CN104852910B - 一种攻击检测的方法和装置 - Google Patents

一种攻击检测的方法和装置 Download PDF

Info

Publication number
CN104852910B
CN104852910B CN201510200768.8A CN201510200768A CN104852910B CN 104852910 B CN104852910 B CN 104852910B CN 201510200768 A CN201510200768 A CN 201510200768A CN 104852910 B CN104852910 B CN 104852910B
Authority
CN
China
Prior art keywords
file
sandbox
data flow
detecting device
attack
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510200768.8A
Other languages
English (en)
Other versions
CN104852910A (zh
Inventor
任方英
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
New H3C Technologies Co Ltd
Original Assignee
New H3C Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by New H3C Technologies Co Ltd filed Critical New H3C Technologies Co Ltd
Priority to CN201510200768.8A priority Critical patent/CN104852910B/zh
Publication of CN104852910A publication Critical patent/CN104852910A/zh
Application granted granted Critical
Publication of CN104852910B publication Critical patent/CN104852910B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Landscapes

  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种攻击检测的方法和装置，该方法包括：攻击检测装置在接收到数据流后，从所述数据流的附件中分离出文件；所述攻击检测装置将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；所述攻击检测装置监测所述沙箱内是否有网络连接行为；如果是，所述攻击检测装置确定所述数据流为攻击数据流；如果否，所述攻击检测装置确定所述数据流为合法数据流。本发明实施例中，可以不依赖特征码检测出是否发生攻击。

Description

一种攻击检测的方法和装置
技术领域
本发明涉及通信技术领域，尤其涉及一种攻击检测的方法和装置。
背景技术
随着计算机与网络的普及，信息技术正在改变着、影响着人类的生活方式。各种网络应用层出不穷，安全威胁和网络滥用也与日俱增，给网络监管机构对各种网络流量进行深度识别和检测未知威胁提出了新的要求。
目前对流量进行识别与检测的技术包括：DPI(Deep Packet Inspection，深层数据包检测)技术和基于流量特征的行为识别技术。DPI技术主要通过对数据包的负载进行特征匹配来识别流量，从而检测是否发生攻击。基于流量特征的行为识别技术主要是针对网络流量在一段时间内的某些统计特征进行检测和分析，以此为基础判断是否有某种行为，从而检测是否发生攻击。
上述方式均需要基于特征码检测是否发生攻击，但是针对APT(AdvancedPersistent Threat，高级持续性威胁)攻击，由于APT攻击是利用先进攻击手段对特定目标进行长期持续性网络攻击的攻击形式，在发动攻击之前会对攻击对象的业务流程和目标***进行精确的收集，在收集过程中会主动挖掘被攻击对象受信***和应用程序的漏洞，并利用这些漏洞进行攻击，因此，APT攻击的漏洞信息从未公开，且没有相应特征码，因此，上述方式(DPI技术和基于流量特征的行为识别技术)是无法检测出是否发生APT攻击的。
发明内容
本发明实施例提供一种攻击检测的方法，所述方法包括以下步骤：
攻击检测装置在接收到数据流之后，从所述数据流的附件中分离出文件；
所述攻击检测装置将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；
所述攻击检测装置监测所述沙箱内是否有网络连接行为；
如果是，则所述攻击检测装置确定所述数据流为攻击数据流；
如果否，则所述攻击检测装置确定所述数据流为合法数据流。
所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。
在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。
所述方法进一步包括：
所述攻击检测装置确定所述数据流为攻击数据流之后，所述攻击检测装置确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。
所述数据流具体包括高级持续性威胁APT数据流，所述文件具体包括：WORD文件、EXCEL文件、PPT文件。
本发明实施例提供一种攻击检测装置，所述攻击检测装置具体包括：
分离模块，用于在接收到数据流后，从所述数据流的附件中分离出文件；
发送模块，用于将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；
监测模块，用于监测所述沙箱内是否有网络连接行为；
确定模块，用于当沙箱内有网络连接行为时，则确定所述数据流为攻击数据流；当沙箱内没有网络连接行为时，则确定所述数据流为合法数据流。
所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。
在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。
所述确定模块，还用于在确定所述数据流为攻击数据流之后，确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。
所述数据流具体包括高级持续性威胁APT数据流，所述文件具体包括：WORD文件、EXCEL文件、PPT文件。
基于上述技术方案，本发明实施例中，通过自动分离数据流的附件中的文件，并将文件发送给沙箱，由沙箱利用文件对应的应用程序打开文件，并监测沙箱是否有网络连接行为，从而确定数据流是否为攻击数据流，该方式可以不依赖特征码检测出是否发生攻击。
附图说明
图1是本发明实施例提供的一种攻击检测的方法流程示意图；
图2是本发明实施例提供的一种攻击检测装置的结构示意图。
具体实施方式
针对现有技术中存在的问题，本发明实施例提供了一种攻击检测的方法，如图1所示，该攻击检测的方法具体可以包括以下步骤：
步骤101，攻击检测装置在接收到数据流之后，从该数据流的附件中分离出文件。其中，该数据流具体是指附件中包含有文件的数据流。
本发明实施例中，该数据流具体可以包括但不限于：APT数据流，即会发生APT攻击的数据流。进一步的，该数据流的附件中包含的文件具体可以包括但不限于：WORD文件、EXCEL文件、PPT文件等。
步骤102，攻击检测装置将文件发送给沙箱，由沙箱确定该文件对应的文件类型，并利用该文件类型对应的应用程序打开该文件。
例如，攻击检测装置从数据流的附件中分离出WORD文件时，将WORD文件发送给沙箱。沙箱确定该WORD文件对应的文件类型为WORD类型，并利用该WORD类型对应的应用程序(即WORD软件)打开该WORD文件。又例如，攻击检测装置从数据流的附件中分离出EXCEL文件时，将EXCEL文件发送给沙箱。沙箱确定EXCEL文件对应的文件类型为EXCEL类型，并利用该EXCEL类型对应的应用程序(即EXCEL软件)打开该EXCEL文件。
其中，沙箱是指一种按照安全策略限制程序行为的执行环境。
在沙箱确定文件对应的文件类型，并利用文件类型对应的应用程序打开文件的过程中，可以由该沙箱对应的沙箱控制器确定该文件对应的文件类型，并由该沙箱控制器利用该文件类型对应的应用程序打开该文件。
本发明实施例中，沙箱具体包括但不限于：内置在攻击检测装置中的沙箱，或者，独立于攻击检测装置的沙箱。进一步的，当沙箱为独立于攻击检测装置的沙箱时，则还可以在网络中部署一个外置沙箱群，该外置沙箱群中包含多个沙箱。基于此，攻击检测装置在将文件发送给沙箱时，可以基于负载均衡算法将文件发送给沙箱，或者，基于各沙箱的负载情况将文件发送给沙箱。例如，攻击检测装置基于hash算法将文件发送给沙箱，或者，攻击检测装置获取各沙箱的负载情况，并将文件发送给负载最轻的沙箱。
步骤103，攻击检测装置监测沙箱内是否有网络连接行为；如果是，则攻击检测装置执行步骤104；如果否，则攻击检测装置执行步骤105。
步骤104，攻击检测装置确定数据流为攻击数据流。
步骤105，攻击检测装置确定数据流为合法数据流。
本发明实施例中，默认沙箱中是不发生任何网络连接行为的，因此，在沙箱打开来自攻击检测装置的文件之前，在沙箱内是不发生网络连接行为的。基于此，当沙箱打开来自攻击检测装置的文件之后，如果沙箱内有网络连接行为，则说明是基于文件产生的网络连接行为，因此，攻击检测装置可以确定该数据流为攻击数据流，且该数据流的附件中的文件包含用于从网络中下载并执行可执行文件的恶意指令。
以下结合具体应用场景对本发明实施例的上述技术方案进行详细说明。
攻击者向终端设备发送一封包含未知漏洞的WORD文件的邮件，攻击者预期用户在终端设备上打开包含未知漏洞的WORD文件时，在解析异常文件时触发攻击者精心构造的恶意指令，如从网络某处下载并执行可执行文件。
攻击检测装置在接收到附件中包含有文件的邮件(即APT数据流)之后，剥离邮件的附件中包含的WORD文件，并将WORD文件发送给沙箱。沙箱中的沙箱控制器确定WORD文件对应的文件类型为WORD类型，并利用WORD类型对应的应用程序(即WORD软件)模拟用户打开WORD文件。
攻击检测装置监测沙箱内是否有网络连接行为。由于默认沙箱中是不发生任何网络连接行为的，如果沙箱内有网络连接行为，则说明是基于WORD文件产生的网络连接行为，因此攻击检测装置可以确定该WORD文件中包含了用于从网络中下载并执行可执行文件的恶意指令，并包含潜在的网络威胁。
基于上述技术方案，本发明实施例中，通过自动分离数据流的附件中的文件，并将文件发送给沙箱，由沙箱利用文件对应的应用程序打开文件，并监测沙箱是否有网络连接行为，从而确定数据流是否为攻击数据流，该方式可以不依赖特征码检测出是否发生攻击。
基于与上述方法同样的发明构思，本发明实施例中还提供了一种攻击检测装置，如图2所示，所述攻击检测装置具体包括：
分离模块11，用于在接收到数据流之后，从数据流的附件中分离出文件；
发送模块12，用于将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；
监测模块13，用于监测所述沙箱内是否有网络连接行为；
确定模块14，用于当沙箱内有网络连接行为时，则确定所述数据流为攻击数据流；当沙箱内没有网络连接行为时，则确定所述数据流为合法数据流。
本发明实施例中，所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。
在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。
所述确定模块14，还用于在确定所述数据流为攻击数据流之后，确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。
本发明实施例中，所述数据流具体包括高级持续性威胁APT数据流，所述文件具体包括：WORD文件、EXCEL文件、PPT文件。
其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (8)

1.一种攻击检测的方法，其特征在于，所述方法包括以下步骤：
攻击检测装置在接收到数据流之后，从所述数据流的附件中分离出文件；
所述攻击检测装置将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；
所述攻击检测装置监测所述沙箱内是否有网络连接行为；
如果是，则所述攻击检测装置确定所述数据流为攻击数据流；
如果否，则所述攻击检测装置确定所述数据流为合法数据流；
在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。
2.如权利要求1所述的方法，其特征在于，所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。
3.如权利要求1所述的方法，其特征在于，所述方法进一步包括：
所述攻击检测装置确定所述数据流为攻击数据流之后，所述攻击检测装置确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。
4.如权利要求1所述的方法，其特征在于，所述数据流包括高级持续性威胁APT数据流，所述文件包括：WORD文件、EXCEL文件、PPT文件。
5.一种攻击检测装置，其特征在于，所述攻击检测装置具体包括：
分离模块，用于在接收到数据流后，从所述数据流的附件中分离出文件；
发送模块，用于将所述文件发送给沙箱，由所述沙箱确定所述文件对应的文件类型，并利用所述文件类型对应的应用程序打开所述文件；
监测模块，用于监测所述沙箱内是否有网络连接行为；
确定模块，用于当沙箱内有网络连接行为时，则确定所述数据流为攻击数据流；当沙箱内没有网络连接行为时，则确定所述数据流为合法数据流；
在所述沙箱打开所述文件之前，在所述沙箱内是不发生网络连接行为的。
6.如权利要求5所述的攻击检测装置，其特征在于，所述沙箱具体包括：内置在所述攻击检测装置中的沙箱，或者，独立于所述攻击检测装置的沙箱。
7.如权利要求5所述的攻击检测装置，其特征在于，
所述确定模块，还用于在确定所述数据流为攻击数据流之后，确定所述文件中包含用于从网络中下载并执行可执行文件的恶意指令。
8.如权利要求5所述的攻击检测装置，其特征在于，所述数据流具体包括高级持续性威胁APT数据流，所述文件具体包括：WORD文件、EXCEL文件、PPT文件。
CN201510200768.8A 2015-04-24 2015-04-24 一种攻击检测的方法和装置 Active CN104852910B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510200768.8A CN104852910B (zh) 2015-04-24 2015-04-24 一种攻击检测的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510200768.8A CN104852910B (zh) 2015-04-24 2015-04-24 一种攻击检测的方法和装置

Publications (2)

Publication Number Publication Date
CN104852910A CN104852910A (zh) 2015-08-19
CN104852910B true CN104852910B (zh) 2018-11-27

Family

ID=53852266

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510200768.8A Active CN104852910B (zh) 2015-04-24 2015-04-24 一种攻击检测的方法和装置

Country Status (1)

Country Link
CN (1) CN104852910B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107347057B (zh) * 2016-05-06 2021-03-02 阿里巴巴集团控股有限公司 入侵检测方法、检测规则生成方法、装置及***
CN108959917A (zh) * 2017-05-25 2018-12-07 腾讯科技（深圳）有限公司 一种电子邮件检测的方法、装置、设备及可读存储介质
CN113010764B (zh) * 2021-04-15 2023-08-22 德观智能控制设备涿州有限公司 一种舆情监测***、方法、计算机设备及存储介质
CN113949579B (zh) * 2021-10-20 2024-04-30 安天科技集团股份有限公司 网站攻击防御方法、装置、计算机设备及存储介质
CN113949588A (zh) * 2021-12-20 2022-01-18 北京微步在线科技有限公司 一种邮件附件威胁检测方法及***

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103825888A (zh) * 2014-02-17 2014-05-28 北京奇虎科技有限公司 网络威胁处理方法及设备
CN103902901A (zh) * 2013-09-17 2014-07-02 北京安天电子设备有限公司 一种基于编译器识别的apt检测方法及***
CN103902914A (zh) * 2013-09-17 2014-07-02 北京安天电子设备有限公司 一种针对高级可持续威胁的溢出漏洞检测方法及***
CN104200161A (zh) * 2014-08-05 2014-12-10 杭州安恒信息技术有限公司 一种实现沙箱智能检测文件的方法及其沙箱智能检测***
CN104506495A (zh) * 2014-12-11 2015-04-08 国家电网公司 一种智能化网络apt攻击威胁分析方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9628507B2 (en) * 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103902901A (zh) * 2013-09-17 2014-07-02 北京安天电子设备有限公司 一种基于编译器识别的apt检测方法及***
CN103902914A (zh) * 2013-09-17 2014-07-02 北京安天电子设备有限公司 一种针对高级可持续威胁的溢出漏洞检测方法及***
CN103825888A (zh) * 2014-02-17 2014-05-28 北京奇虎科技有限公司 网络威胁处理方法及设备
CN104200161A (zh) * 2014-08-05 2014-12-10 杭州安恒信息技术有限公司 一种实现沙箱智能检测文件的方法及其沙箱智能检测***
CN104506495A (zh) * 2014-12-11 2015-04-08 国家电网公司 一种智能化网络apt攻击威胁分析方法

Also Published As

Publication number Publication date
CN104852910A (zh) 2015-08-19

Similar Documents

Publication Publication Date Title
CN104852910B (zh) 一种攻击检测的方法和装置
US11681803B2 (en) Malware identification using multiple artificial neural networks
US10110619B2 (en) Method and product for providing a predictive security product and evaluating existing security products
KR102210627B1 (ko) 악성 프로세스 행동을 검출하기 위한 방법, 장치 및 시스템
US10417420B2 (en) Malware detection and classification based on memory semantic analysis
Singhal et al. Malware detection module using machine learning algorithms to assist in centralized security in enterprise networks
KR100910761B1 (ko) 프로세스 행위 예측 기법을 이용한 비정형 악성코드 탐지방법 및 그 시스템
EP3068095A2 (en) Monitoring apparatus and method
EP3591558A1 (en) System and method for detection of malicious hypertext transfer protocol chains
US20170061126A1 (en) Process Launch, Monitoring and Execution Control
KR101851233B1 (ko) 파일 내 포함된 악성 위협 탐지 장치 및 방법, 그 기록매체
US9992216B2 (en) Identifying malicious executables by analyzing proxy logs
CN104852909B (zh) 一种攻击检测规则的开启方法和设备
CN110336835A (zh) 恶意行为的检测方法、用户设备、存储介质及装置
Haltaş et al. An automated bot detection system through honeypots for large-scale
Ojugo et al. Forging A Smart Dependable Data Integrity And Protection System Through Hybrid-Integration Honeypot In Web and Database Server
CN109344042A (zh) 异常操作行为的识别方法、装置、设备及介质
Nguyen et al. An approach to detect network attacks applied for network forensics
Khan et al. A dynamic method of detecting malicious scripts using classifiers
CN109951484A (zh) 针对机器学习产品进行攻击的测试方法及***
CN101546367B (zh) 带预警功能的网络木马综合检测方法
CN110730193B (zh) 保障网络安全的方法、装置、服务器和存储介质
Gundogan et al. Identifying Malware Family with String Matching Algorithms Based on API Calls and Entire Strings
KR101619059B1 (ko) 악성 스크립트 탐지를 위한 경량 시그니처 생성 및 배포 장치, 시스템 및 방법
Agnihotri A Study of Different Approaches for Malware Detection in Smartphones

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 310052 Binjiang District Changhe Road, Zhejiang, China, No. 466, No.

Applicant after: Xinhua three Technology Co., Ltd.

Address before: 310052 Binjiang District Changhe Road, Zhejiang, China, No. 466, No.

Applicant before: Huasan Communication Technology Co., Ltd.

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant