首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    腾讯主机安全(云镜)兵器库:威胁分析的福尔摩斯-Cyber Holmes引擎

    在政企机构网络服务普遍上云的大背景下,攻击者持续活跃,并采用多样化的攻击手法对目标发起攻击,因此仅仅依赖PC时代的检测引擎是不够的。只有多种安全能力协作,梳理拼接攻击碎片,才能完成对完整攻击事件的分析研判。因此需要更加高效,覆盖场景更广,能够检测威胁事件全貌的安全方法论,腾讯安全威胁情报智能分析引擎应运而生。 就像福尔摩斯探案一样,安全研究人员首先面对的是不完整的事件告警片断,腾讯安全部署在云端的流量或行为探针、蜜罐系统每天获取的各类威胁事件告警信息数千万条,可疑样本文件上百万个。如此大的数据量,远远超出人工可处置的能力,同时对分析处置引擎的性能有极高的要求,否则迅猛增长的告警和可疑样本文件会迅速拖垮系统。 对企业安全运维人员来说,碎片化的事件告警,简直不堪其扰:处理吧,告警不明不白无头无尾,告警的严重程度也较难评估。不处理吧,会不会有严重威胁被放过呢,而告警数量又较多,该如何下手?企业安全运维团队陷入选择难题,在人手不足的情况下,问题放一放拖下去的可能性较大。 腾讯安全技术中心将每天数千万条告警事件抽丝剥茧,整理出攻击脉络,对上百万的可疑样本文件进行自动化的行为分析,找出攻击者的作案规律,自动还原网络攻击事件全过程,并对攻击者行为进行画像,其难度堪比福尔摩斯探案。将海量的安全告警数据化繁为简、化未知为已知,是威胁情报智能分析引擎的根本任务。

    04

    浅析属性图在异常程序检测的应用

    大量的恶意软件/程序攻击给用户带来了极大的困扰。国内外的研究人员检测恶意程序的技术主要分为:基于程序结构、文件数据特征等恶意程序静态识别技术,基于程序运行时函数行为调用序列、函数参数信息等恶意程序动态识别技术[1]。目前,基于规则等检测技术以及基于机器学习等检测技术均存在相关问题。当未知恶意异常程序进行检测时,基于规则(YARA等)检测技术需要靠追加规则来实现,无法应对未知恶意异常程序的检测。此外,由于设备产生的数据量巨大,存在线索难以调查的问题,导致有效攻击线索淹没在背景数据中,基于机器学习检测技术通常具有较高的误报率和漏报率,难以快速识别。构建溯源图,能够作为威胁狩猎的关键资源,为威胁的识别、评估、关联提供丰富的上下文。《Provenance Mining:终端溯源数据挖掘与威胁狩猎》[2]一文,介绍了终端溯源数据(Provenance)以及溯源图(Provenance Graph)的概念,并介绍了如何在溯源数据完整有效采集的情况下,通过溯源图的后向追溯(backward-trace)和前向追溯(forward-trace),实现攻击事件的溯源与取证。为了检测未知恶意程序,相关研究人员[3]提出MatchGNet,通过数据驱动的方法进行检测,利用图神经网络来学习表示以及相似性度量,捕获不同实体之间的关系,利用相似性学习模型在未知程序与现有良性程序之间进行相似性评分,发现行为表示与良性程序有区分的未知恶意程序,最终,通过实验证明了有效性。随着异常程序检测技术的发展,攻击者躲避检测的方式也越来越多。本文将分析属性图在检测异常程序的应用。

    04
    领券