技术白皮书铁穹高级持续性威胁预警系统

《技术白皮书铁穹高级持续性威胁预警系统》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、铁穹高级持续性威胁预警系统技术白皮书V2.1文档编号：DongXunTech-技术白皮书密级：【对外】 铁穹高级持续性威胁预警系统技术白皮书V2.1铁穹高级持续性威胁预警系统技术白皮书V2.1目录版权声明3支持信息4一.概述51.1APT攻击事件频繁51.2APT攻击中的未知木马61.3安全面临新的技术挑战6二.铁穹高级持续性威胁预警系统72.1产品概述72.2产品架构72.3产品功能82.3.1木马识别和发现82.3.2安全预警82.3.3资产关联82.3.4木马追踪和地址定位82.3.5报表与策略管理82.4产品特色92.4.1网络级

2、的木马安全检测92.4.2基于行为和特征的检测方法92.4.3强大的木马追踪和地址定位能力92.4.4强大的未知木马检测能力92.5关键技术102.5.1数据镜像和封包重组技术102.5.2广谱特征码木马监测技术102.5.3网络异常行为处理和分析技术102.5.4木马深度追踪和地址定位技术102.6典型部署112.6.1单一旁路部署112.6.2分布式部署11三.应用领域133.1政府、军工和保密部门133.2企事业单位和研究院所133.3金融、证券和其他机构13四.产品规格型号14五.结束语15铁穹高级持续性威胁预警系统技术白皮书V2

3、.1版权声明1.权利归属本文档中的东巽信息—铁穹高级持续性威胁预警系统产品的所有权和运作权等版权法及有关法律规定的权利和一切商业权益均归南京东巽信息技术有限公司（下称DongxunTech），DongxunTech提供的服务将完全按照其发布的本声明以及相关的操作规则严格执行。因DongxunTech铁穹高级持续性威胁预警系统所产生的一切知识产权归南京东巽信息技术有限公司，并受版权、商标、标签和其他财产所有权法律的保护。2.其它产品说明本文档中所提及的所有其他名称是各自所有者的品牌、产品、商标或注册商标。3.授权声明任何组织和个人对Dong

4、xunTech产品的拥有、使用以及复制、修改等涉及版权法等有关法律所规定的权利都必须经过DongxunTech书面同意和有效授权。4.管理用户对信息和服务的使用是根据所有适用于DongxunTech的国家法律、地方法律和国际公约或协定。5.目的本声明仅为文档信息的使用，非为广告或产品背书目的。铁穹高级持续性威胁预警系统技术白皮书V2.1支持信息南京东巽信息技术有限公司电话：025-57927524如果您希望得到更多关于东巽产品的报价、产品信息以及技术支持等信息，请您查阅我公司网站：http://www.dongxuntech.com。铁穹

5、高级持续性威胁预警系统技术白皮书V2.1一.概述随着黑客技术和攻击手段的不断深入，近年来出现了一种新型网络攻击思想—APT攻击，它改写了网络安全游戏规则的攻击行为，组织严密、目标明确、手段高超、危害巨大，其受害者中不乏大型企业，国家机构。我国的政府、军工、保密机关、企事业单位和研究院所，也正遭受着频繁的APT攻击。1.1APT攻击事件频繁从针对Google等公司的极光攻击（2009年）、Stuxnet病毒攻击事件（2010年）到McAfee公司公布的针对西方能源公司的夜龙行动（2011年）、RSASecureID遭窃取事件（2011年），

6、以及近期的针对韩国金融和政府机构的遭受的网络攻击（2013年），APT攻击已经为人们所熟知。APT（AdvancedPersistentThreat）是高级持续性威胁的英文缩写，是指专门针对特定组织所作的复杂且多方位的高级渗透攻击。在攻击流程上，APT攻击与普通攻击行为并无明显区别，但在具体攻击步骤上，APT体现出以下特点，使其更加高级更加具有破坏力：l攻击行为特征难以捕获APT攻击中普遍采用0Day漏洞获取权限、通过未知木马进行远程控制，而传统基于特征匹配的检测设备总是要先捕获木马样本，才能提取特征并基于特征进行攻击识别，这就存在先天的

7、滞后性。l单点隐蔽能力强为了躲避传统检测设备，APT更加注重动态行为和静态文件的隐蔽性。例如通过隐蔽通道、加密通道避免网络行为被检测，或者通过伪造合法签名方式避免恶意代码文件本身被识别，这就给传统基于签名的检测带来很大困难。l攻击手段丰富目前曝光的知名APT事件中，社交攻击、0day漏洞利用、物理摆渡等方式层出不穷，防不胜防。l针对性强APT攻击的目标一般是经过精心选取，具有很强针对性。一旦选定，一般不会改变，攻击者会尝试不同攻击技术、攻击手段不达目的决不罢休。l攻击持续时间长APT攻击分为多个步骤，从信息搜集到信息窃取往往要经历几个月甚

8、至更长时间。铁穹高级持续性威胁预警系统技术白皮书V2.1正是APT攻击所体现出的上述特点，使得传统的防御方式难以有效发挥作用，造成攻击事件频发。1.1APT攻击中的未知木马从众多的APT攻击事