2017 Seguridad de la información en Internet en la era del Big Data Analice cuáles de las siguientes son las características de las amenazas persistentes avanzadas
La amenaza persistente avanzada (Amenaza persistente avanzada) es un tema candente en la industria de seguridad de la información actual. En los últimos dos años de las conferencias RSA, APT se ha convertido en una de las palabras clave más vistas en la conferencia.
Como método de ataque dirigido y organizado, el proceso de APT no es significativamente diferente de los comportamientos de ataque ordinarios. Sin embargo, en términos de pasos de ataque específicos, APT incorpora las siguientes características, lo que lo hace más poderoso: La destructividad. Los ejemplos de código se pueden utilizar para extraer características e identificar ataques basados en las características, lo que tiene un retraso inherente.
(2) Fuerte capacidad de ocultación de un solo punto: para evitar los equipos de detección tradicionales, APT presta más atención a la ocultación de comportamientos dinámicos y archivos estáticos. Por ejemplo, se utilizan canales encubiertos y canales cifrados para evitar la detección de comportamientos de la red, o falsificando firmas legítimas para evitar la identificación de archivos de código malicioso. Esto genera grandes dificultades para la detección tradicional basada en firmas.
(3) Canales de ataque diversificados: entre los incidentes APT conocidos que han sido expuestos hasta ahora, los ataques sociales, la explotación de vulnerabilidades de día 0, el transporte físico y otros métodos han surgido sin cesar. Sin embargo, la detección tradicional a menudo. Solo se centra en la defensa de los límites. Una vez que se pasa por alto el límite del sistema, la dificultad de los pasos de ataque posteriores se reducirá considerablemente.
(4) Ataque de larga duración: los ataques APT se dividen en varios pasos, desde la recopilación de información inicial hasta el robo de información y la transmisión externa, a menudo lleva varios meses o incluso más. El método de detección tradicional se basa en la detección en tiempo real en un único momento, lo que dificulta el seguimiento eficaz de ataques que abarcan un período tan largo.