【優(yōu)秀碩博論文】基于網(wǎng)絡通信行為異常的竊密apt攻擊檢測研究

1、碩士學位論文基于網(wǎng)絡通信行為異常的竊密APT攻擊檢測研究學位類別工學碩士工學碩士學科名稱控制理論與控制工程控制理論與控制工程研究方向網(wǎng)絡信息安全網(wǎng)絡信息安全論文提交時間2015.01摘要隨著計算機網(wǎng)絡技術的廣泛應用，信息安全已成為網(wǎng)絡信息保障的核心關鍵問題。以高級滲透和傳播技術為手段，具有極強隱蔽性以及持久性特點的APT攻擊業(yè)已成為目前威脅網(wǎng)絡安全的最大隱患。針對APT攻擊的網(wǎng)絡防御也成為當前網(wǎng)絡信息安全防護的熱點和難點問題之一。本文結

2、合竊密APT攻擊案例以及部分APT攻擊樣本數(shù)據(jù)包，對APT攻擊實施的各階段所存在的通信行為進行了分析，并據(jù)此提出了一種基于節(jié)點通信行為異常指數(shù)的竊密APT檢測方法，并搭建了仿真實驗平臺對所提的方法進行了驗證。論文開展的主要研究工作如下：(1)通過對典型APT攻擊的深入分析，系統(tǒng)性地將竊密APT攻擊劃分為五個階段，即信息收集期，惡意程序感染初期，潛伏I期，潛伏II期和撤離期。并結合已知的APT攻擊案例和APT通信數(shù)據(jù)包樣本，對各個階段AP

3、T的異常通信行為特點進行詳細地分析。(2)設計了包括數(shù)據(jù)包基本信息提取、連接和會話分析、網(wǎng)絡通信行為特征提取、節(jié)點感染風險分析以及檢測結果告警五個模塊組成的竊密APT檢測系統(tǒng)。對網(wǎng)絡數(shù)據(jù)包的處理和感興趣信息的提取方法進行介紹，針對內(nèi)網(wǎng)和外網(wǎng)通信異常特點，構建了共計13種異常通信行為特征，并分別給出了每種特征的統(tǒng)計和計算方法。(3)提出了一種基于節(jié)點通信行為異常指數(shù)的竊密APT檢測方法。該方法包括節(jié)點異常通信行為判定和內(nèi)網(wǎng)節(jié)點感染指數(shù)的計

4、算方法。其中，閾值的判定主要采用基于正常網(wǎng)絡通信數(shù)據(jù)的觀測數(shù)據(jù)通過引入一定的裕度來得到；權值的設定當前主要依賴分析和經(jīng)驗；感染指數(shù)的計算過程中引入了相鄰窗口的動態(tài)閾值機制，用于消除單個窗口內(nèi)虛警的影響，且能在當前窗口保留對歷史觀測風險的結果。AbstractWiththewideapplicationofcomputerwktechnologyinfmationsecurityhasbecomeakeyissueofwkinfmatio

5、nsecurity.UsingtheadvancedmannerstoperfmperationspreadingAPTattackwithstrongsteathypersistentfeatureshasbecomethebiggestthreatagainstwksecurity.ThusthewkdefenseagainstAPTattacksalsohasbecomeoneofthehotdifficultissuesincu

6、rrentwkinfmationsecurityfield.InthisdissertationThecommunicationbehavioursineachstageofAPTsecreteavespingattackareanalyzedaccdingtotheinvestigationofthepracticalcasesdatum.ThedetectionmethodagainstAPTsecreteavespingattac

7、kispropsoedbasedontheindexoftheabnmalcommunicationbehavioursofeachnodethesimulationtestingplatfmisbuilttoverfiytheeffectiveness.Themainresearchwkachievementsareasfollows.(1)ThroughdeeplyanalysisoftypicalAPTattackstheAPTs

8、ecreteavespingattackisdividedintofivestagesystematically.Theyare.infmationgatheringphasemalwareinfectionearlyphaselatentphaseIlatentphaseIIwithdrawalphase.AccdingtoAPTattackcasescommunicationpacketsamplestheabnmalcommuni

9、cationbehavioursineachstageareanalyzed.(2)TheAPTsecreteavespingattackdetectionsystemisdesignedincludingpacketinfmationextractingmoduleconnectionconversationanalyzingmodulewkcommunicationbehavioursfeatureextractingmodulen

10、odeinfectionriskanalyzingalarmingmodule.Thewkpacketsprocessinginterestinginfmationextractingmethodisgive.Total13kindsofabnmalcommunicationbehaviouracteristicsareconstrutedthestatisticscalculationmethodsaregiven.(3)Thedet

11、ectionmethodbasedontheindexofabnmalcommunicationbehavioursofnodesisproposedwhichincludesthenode’sabnmalcommunicationbehavioursjudgementtheintranodes’infectionindexcalculation.Thedecisionthresholdisdeterminedbasedonthenma

12、lwktrafficobservationafterintroducingsomemargin.Intheinjectionobjectindexcomputationtheweightsisobtainedmainlybasedonexperiences.dynamicthresholdmechanismisalsousedtoreservethehisticalobservationriskresultseliminatethein