從防禦者視角來看APT攻擊

  前言

  APT防禦的重要性毋庸諱言,爲了幫助各位師傅在防禦方面建立一個總體認識,本文會將APT防禦方法分爲三類,分別是:監控、檢測和緩解技術,並分別進行梳理,介紹分析代表性技術。這一篇分析現有的監控技術。

  APT

  這裏不談APT概念,就是分享兩張最近看到的覺得描述APT非常契合的圖。

  如果我們把APT分成6個攻擊階段的話,一種經典的劃分方式如下

image-20220313215222268.png

 

  或者也可以畫成金字塔

image-20220313215257501.png

 

  這裏我們假設攻擊目標位於金字塔的頂端,側面表示攻擊進化的環境如物理平面、用戶平面、網絡平面、應用平面等。金字塔平面依賴於每個組織的細節,並根據記錄事件的環境定義。假設APT組織能夠全面瞭解目標的所有設施以確定達到目標G的可行平面。那麼爲了達到目標G,攻擊者可以探索漏洞並通過從一個或多個平面“爬行”接近目標。因此,最終檢測到的APT就像一棵跨越多個平面的攻擊樹。

  這麼說不形象,我們可以上面這個金字塔展開

image-20220313215447803.png

 

  這個圖就很直觀了,圖中小點代表平面中記錄的事件,而彩色連接的事件代表相關事件,其表示可能的攻擊。path1表示物理平面的相關事件,path2和path3表示涉及多個平面的相關事件。

  監控

  硬盤監控

  這主要針對落地文件而言。

  每個終端都需要通過反病毒、防火牆或必要的內容過濾來監控任何惡意行爲。對系統上運行的軟件進行必要的修補程序,可以消除已知的漏洞,從而減少攻擊者的入侵點,否則這些漏洞可能會將惡意軟件傳播到網絡中容易受到攻擊的地方。這方面的技術其實比較成熟了,而且並不適用於APT攻擊,這裏就不展開說明了。

  內存監控

  現在更加流行的方法是內存監控,這主要針對現在流行無文件、不落地攻擊手段而言的,這種攻擊手段一般通過使用一個已經在內存中運行的進行來執行惡意功能,由於沒有單獨的進程在後臺運行,所以不會留下任何軌跡。比如卡巴斯基發現的Duqu,就是運行在一個已經運行的進程的內存中。

  這個領域有很多優秀的工作,這裏簡單介紹幾個。

  1通過分析Stuxnet、Duqu、Flame和Red October使用惡意軟件進行APT攻擊的活動進行檢測,其特點比較如下。

image-20220312223305579.png

 

  他們介紹了APT攻擊者所使用的規避技術,如rootkit功能、負載變化的端點掃描、網絡流量加密和混淆、隱寫術、內存中惡意軟件的執行和假數字證書等。針對這些攻擊技術,作者建議通過補丁管理、強大的網絡訪問控制和監控、嚴格的互聯網政策、協議感知的安全解決方案、監控DNS查詢、監控異常域的訪問、監控網絡連接、蜜罐和蜜網,以及標準的基於主機的入侵防禦系統作爲APT的防禦對策。

 

  2提取出了不同類型的惡意軟件的特徵,並提出了一個通用的解決方案用於檢測不同類型的惡意軟件。他們收集惡意軟件和良性樣本作爲訓練數據,並從中提取污點圖(taint graph)。然後污點圖轉換成一個特徵向量,在這個特徵向量上應用標準分類算法來訓練模型。這個模型訓練完成後被用來識別系統上的惡意行爲。他們使用了不同惡意軟件鍵盤記錄、密碼竊取、後門等的共同特徵。這些惡意軟件通常表現出的特徵是異常的信息訪問和處理行爲。例如,鍵盤記錄和密碼竊取會攔截擊鍵輸入。在比如說,爲了不被發現,後門要麼使用不常見的協議ICMP,要麼創建一個原始套接字,要麼攔截網絡堆棧來與遠程攻擊者通信。基於ICMP的後門訪問ICMP流量,基於原始套接字的後門訪問所有具有相同協議號的報文。例如,TCP原始套接字可以接收到所有的TCP報文,這種後門攔截網絡棧的行爲類似於網絡嗅探器,對網絡流量進行竊聽以獲取有價值的信息。這些特徵都被作者利用來進行檢測。整個系統結構設計如下

image-20220312214532830.png

 

  下圖是一個污點圖的例子,反映了Windows用戶身份驗證的過程。當一個密碼竊取器在後臺運行時,它捕捉到密碼並將其保存到它的日誌文件“c: ginallog .log”中。

image-20220312214635738.png

 

  再來看一個用污點圖表示Google Desktop處理傳入的web頁面的例子

image-20220312214806997.png

 

  該方案檢測結果如下

image-20220312214650652.png

 

 

  3提出了利用硬件輔助進行惡意軟件檢測的方案。作者發現,與運行的正常軟件相比,受感染的應用程序運行時會修改控制流/數據結構,而這種行爲會反映在它的內存訪問模式中。所以可以通過處理器內監視內存訪問來檢測,其內存訪問會查看虛擬地址以獲得更一致的簽名。他們使用系統調用、函數調用和完整的程序運行來檢測受感染程序的惡意行爲。研究表明,不論是對用戶級還是和內核級威脅都是可用的,並且針對內核級rootkit實現高精度的檢測。其設計的框架如下所示

image-20220312222923011.png

 

  上半部分是訓練,下半部分是運行檢測。當使用system call檢測rootkit時,結果如下

image-20220312223053449.png

 

  可以看到,準確率非常的高,而且誤報率很低。

  4通過虛擬內存消耗來識別應用程序進程的異常行爲,實現對惡意軟件的檢測。因爲作者認爲相比於網絡操作或CPU利用率,內存使用的波動性較小,不易受到影響,而且使用的是虛擬內存而不是物理內存,因爲後者不包含交換到硬盤的內存量。首先使用進程和psutil收集目標機器的內存指紋。然後通過機器學習算法,基於指紋、閾值和閾值因子爲每個應用計算一個模型來檢測異常行爲。下面用圖的方式可以幫助大家更好的理解其方案。

  下圖是三個進程的虛擬內存的時間序列

image-20220312215302732.png

 

  從時間序列中捕獲的滑動窗口如下所示

image-20220312215355034.png

 

  當窗口大小爲25時,6個進程的特徵分佈,圖中不同顏色代表不同應用

image-20220312215506826.png

 

  下圖展示了訓練階段的前三個步驟,可視化閾值。初始閾值爲零;對於第二個數據點,它擴展到a中間;在第三個點上,它擴展到b

image-20220312215551514.png

 

  流量監控

  APT攻擊最關鍵的部分就是C&C通信行爲,而且通信並不只發生一次,通常是在系統第一次被攻破後爲了數據傳輸而反覆進行。在終端層面監視任何帶有新目的IP的網絡數據包、異常payload的數據包以及發送到同一IP的大量數據包等特徵有助於識別來自終端的任何可疑行爲。

從流量中可以看到很多關鍵信息。

  先看最簡單的,從http請求中就可以看出GhosNet發往C2服務器的請求

  這是php版本的

image-20220312221207278.png

  這是asp版本的

image-20220312221157826.png

 

  還可以從流量中看到challenge信息,如下所示就是RSA Poisonlvy樣本的256字節的challenge請求

image-20220312221411165.png

 

  這在一次成功的TCP握手之後,由poisivy生成的網絡流量,它從256字節的看似隨機的數據開始。這些字節組成一個challenge請求,以查看“客戶端”RAT控制端是否配置了嵌入在“服務器”即受害者中的密碼。

  同樣一個樣本,還能看到keep-alive請求

image-20220312221521651.png

 

  接下來我們看看這方面一些經典的工作。

  5提出的方案可以從數千個終端中檢測出少數表現出可疑活動的主機。他們通過觀察多個主機間APT的關鍵階段,並將每個主機的分析結果與它們的過去以及所觀察到的網絡中的其他主機進行比較,從而生成一個排名前k個的可疑主機列表。由於他們的方案不需要檢測載荷,所以針對加密信道進行檢測也是可行的。其方案的示意圖如下

image-20220312220007322.png

 

  6重點關注跟蹤各種網絡對象如主機、主機組和網絡,並確定它們是否存在威脅。他們將網絡流量活動從網絡流量採集到威脅分析分爲五層,從多個不同的網絡傳感器如網絡流、NIDS、蜜罐中收集數據,然後在多個時間段提取和聚合特徵,以創建一個樣本空間。然後使用有監督模型進行識別。分層示意如下所示,大多數技術都是在第一層運行,處理來自傳感器的原始數據和事件。而作者的方法首先轉換數據,即第2層,然後在第3層及以上應用分類模型

image-20220312220325246.png

 

  這篇工作的可視化做得很棒,如下所示

image-20220312220447172.png

 

  有三種不同的可視化顯示了UDP行爲右上TCP行爲左上和所有協議底部。每個點代表一個行爲特徵空間中的一個主機,這些圖顯示了主機從“源到sink行爲”,接收數據的主機在左邊,向系統發送數據的主機在右邊。

  還對訓練完成的SVM進行了可視化如下所示

image-20220312220722379.png

 

  beacon通信在超平面的右下角,表明其檢測效果很不錯。

  7是安全產商TrendMicro發佈的APT報告,裏面分析了不同的APT活動,如Taidoor、IXESHE、Enfal和Sykipot,這些惡意軟件使用已知的協議HTTPC&C服務器建立通信,通常通過三個端口80、443、8080配置。攻擊者通常使用這些端口,因爲他們知道通常只有這些端口在防火牆級別是開放的。但是,這裏的關鍵在於,攻擊者可能會使用這些端口來傳遞不匹配的流量類型,例如在80端口發送任何非http流量或在443端口發送任何非https流量。可以通過檢測這一特點實現預警。此外,作者認爲,監視網絡流量的時間和大小是另一個需要考慮的方面,因爲惡意軟件通常會在給定的時間間隔向C&C服務器發送beacon,因此使用DNS請求或url監視時間間隔可以對此進行檢測。另外,在多數情況下,儘管設計好的惡意軟件是使用HTTP進行C2活動的,但它們通常使用API發送請求,所以可以通過分析HTTP頭信息將API調用與典型的瀏覽器活動區分開來以實現檢測。

  8利用基於流量的分析來檢測APT,而不是基於網絡,基於流量的分析將網絡流量聚合在一起,從而減少了需要分析的數據量,之後對APT通信進行統計建模,成功設計出確定性的檢測特徵。其設計的框架如下所示

image-20220312222609427.png

 

  9則將APT攻擊與內部威脅的結合起來進行分析,將其表述爲一個雙層博弈問題,並進一步確定了博弈雙方防禦者與APT攻擊者的最佳對策,並證明存在納什均衡。防禦者、APT攻擊者和內部威脅人員的相互作用表示如下

image-20220312222103146.png

 

  文中給了很多數學公式推導,這裏不再重複了,直接看結果吧

image-20220312222314253.png

 

  圖3表示攻擊者和防禦者在每個時間點的動作。我們可以看到攻擊者的穩定狀態下的動作,即α是0.2,而防禦者的穩定狀態下的動作,即β是1。圖4爲系統狀態向穩定狀態的演化過程。穩定狀態爲0.1667。

表明最後確實達到了納什均衡。

  代碼監控

  源代碼中可能存在的漏洞可以通過靜態分析技術如污點分析和數據流分析等技術來識別。此外,可以在執行期間監視代碼的性能,並確保代碼在其範圍內運行,不會訪問未經授權的內存區域與其他資源,這樣可以更早地識別出威脅。這一塊是一個非常大的領域,我們實驗室有其他小夥伴在研究,這裏也不展開了,後續有機會的話單獨發文與各位師傅一起學習。

  日誌監控

  有很多日誌都有助於檢測,比如內存使用日誌、CPU使用日誌、應用程序執行日誌、系統日誌等。

  日誌種類、數量都很多,不同日誌之間記錄的格式又是不同的,怎麼將其聯繫起來進行分析是非常重要的一個問題。

  10結合了網絡日誌和主機日誌來檢測惡意活動。他們從這些日誌中提取了4類特徵,身份特徵,基於網絡流量的特徵,基於服務的特徵和基於認證的特徵,然後使用皮爾遜相關係數來減少冗餘,然後刪除那些對聚類沒有貢獻的特徵,接着通過聚類以識別惡意活動。

  下圖是據源IP地址聚合的防火牆數據中所選特徵的經驗累積分佈函數

image-20220313200410545.png

 

  下圖是由源IP地址聚合的系統日誌數據中所選特徵的經驗累積分佈函數。

image-20220313200435022.png

 

  在原始的10維空間中進行聚類,使用DBSCAN聚類算法,對於參數值ε = 0.15和minPts = 21的防火牆數據,投影到前三個主成分用於可視化,效果如下

image-20220313200536662.png

 

  在指定參數後,DBSCAN識別出6個集羣和一小組離羣點。雖然從圖中看不出來,但在進行聚類的高維空間中,聚類之間的距離實際上相當遠。

  在原始的28維空間中進行聚類。結合防火牆和系統日誌數據的DBSCAN聚類,參數值設ε = 0.25和minPts = 20,投影到前三個主成分PC進行可視化

image-20220313200637740.png

 

  從上圖中可以看到有四個簇和一組離羣點。雖然聚類在圖中看起來不是可分離的,但在進行聚類的高維空間中,它們是相當遙遠的。其中簇1代表正常行爲,而簇2、3和4被分類爲異常行爲。爲了分析攻擊的異常簇,我們計算每個簇的歸一化平均特徵向量,如下所示

image-20220313201232976.png

 

  每一個小表的橫軸是特徵,特徵1 -18對應於從系統日誌數據中提取的特性,而特徵19 - 28對應於從防火牆日誌中提取的特性。當根據異常簇的正常值對其排序時,我們可以認爲簇2最有可能是惡意的,其次是簇4和簇3。由於簇羣3只有唯一的IP地址,所以我們認爲它只包含良性主機。

  11分析DNS日誌來識別受感染的內部主機與外部惡意域名之間的的“beacon”活動,他們認爲這種行爲會在網絡流和DNS日誌中留下自己的記錄。作者提出了一種DNS日誌分析和事件關聯的方法,通過考慮低延遲間隔時間,他們假設受感染的主機每天會與C&C服務器通信幾次。通過識別受感染的主機,它們將與相同可疑域通信的其他主機連接起來。首先對DNS日誌進行預處理,過濾不需要的數據,僅從DNS日誌中獲取IPv4地址。然後以圖的方式表示元數據,圖的頂點表示主機IP地址和域名,而每條邊對應於從內部主機到外部機器的一個查詢。

  在Cobalt Strike中的Beacon大概就是如下所示

image-20220313201526084.png

 

  它可以使用SMB協議創建一個beacon,當然也可以使用HTTP或DNS等協議。初始任務是啓動一個beacon偵聽器來使用惡意payload並指定用於傳輸流量的端口號,payload提供兩個通信通道。以上圖爲例,當域列表被提供之後,惡意軟件會檢查任務並通過HTTP或DNS下載它們。之後每次都要通過這些域,必須使用beacon向C2發送信號。如果一個域失敗或被阻塞,惡意軟件將進入休眠狀態,直到下一個域可用。

  該作者提出的基於DNS A記錄進行迭代檢測的方案流程如下

image-20220313201822435.png

 

 

  12同樣通過DNS日誌分析來檢測APT惡意軟件和C&C通信活動。他們使用移動設備的DNS日誌,他們的方法簡單來說就是給C2域名和普通域名打分。爲了區分正常和異常C&C域,他們根據內部設備發起的DNS請求的數量,選擇正常域,提取15個特徵,分爲4大類:基於DNS請求和應答的特徵,基於域的特徵,基於時間的特徵,以及基於whois的特徵,然後通過分數進行識別。流程如下所示

image-20220313202148363.png

 

  所選的基於域名的特徵總結如下表

image-20220313202214514.png

 

  下圖是驗證時,繪製的C&C域與普通域之間的距離差。

image-20220313202320306.png

 

  上圖中x-軸代表不同的測試示例,前60個是C&C域名,後170個是普通域名。我們注意到,幾乎所有C&C域的平均距離都大於0.2。

下圖則展示了不同閾值的惡意軟件C&C域的檢測性能。檢測性能表明,當參數設置爲 0.2時,異常檢測算法的誤報率和誤報率最低。

image-20220313202436454.png

 

  而針對日誌中冗餘數據、髒數據過多的問題,13提出了從髒日誌中提取信息和知識的方法。首先通過網絡配置對日誌數據進行過濾和規範化,然後將這些標準化數據處理成不同的特徵,最後對這些提取的特徵進行聚類,以確定任何可疑活動。他們使用了web代理日誌、DHCP服務器日誌、VPN服務器遠程連接日誌、認證嘗試日誌、防病毒掃描日誌等不同來源的日誌,然後根據目標、主機、策略和流量提取特徵,通過適應性k-means聚類算法對特徵進行聚類,最後成功找出行爲與正常主機有顯著差異的主機,這些主機就是被攻陷的機器。

  參考

  1.N. Virvilis and D. Gritzalis, “The big four-what we did wrong in advanced persistent threat detection?” in Availability, Reliability and Security ARES, 2013 Eighth International Conference on. IEEE, 2013, pp. 248–254.

  2.H. Yin, D. Song, M. Egele, C. Kruegel, and E. Kirda, “Panorama: capturing system-wide information flow for malware detection and analysis,” in Proceedings of the 14th ACM conference on Computer and communications security. ACM, 2007, pp. 116–127.

  3.Z. Xu, S. Ray, P. Subramanyan, and S. Malik, “Malware detection using machine learning based analysis of virtual memory access patterns,” in 2017 Design, Automation & Test in Europe Conference & Exhibition DATE. IEEE, 2017, pp. 169–174.

  4.C. Vaas and J. Happa, “Detecting disguised processes using application- behavior profiling,” in Technologies for Homeland Security HST, 2017 IEEE International Symposium on. IEEE, 2017, pp. 1–6.

  5.M. Marchetti, F. Pierazzi, M. Colajanni, and A. Guido, “Analysis of high volumes of network traffic for advanced persistent threat detection,” Computer Networks, vol. 109, pp. 127–141, 2016.

  6.O. McCusker, S. Brunza, and D. Dasgupta, “Deriving behavior primi- tives from aggregate network features using support vector machines,” in Cyber Conflict CyCon, 2013 5th International Conference on. IEEE, 2013, pp. 1–18.

  7.N. Villeneuve and J. Bennett, “Detecting apt activity with network traffic analysis,” Trend Micro Incorporated Research Paper, 2012.

  8.A. Vance, “Flow based analysis of advanced persistent threats detecting targeted attacks in cloud computing,” in Problems of Infocommuni- cations Science and Technology, 2014 First International Scientific- Practical Conference. IEEE, 2014, pp. 173–176.

  9.P. Hu, H. Li, H. Fu, D. Cansever, and P. Mohapatra, “Dynamic defense strategy against advanced persistent threat with insiders,” in Computer Communications INFOCOM, 2015 IEEE Conference on. IEEE, 2015, pp. 747–755.

  10.A. Bohara, U. Thakore, and W. H. Sanders, “Intrusion detection in enterprise systems by combining and clustering diverse monitor data,” in Proceedings of the Symposium and Bootcamp on the Science of Security. ACM, 2016, pp. 7–16.

  11.A. Shalaginov, K. Franke, and X. Huang, “Malware beaconing detec- tion by mining large-scale dns logs for targeted attack identification,” in 18th International Conference on Computational Intelligence in Security Information Systems. WASET, 2016.

  12.W. Niu, X. Zhang, G. Yang, J. Zhu, and Z. Ren, “Identifying apt malware domain based on mobile dns logging,” Mathematical Problems in Engineering, vol. 2017, 2017.

  13.T.-F. Yen, A. Oprea, K. Onarlioglu, T. Leetham, W. Robertson, A. Juels, and E. Kirda, “Beehive: Large-scale log analysis for detecting sus- picious activity in enterprise networks,” in Proceedings of the 29th Annual Computer Security Applications Conference. ACM, 2013, pp. 199–208.

  更多靶場實驗練習、網安學習資料,請點擊這裏>>

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章