过快速有效的一键溯源确定了攻击行为及影响。...“辣条先生”至少拥有5年左右的黑产活动经历，利用中国江西电信网络长期进行各种威胁活动。...IP 111.73.45.188的溯源分析 通过网镜高级威胁检测系统的高级恶意行为检测及情报匹配检测到多起恶意IP地址频繁对某数据中心发起Struts2-045攻击行为。 ?...通过溯源平台关联分析 利用威胁情报平台溯源能力对样本（d738afeb7a1d8bc65ce4726ed28c22b4）进行溯源分析，发行多家杀毒厂商认定样本为木马下载器，并且通过可视化的关联出样本的恶意网络行为...通过溯源平台关联分析 利用威胁情报平台溯源能力对样本（19e9c14bdd3a26a7e7463d1837c6f0ba）进行溯源分析，发行多家杀毒厂商认定样本为木马下载器，并且通过可视化的关联出样本的恶意网络行为
本质上是根据外部情报利用专家知识构建相关的威胁子图，然后在攻击溯源图中匹配满足威胁子图的模型的相关子图。...该系统实时的汇总攻击者的攻击行为，并基于kill-chain(攻击链)构建高级溯源图。 ?...为了弥合低级系统调用视角和高级攻击链视角之间的语义差距，HOLMES构建了一个中间层HSG(高级场景图)。...先决条件不仅有助于减少误报,而且有助于理解TTP在APT活动的更大背景下的作用。在的TTP规范中，先决条件采用APT阶段之间的因果关系和信息流的形式。...图5 威胁子图示例 HOLMES从一定程度上解决了低级别审计数据与攻击者目标、意图和能力相关高级杀伤链视角之间的巨大语义差距。
开工的第一周，与同事聊起威胁情报的话题，顺手就搜索整理了一下国内外的威胁情报平台。在这里分享几个威胁情报平台，可通过查询获取威胁情报参考数据。...---- 01、国内威胁情报平台 1、微步在线 https://x.threatbook.cn/ 2、天际友盟RedQueen安全智能服务平台 https://redqueen.tj-un.com/...3、360威胁情报中心 https://ti.360.net/ 4、奇安信威胁情报中心 https://ti.qianxin.com/ 5、VenusEye威胁情报中心 https://www.venuseye.com.cn.../ 6、NTI 威胁情报中心 https://ti.nsfocus.com/ 7、安恒威胁情报中心 https://ti.dbappsecurity.com.cn/ 8、安天威胁情报中心 https...://www.antiycloud.com/ 9、深信服安全中心 https://wiki.sec.sangfor.com.cn/index/abroad 02、国外威胁情报平台 1、IBM X-Force
高级威胁漏洞背景 在高级威胁攻击中，黑客远程投递入侵客户端最喜欢的漏洞是office文档漏洞，就在刚刚结束不久的黑帽子大会上，最佳客户端安全漏洞奖颁给了CVE-2017-0199漏洞，这个漏洞是时下office...f2260d063e3aa2275acc59687e263e9c Shell.exe e8ad2a5650ba9b89c44389f78da205c8 ppsx 总结和漏洞防护建议 目前流行的office高级威胁漏洞趋向于稳定的逻辑漏洞
背景 网络安全的本质是攻防对抗，而某大型活动是以红蓝对抗的形式组织开展的活动，其目的是在红队与蓝队的对抗中提升网络安全。...目的 在某大型活动中蓝方经常扮演的角色是被动挨打，但是如果我们能够掌握足够的技术手段，则可以变被动防守为主动出击，如反攻攻击方主机，溯源攻击方真实身份\虚拟身份等。...溯源思路 说到溯源攻击方，一般有几种思路： 1、 溯源真实的攻击方IP，在攻防活动中攻击方使用代理IP，代理服务器屡见不鲜，那么识别到真实的攻击方IP，是溯源活动中一项必不可少的动作，这里一般是识别代理...本篇溯源文章主要讲述此种方法。...如下为本次大型活动中抓取的某黑客的信息，并进行溯源的结果。 黑客访问了部署了带有jsonp劫持的页面，抓取到的信息如下，有用户id，通过该用户id可访问用户的主页。
2021年6月20日，由关键信息基础设施技术创新联盟、《网信自主创新调研报告》编委会和信息安全等级保护关键技术国家工程实验室联合举办的“2021网信自主创新成果交流推广”活动评选结果在第二届中国I²S...凭借独有的数据矿藏、专业的情报运营团队、自闭环情报生产能力、实时情报校验能力以及腾讯自身的品牌和服务优势，能够提供高质量的IOC情报检测、覆盖海量IP的信誉情报分析、黑客画像分析、未知样本检测、高级威胁发现...目前，腾讯威胁情报服务已经具备高达99.9%准确度的情报交付能力，自产情报数量九成以上，第一时间向客户提供专业的高级威胁情报报告，及时发现威胁各行业客户及与国计民生密切相关的重点单位、重点行业的网络攻击行为...同时推出了跨链交互平台，提供共性、安全的区块链基础能力及多链互通，以链治链的开放服务平台。 ...防伪溯源领域 联合张裕打造国内首个高端葡萄酒区块链溯源平台，在传统“一物一码”的基础上将每一瓶葡萄酒的生产编码和二维码、区块链编码进行双重绑定，实现400万瓶酒庄酒全流程信息的上链追溯。
实时拦截到溯源取证的全流程，打造智能、精细化的云端流量安全与策略管控。...，实现安全威胁秒级响应；基于CVM的主动外联访问控制，精准控制云上虚拟机的主动外联活动，实时感知主机失陷和非法外联；同时，可构建云环境下的DMZ区，精细化管控东西流量策略，方便多业务多VPC场景的管理。...在溯源取证方面，腾讯安全云防火墙可为云租户提供6个月的防火墙网络日志流量留存，充分满足等保2.0和网安法的合规要求；支持高级威胁溯源审计，针对可疑IP进行溯源深度分析，追查威胁路径和定位源头。...相比云平台自带的免费安全组，腾讯安全云防火墙能为上云企业提供更精细的访问控制和安全服务。...6折，1年5折的优惠活动 WechatIMG9370.png -优惠活动的最终解释权归腾讯安全所有 -活动限企业客户，个人客户不支持
腾讯安全NDR（网络威胁检测与响应）由腾讯御界高级威胁检测系统和腾讯天幕安全治理平台两款产品组成，是腾讯自研的高级威胁检测（APT检测）、分析、溯源和响应一体化解决方案，助力企业实现“知己知彼，御敌千里...图片全球NDR市场稳步增长应用场景不断拓展近年来，全球安全形势日益严峻，威胁和攻击层出不穷，各类威胁检测平台应运而生，并且发展迅猛。...企业需要依赖NDR来检测勒索软件、内部威胁或横移在内的网络入侵活动。不仅如此，随着远程办公的日益普及，NDR在监控网络流量方面的灵活性也日益凸显。...；聚合安全事件中的关联告警，以实现更加完整的溯源分析；提供自动或手动的响应能力，以对检测到的可疑网络流量做出响应。...未来，腾讯安全还将继续结合自身二十多年黑灰产实战经验和安全实验室顶尖的技术能力，持续投入研发，不断创新升级NDR产品，助力客户实现高级威胁检测、分析、溯源、响应一体化解决方案，连同生态合作伙伴一道共同守护网络安全
本文由我在互联网安全大会 ISC 2022 分论坛“以对手为目标的威胁防御——安全情报与高级威胁论坛”中的分享《基于海量样本数据的高级威胁发现》整理而成，内容有所改动。...5279 个；境内被植入后门网站数量为 1838 个；针对境内网站的仿冒页面数量为 16540 个 国家信息安全漏洞共享平台（CNVD）收集整理信息系统安全漏洞 1548 个，其中高危漏洞 546 个...攻击者精心伪造了面向俄语员工的调查问卷文档，在文档文件中内嵌了利用此 0day 漏洞的 Flash 对象，并捆绑了带有自毁功能的专属木马程序实施载荷阶段的攻击活动。...情报生产和高级威胁发现 海量样本数据的运营，用于支持情报生产业务和高级威胁发现业务。接下来我将简单描述一下如何基于海量样本数据运营进行情报生产和高级威胁发现。 什么是威胁情报？...什么是高级威胁？ 海量样本数据的运营，支撑的另一项主要的业务是高级威胁发现业务。那么什么是高级威胁呢？
IAM系统为各个管理员提供了修改用户角色、跟踪用户活动、创建用户活动报告和贯彻管理策略的工具及技术。这些系统的出现就是为了能够管理整个组织内的用户访问，并确保用户活动符合组织规章制度与监管规定。...同时，基于端点的背景数据、恶意软件行为以及整体的高级威胁的生命周期的角度进行全面的检测和响应，并进行自动化阻止、取证、补救和溯源，从而有效地对端点进行安全防护。...4.5 流量检测 高级持续网络攻击(APT攻击)能利用各种攻击手段针对特定目标实施攻击，在攻击后进行伪装，基于特征检测和行为检测的传统威胁检测手段已经越来越难以应对新型的安全攻击手法，因此需要多种基于流量的检测检测和分析技术组合应对...同时，能够与其他多个安全平台对接，实现多业务联动处置，做到人员、技术、平台多维度联动。...行为溯源能力 行为溯源属于网络追踪技术的一种形态，网络追踪技术是指通过收集分析网络中每台主机的有关信息，找到事件发生的源头，确定攻击者的网络地址以及展开攻击的路径，将攻击者在网络中的活动轨迹进行串接，通过准确分析安全事件路径
SideCopy和APT36使用相同的诱饵和命名约定同时进行多平台攻击，共享基础设施和代码，以攻击印度目标。...在本文中，我们将深入分析与该组织相关的两个攻击活动，并提供对应的技术细节。...攻击活动分析一 我们所要分析的第一个SideCopy攻击活动主要通过网络钓鱼链接进行传播，该链接将下载一个名为“Homosexuality – Indian Armed Forces.”的文档。...攻击活动分析二 在我们所观察到的第二个SideCopy攻击活动中，共享IP的不仅只有域名，而且还有C2基础设施。...除了这两个活动之外，研究人员也发现了该威胁组织同时针对Windows和Linux平台的恶意活动，相关的入侵威胁指标IoC请查看文末附录内容。
APT攻击（Advanced Persistent Threat，高级持续性威胁） 是利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。...APT攻击也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。...这种攻击活动具有极强的隐蔽性和针对性，通常会运用受感染的各种介质、供应链和社会工程学等多种手段实施先进的、持久的且有效的威胁和攻击。...基于以上能力的实现，TC项目旨在完成细粒度系统级行为的关联，实现在大规模行为中识别异常与恶意意图，发现潜在的APT或其他高级威胁，并提供完整的溯源分析与相关损失评估。...将APT活动信息映射到杀伤链，设计高级场景图（high-level scenario graph，HSG）实现低层次（日志、警报）信息到高层次的映射（语义鸿沟），从而使得HOLMES能有检测良性或攻击场景
• 每个进程的信息，包括它的父进程和子进程，以及文件创建、读取、写入和删除等，以及网络活动。 终端可视化另外一个重要作用是溯源。例如，威胁猎人可以溯源分析之前发生可疑活动的数据。...假设用例作为威胁狩猎的核心，是威胁狩猎分析的起点，来源于对数据的一些基本分析和高级分析，威胁情报的使用和收集以及对TTP的理解，甚至是一些核心能力的使用，比如使用搜索的分析能力。...青藤威胁狩猎解决方案 正如文章开头所说，没有系统可以被视为100％受保护，即使用最好、最新的技术，也总是存在一些高级威胁能够逃避现有的防御方案和设备。...青藤猎鹰·威胁狩猎平台基于ATT&CK框架，帮助用户解决安全数据汇集、数据挖掘、事件回溯、安全能力整合等各类问题，是企业回溯与分析能力的极大补充。...对于内部已经部署了青藤猎鹰，且对平台使用和价值还不明确的客户，青藤可以提供专业的威胁狩猎分析服务，提升产品价值。
借助与安全基础架构中的多个系统集成的平台，可在有效负载执行之前做出响应。 鉴于勒索软件在过去几年中造成的严重影响，以及这些类型的攻击并未放缓的迹象，寻求威胁情报的帮助是有意义的。...此外，利用集成了多个安全系统的平台可以实现快速有效地响应任何已识别的威胁。事实上，在网络安全的任何方面，保持警惕和积极主动饿的态度非常重要，因为威胁是在不断发展并愈加复杂的。...在Sourcefire 期间，Marc担任首席营销官和产品高级副总裁。...雷石·安全运营 产 品 速 达 漠坦尼科技为用户提供主动威胁捕获解决方案，以应对传统单项边界防御技术无法解决企业对高级未知威胁的溯查需求。...通过构建威胁情报库，为企业了解攻击者的攻击方式、手段和目的提供情报溯源能力，实现情报内生，为企业资产安全提供进一步保障。 点击了解 雷石·安全运营 报 告 下 载 1."
1 背景 一年一度的重保活动即将到来，作为防守方将进行 7*24h 的值守安全设备，防守方主要从“事前排查”、“事中监控”、“事后溯源”三个维度开展自己的工作。...下面列举下常见 DNSLog 平台，可以根据这些平台的指纹结合空间测绘发现更多的 DNSLog。...关于对捕获到攻击者 IP 进行“事后溯源”，我们下篇见。 - END - 微步在线新产品上线 微步在线 TDP 10G 万兆版、主机安全检测与响应平台 OneEDR 重磅发布！...关于微步在线研究响应团队 微步情报局，即微步在线研究响应团队，负责微步在线安全分析与安全服务业务，主要研究内容包括威胁情报自动化研发、高级 APT 组织&黑产研究与追踪、恶意代码与自动化分析技术、重大事件应急响应等...微步情报局由精通木马分析与取证技术、Web 攻击技术、溯源技术、大数据、AI 等安全技术的资深专家组成，并通过自动化情报生产系统、云沙箱、黑客画像系统、威胁狩猎系统、追踪溯源系统、威胁感知系统、大数据关联知识图谱等自主研发的系统
2017年，网络流量分析（NTA）技术入选Gartner《2017年11大顶尖信息安全技术》，同时也被认为是五种检测高级威胁的手段之一。...比如网藤PRS可将网络流量作为检测和调查网络中安全威胁和异常或恶意行为的基础数据源，融合传统检测技术的规则思想，同时应用威胁情报、统计分析、内容检查、机器学习等多种高级分析技术，检测企业网络上的可疑活动...—联动威胁情报应对高级威胁”的演进方向。...于是“采集原始流量—流分析—应用协议元数据—持续监测网络对象—分析异常流量—溯源可疑行为—联动威胁情报应对高级威胁“成为NTA今后发展的一个重要方向。...应对海量数据并从中对威胁进行溯源的能力变得非常重要，如何着眼于无尽的网络流量并分析东西流量活动，检测设备或应用的“入侵指标”以及难以监控的服务是行业的努力方向之一。
无文件攻击（Fileless Attack）与高级持续威胁（Advanced Persistent Threat, APT）便是此类攻击手法的典型代表。...二、高级持续威胁（APT）：隐形的战争APT是一种由有组织、有目的的攻击者发起的、长期潜伏在目标网络中的复杂攻击。...：主动监测网络流量、日志、用户行为等，寻找可疑活动迹象，如异常的PowerShell命令、WMI调用等。...result == 0; } // ...定义WINTRUST_FILE_INFO和WINTRUST_DATA结构及其相关常量...}EDR/EPP解决方案：部署端点检测与响应（EDR）或端点保护平台...四、结语无文件攻击与APT作为高级攻击手段，对企业的网络安全构成了严峻挑战。
总之，本文构建了一个可以实时检测高级持续性威胁（APT）的系统——HOLMES。该方法有效利用了攻击者活动期间出现的可疑信息流间的相关性。...然而，结合这些低级警报，以获得正在运行的APT活动的高级图仍然是一个重大挑战。...这项工作分两步进行，如下所述： (1) 威胁元组（Threat Tuple） 首先通过与相应的HSG关联的抽象威胁元组来表示攻击者在活动中的进度。...A.构建溯源图的流消耗 为了实现平台的独立性，将来自不同操作系统的审计数据规范化为通用数据表示（common data representation, CDR）。...HOLMES生成一个高级图实时总结攻击者的步骤。我们评估HOLMES对9个真实的APT威胁，并将其部署为一个实时入侵检测工具。实验结果表明，HOLMES能以高精度、低误警率成功地检测到APT活动。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
