那些应对APT攻击的最新技术

　　Verizon发布的《2013年数据破坏调查报告》中则更加简明扼要的概括了应对APT的最高原则——知己，更要知彼，强调真正的主动安全是料敌先机，核心就是对安全威胁情报的分析与分享。二、技术手段分析

　　从具体的技术层面来说，为了应对APT攻击，新的技术也是层出不穷。

　　从监测和检测的角度，为了识别APT，可以从APT攻击的各个环节进行突破，任一环节能够识别即可断开整个链条。

　　根据APT攻击过程，我们可以从防范钓鱼攻击、识别邮件中的恶意代码、识别主机上的恶意代码、识别僵尸网络（C&C）通讯、监测网络数据渗出等多个环节入手。

　　而不论从哪个环节入手，都主要涉及以下几类新型技术手段：

　　基于沙箱的恶意代码检测技术。要检测恶意代码，最具挑战性的就是利用0day漏洞的恶意代码。因为是0day，就意味着没有特征，传统的恶意代码检测技术就此失效。沙箱技术通俗的讲就是构造一个模拟的执行环境，让可疑文件在这个模拟环境中运行起来，通过可疑文件触发的外在行为来判定是否是恶意代码。

　　沙箱技术的模拟环境可以是真实的模拟环境，也可以是一个虚拟的模拟环境。而虚拟的模拟环境可以通过虚拟机技术来构建，或者通过一个特制程序来虚拟。

　　基于异常的流量检测技术。传统的IDS都是基于特征（签名）的技术去进行DPI分析，有的也用到了一些简单DFI分析技术。面对新型威胁，DFI技术的应用需要进一步深化。基于Flow，出现了一种基于异常的流量检测技术，通过建立流量行为轮廓和学习模型来识别流量异常，进而识别0day攻击、C&C通讯，以及信息渗出。本质上，这是一种基于统计学和机器学习的技术。

　　全包捕获与分析技术。应对APT攻击，需要做好最坏的打算。万一没有识别出攻击并遭受了损失了怎么办？对于某些情况，我们需要全包捕获及分析技术（FPI）。借助天量的存储空间和大数据分析（BDA）方法，FPI能够抓取网络中的特定场合下的全量数据报文并存储起来，进行历史分析或者准实时分析。通过内建的高效索引机制及相关算法，协助分析师剖丝抽茧，定位问题。

　　信誉技术。信誉技术早已存在，在面对新型威胁的时候，它可以助其他检测技术一臂之力。无论是WEB URL信誉库、文件MD5码库、僵尸网络地址库，还是威胁情报库，都是检测新型威胁的有力武器。而信誉技术的关键在于信誉库的构建，这需要一个强有力的技术团队来维护。

　　综合分析技术。所谓综合分析，就是在前述所有技术之上的，并且涵盖传统检测技术之上的，一个横向贯穿的分析。我们已经知道APT攻击是一个过程，是一个组合，如果能够将APT攻击最多环节的信息综合到一起，有助于确认一个APT攻击行为。综合分析技术要能够从零散的攻击事件背后透视出真正的持续攻击行为，包括组合攻击检测技术、大时间跨度的攻击行为分析技术、态势分析技术、情境分析技术，等等。

　　人的技能。最后，要实现对新型攻击的防范，除了上述新的监测/检测技术之外，还需要依靠强有力的专业分析服务做支撑，通过专家团队和他们的最佳实践，不断充实安全知识库，进行即时的可疑代码分析、渗透测试、漏洞验证，等等。安全专家的技能永远是任何技术都无法完全替代的。