高级可持续威胁攻击关键技术探究
国家科技进步奖提名材料公示
国家科技进步奖提名材料公示一、项目名称高级持续性威胁(APT)攻击检测关键技术及应用二、提名者中国科学院三、提名意见有组织的高级持续性威胁（APT）攻击已对国家安全、社会经济稳定造成严重影响，对传统的网络空间安全防御体系形成了严重威胁。
该项目针对APT攻击的技术对抗难题，历经十多年的关键技术研发，形成了一套以基于硬件模拟软件深度分析技术为核心的APT攻击检测关键技术和产品体系，实现了高透明、细粒度的软件深度分析能力，解决了传统安全产品面临的检测系统与被检测目标同系统平台技术竞争难题；提出了漏洞利用攻击检测、基于数据流的攻击特征提取、协议逆向追踪与僵尸网络溯源等技术与方法，有效解决了类攻击代码识别、动态生成代码提取等难题。
基于动态分析基础引擎，研制了金刚软件智能分析系统、高级持续性威胁检测系统、天眼新一代威胁感知系统等系列产品，提升了APT攻击的检测防御能力。
项目研制的产品已广泛应用在通信、金融、能源等国家关键信息基础设施，工信部等国家部委，军队、公安等国家安全部门，百度、中船、航天等大型企业应用和专业机构。
近三年新增产值11.56亿元；项目成果还为APEC会议、“一带一路”国际合作高峰论坛等重大活动提供安全保障；在海莲花、蓝宝菇等重大APT攻击事件的发现与处置过程中发挥重要作用。
项目所取得的成绩多次获得主管部门和国家领导人的肯定和嘉奖，取得了显著的经济效益和社会效益。
项目部分成果分别获得2018年度中国通信学会科学技术一等奖和2017年北京市科学技术二等奖。
提名该项目为国家科学技术进步奖二等奖。
四、项目简介该项目属于计算机信息技术领域。
网络空间安全是关乎国家安全、社会稳定、百姓利益的重大战略问题。
《国家中长期科学和技术发展规划纲要（2006-2020）》将网络空间安全技术列为重点发展的关键技术方向。
高级持续性威胁（APT）攻击以强大的、有组织的技术力量作支撑，以特定的高价值任务为目标，攻击破坏性强，对抗能力高，是当前网络空间安全的重要威胁。
高级持续性威胁（APT）的检测与防范技术研究
高级持续性威胁（APT）的检测与防范技术研究摘要：高级持续性威胁（APT）作为网络安全领域的重要挑战，威胁着各行各业的信息资产和隐私。
本文旨在研究与APT检测与防范相关的关键技术，以帮助网络行业工作者更好地理解和应对这一威胁。
本文介绍了APT的定义和特征，探讨了不同的检测方法和防范策略，包括入侵检测系统（IDS）、行为分析、威胁情报分享和最佳实践。
通过深入分析这些技术，本文希望为网络行业提供更全面、有效的APT应对方案。
关键词：高级持续性威胁（APT）；网络安全；入侵检测系统（IDS）；行为分析；威胁情报；防范技术一、引言网络安全一直是当今数字时代最紧迫的挑战之一。
随着技术的不断进步和全球互联的加速发展，高级持续性威胁（Advanced Persistent Threats，简称APT）作为网络攻击的最高级别威胁之一，已经引起了广泛的关注和担忧。
APT攻击不仅对政府和企业机构的信息资产构成严重威胁，而且对个人的隐私也带来了巨大风险。
二、高级持续性威胁（APT）的定义与特征APT代表了网络安全领域中最为复杂和具有破坏性的威胁之一。
了解APT的定义与特征对于有效地识别和应对这些威胁至关重要。
第一，APT是“高级”的，这意味着攻击者拥有高度的技术能力和资源。
APT攻击者通常是由国家或有组织的黑客组成，他们具备深厚的计算机知识，能够开发出复杂的恶意软件和攻击工具。
这些攻击者通常能够巧妙地规避传统的安全防御机制，对目标系统进行高级渗透和持续监控。
第二，APT是“持续性”的，这表示攻击者的攻击不是一次性的事件，而是一个长期的过程。
攻击者通常会悄无声息地进入目标网络，随后长时间内持续存在，以获取更多的信息和权限。
这种持续性使得APT攻击特别难以察觉，因为攻击者会尽量避免引起警觉。
最后，APT是“隐蔽性”的。
攻击者会采用伪装手法，隐藏其活动，以防止被检测到。
他们可能使用先进的社交工程和钓鱼攻击，欺骗目标员工，或者使用未知的漏洞来渗透系统。
高级可持续攻击(APT)攻防分析
基于异常流量的攻击
• • • •
网络扫描嗅探的异常流量 远程溢出数据 内网病毒木马爆发的异常流量 数据回传时的异常流量
攻击
回传
检测手段
主动攻击检测
恶意流量 攻击检测
已知漏洞 检测
0day漏洞 检测
动态行为 分析
综合关联 分析
发现 APT
检测手段
• 基于主动web的攻击检测
– 通过分析web流量定位其中的恶意攻击
officepdf数据回传时的异常流量攻击攻击检测手段主动攻击检测主动攻击检测恶意流量攻击检测恶意流量攻击检测已知漏洞检测已知漏洞检测0day漏洞检测0day漏洞检测动态行为分析动态行为分析综合关联分析综合关联分析发现apt发现apt检测手段浏览器0day漏洞web攻击浏览器漏洞浏览器漏洞框架漏通过特征匹配的方式定位已知病毒木马检测手段通过检测文件的溢出漏洞点和溢出攻击的特点发现基于文件的0day恶意攻击检测手段通过动态分析的对目标进行行为特征分析发现其中的恶意行为从而发现攻击注册表行为检测手段通过对流量的变化的行为特征分析发现网络中的异常流量从而发现恶意攻击多维度检测源目ip分布访问频度协议类型等合规协议的检测aboutmeaboutme目前就职于杭州安恒信息技术有限公司任信息安全服务部副总监研究院安全分院dbappseclabdbappsecuritycomcn负责人高级安全研究员
利用爆炸案热点的新APT攻击
黑客利用民众对波士顿马拉松爆炸案和德州化肥厂爆炸案的关注开展 组合拳式的攻击。攻击方式包括钓鱼、iframe重定向、Redkit漏洞利用 包、僵尸网络攻击诸多手段。黑客的攻击通过Zeus、Kelihot僵尸程序感 染了大量的计算机，偷窃金融账号和个人信息，发送恶意邮件或劫持个
智能化时代下的数字金融风险防范措施研究
智能化时代下的数字金融风险防范措施研究摘要：数字金融是指利用数字技术来支持金融服务和交易的一种现代金融活动，尤其是在人工智能、大数据、区块链等技术推动下，带来金融服务的便捷和创新，同时网络安全威胁、数据隐私侵犯、法律合规挑战、新兴技术风险不断产生。
本文系统地阐述智能化时代下数字金融类型，深探讨这些风险的防范措施，如强化网络安全、保护数据隐私、确保合规性、应对新兴技术风险的策略，旨在为数字金融领域的风险管理提供深刻建议。
关键词：安全风险；数据隐私风险；智能化时代；数字金融风险数字金融的兴起不仅提高了金融服务的效率和覆盖面，为用户带来了更加个性化和便捷的金融体验。
这些技术的应用同时也引入了新的风险和挑战，例如网络安全威胁、数据隐私侵犯、合规性问题以及技术本身的不确定性和复杂性。
借助深入分析和理解数字金融所面临的主要风险类型，包括但不限于网络安全风险、数据隐私风险、合规性风险以及由新兴技术引发的风险。
通过对这些风险进行全面的识别和评估，旨在为金融机构、监管机构、政策制定者提供有效的风险管理策略，以应对数字化环境下的复杂挑战。
一、数字金融的概述数字金融作为信息技术与金融业的融合产物，不仅引领了金融服务的革新，也为生态文明建设提供了新的动力和可能性。
在当前的智能化时代，绿色发展理念已成为不可或缺的一部分，这要求我们在数字金融发展过程中不断强化生态责任感和可持续性。
人工智能和大数据技术在数字金融中的应用，如智能投顾、风险评估、资产管理等，在不断提高金融服务的精准度和效率，优化资源配置，有助于实现绿色金融的目标[1]。
借助深度学习和机器学习算法，能够更准确地评估和预测环境风险，为绿色投资提供决策支持。
云计算的广泛应用也在改变数字金融的运作模式，通过虚拟化和资源共享，不仅提升了计算资源的利用率，显著降低了能源消耗和碳排放。
随着物联网技术的发展，金融机构能够更加精准地监测和管理其环境影响，实现资源的高效利用和环境风险的实时监控，借助这些智能化技术的应用，数字金融不仅在推动金融业务的创新和发展，更在促进生态文明建设和绿色发展方面发挥着积极作用。
网络安全调查研究报告
网络安全调查研究报告一、引言1.1 研究背景与意义随着互联网的普及和信息技术的飞速发展，网络安全问题日益凸显，已成为影响国家安全、经济发展和社会稳定的重要因素。
在此背景下，开展网络安全研究具有重要的现实意义。
本报告旨在分析我国网络安全现状，探讨关键技术的发展趋势，识别网络安全风险与挑战，为政策制定和企业发展提供参考。
1.2 研究目的与内容本报告的研究目的在于：深入了解我国网络安全现状，分析网络安全关键技术的发展趋势，揭示网络安全风险与挑战，为政策制定、技术创新和人才培养提供有益借鉴。
研究内容主要包括：我国网络安全现状分析、关键技术研究、网络安全风险与挑战、产业发展建议等方面。
1.3 研究方法与数据来源本研究采用文献分析、案例分析、专家访谈等多种研究方法，结合公开数据和权威报告，确保研究结果的客观性和准确性。
数据来源主要包括：政府部门发布的政策法规、网络安全事件案例、国内外研究机构发布的网络安全报告、相关企业公开资料等。
通过对这些数据进行深入挖掘和分析，为报告的撰写提供有力支撑。
2. 我国网络安全现状分析2.1 我国网络安全政策与法规我国政府对网络安全高度重视，制定了一系列政策和法规来保障网络安全。
首先，在法律层面，我国有《中华人民共和国网络安全法》，明确了网络运营者的安全责任、个人信息保护、网络安全监督管理等方面的规定。
此外，《中华人民共和国刑法》也对网络犯罪行为进行了明确的规定和处罚。
在政策层面，近年来我国发布了《关于加强网络安全工作的意见》等指导性文件，提出了加强网络安全保障、提升网络安全能力、推动网络安全产业发展等一系列政策措施。
2.2 我国网络安全产业概况随着互联网的迅速发展，我国网络安全产业也取得了长足进步。
目前，我国网络安全产业已经形成了包括网络安全产品、安全服务、安全解决方案等在内的较为完善的产业链。
在网络安全产品方面，防火墙、入侵检测系统、安全审计等硬件和软件产品已经广泛应用于各个领域。
网络攻击事件溯源及威胁等级定义
网络攻击事件溯源及威胁等级定义网络攻击已经成为现代社会中一种严重威胁，威胁个人隐私、商业机密和国家安全。
为了应对这种风险，安全专家们致力于溯源网络攻击事件的来源和行为，并定义不同类型的威胁等级。
网络攻击事件溯源和威胁等级定义是保护网络安全的重要措施，本文将介绍其背景、方法和实施。
一、背景随着网络技术的迅速发展和普及，网络攻击事件激增。
攻击者可以利用各种方法，如恶意软件、网络钓鱼、拒绝服务（DDoS）等，入侵和破坏目标系统。
因此，网络安全专家需要准确追溯攻击事件的来源和威胁等级，以便采取相应的防御措施，保护个人、企业和国家机构的利益。
二、网络攻击事件溯源方法1. 收集证据：网络攻击事件溯源的第一步是收集相关证据。
这包括日志记录、监控数据、网络活动跟踪等。
通过分析这些信息，可以确定攻击事件的时间、地点和方式。
2. 数字取证：数字取证是网络攻击事件溯源中的一项核心技术。
它涉及对受影响系统的取证分析，以确定攻击者的行为和攻击方法。
数字取证包括内存取证、磁盘取证、网络流量分析等。
3. 反向追踪：通过网络追踪技术，可以追溯攻击者使用的IP地址、域名和服务器等关键信息。
这些信息将有助于确定攻击者的身份和其背后的组织。
反向追踪可以通过黑客的足迹、遗留的痕迹等方法进行。
4. 合作交流：网络攻击事件溯源通常需要在不同的组织之间进行合作交流。
这可能包括与政府机构、执法部门和其他安全组织的合作。
通过有效的合作交流，可以共享攻击事件的相关信息，提高溯源的准确性和效率。
三、威胁等级定义为了更好地评估网络攻击事件的威胁，安全专家们开发了一套威胁等级定义系统。
这些定义系统通常根据攻击的严重程度、对系统和数据的影响以及攻击者的动机进行分类。
1. 低级威胁：低级威胁指对系统造成轻微影响的攻击事件。
这些事件通常只导致少量数据的修改或破坏，对系统的正常运行影响较小。
例如，普通的针对个人电脑的病毒攻击可以被归类为低级威胁。
2. 中级威胁：中级威胁指对系统和数据造成一定程度影响的攻击事件。
高级持续性威胁(APT)解析
高级持续性威胁(APT)解析高级持续性威胁（Advanced Persistent Threat，简称APT）是指一种高度复杂、有组织、长期持续的网络攻击，旨在窃取机密信息或破坏目标系统。
与传统的网络攻击相比，APT攻击更具隐蔽性和持久性，攻击者通常具有强大的技术实力和资源支持，能够长期潜伏在目标网络中进行监控和渗透。
本文将对高级持续性威胁进行深入解析，探讨其特点、攻击手段以及防范措施。
一、高级持续性威胁的特点1. 高度复杂性：APT攻击通常由专业的黑客团队或国家级组织发起，攻击手段多样化，包括社会工程、漏洞利用、恶意软件等多种技术手段的组合应用，攻击链条较长，难以被传统安全防护机制所检测和阻止。
2. 长期持续性：APT攻击具有持续性和耐心性，攻击者会长期潜伏在目标网络中，通过渗透测试、信息收集等阶段性行动，逐步获取目标系统的权限和敏感信息，攻击过程可能持续数月甚至数年之久。
3. 隐蔽性强：APT攻击通常采取隐蔽性手段，如零日漏洞利用、定制化恶意软件等，以规避传统安全防护设备的检测，使攻击者能够长期潜伏在目标网络中进行监控和控制。
4. 针对性强：APT攻击通常针对特定的目标进行定制化攻击，攻击者会事先对目标系统进行深入的侦察和信息收集，制定专门的攻击策略和方案，以确保攻击的成功性和有效性。
二、高级持续性威胁的攻击手段1. 社会工程：攻击者通过钓鱼邮件、钓鱼网站等手段诱使目标用户点击恶意链接或下载恶意附件，从而感染目标系统，获取系统权限。
2. 漏洞利用：攻击者利用系统或应用程序的漏洞，通过渗透测试和漏洞利用工具对目标系统进行攻击，获取系统权限并植入后门。
3. 恶意软件：攻击者通过定制化的恶意软件，如木马、僵尸网络等，植入目标系统，实现对系统的远程控制和监控，窃取敏感信息。
4. 假冒身份：攻击者通过伪装成合法用户或管理员的身份，获取系统权限，执行恶意操作，窃取机密信息。
5. 侧信道攻击：攻击者通过监控系统的侧信道信息，如电磁辐射、功耗分析等，获取系统的敏感信息，破坏系统的安全性。
网络安全威胁情报与分析的关键技术
网络安全威胁情报与分析的关键技术随着互联网的迅速发展和广泛应用，网络安全问题凸显出了研究和解决的重要性。
网络安全威胁情报与分析作为网络安全领域的关键技术之一，为了应对日益增多的网络安全威胁提供了重要支持。
本文将重点探讨网络安全威胁情报与分析的关键技术，包括威胁情报收集、威胁情报分析和应用。
一、威胁情报收集在网络安全威胁情报与分析过程中，威胁情报收集是首要的一环。
威胁情报的收集涉及到各方面的信息源，包括情报共享组织、安全产品和服务提供商、政府部门、大型企业等。
威胁情报的收集方式多样，可通过网络威胁情报共享平台、黑客论坛、物理世界的情报交换等方式进行。
1.情报共享组织情报共享组织作为威胁情报的重要来源之一，与各国、各行业的合作机构合作，通过收集、整理和分析全球范围内的网络安全威胁情报，为成员提供安全情报共享服务。
例如，美国的国家安全局（NSA）和建立在其基础上的网络安全威胁共享中心（NSA Cybersecurity Threat Operations Center）。
2.安全产品和服务提供商安全产品和服务提供商通过其自身的技术和实时监测系统，收集并分析互联网各领域的威胁情报。
例如，安全研究机构Symantec通过其世界范围内的威胁情报网络（Threat Intelligence Network）获取全球范围内的威胁情报。
3.政府部门和大型企业政府部门和大型企业通常拥有庞大的网络安全团队和专业的情报收集系统，能够监测和收集各类网络安全威胁情报。
例如，美国国家安全局通过自身的网络监测系统“棱镜”（PRISM）收集全球的威胁情报。
二、威胁情报分析收集到的威胁情报需要经过分析来识别出其中的安全威胁和潜在攻击者的意图。
威胁情报分析是网络安全威胁情报与分析中的关键环节。
1.技术分析技术分析是针对威胁情报中的攻击相关数据进行深入研究，以识别攻击手段和攻击者使用的软件工具。
例如，通过分析网络流量、日志数据等，可以发现恶意软件的传播路径和攻击的漏洞。
简析高持续性威胁(APT)的三个要素
简析高持续性威胁（APT）的三个要素高持续性威胁（APT）是以商业和政治为目的的一个网络犯罪类别。
APT需要长期经营与策划，并具备高度的隐蔽性，才可能取得成功。
这种攻击方式往往不会追求短期的经济收益和单纯的系统破坏，而是专注于步步为营的系统入侵，每一步都要达到一个目标，而不会做其他多余的事来打草惊蛇。
想要给APT（Advanced Persistent Threat）做一个定义是非常困难的事情，但是我们能从字面上来简单理解一下高持续性威胁（Advanced Persistent Threat）的涵义：A-Advanced：入侵团队会在背地里动手动脚，采用全方位的计算机入侵技术。
有时候个别部分的攻击技术可能无法去把它归类，这一点特别体现在"高级（Advanced）"上，（例如恶意软件组件常会用到的DIY工具箱，或者是使用容易产生此类漏洞的工具），入侵团队通常需要自己开发那些更先进的工具，他们结合了多种攻击方法和工具，以便达到预先设定好的目标。
P-Persistent：他们通常会优先考虑制定的任务，而不是机会主义者追求的即时经济效益。
这种区别意味着，所发动的攻击是由外部实体人员监控指导的。
通过连续不断的检测和侦查，实现目标的确定与攻击。
而不是用持续不断的攻击或者是不断更新恶意软件来发动攻势，事实上，这种"低慢"的攻击方式，是比较成功的。
T-Threat：这是一个由组织者进行协调和指挥的人为攻击，而不是用无意识的自动代码发起的攻击。
入侵团队会有一个具体的目标，这个团队也会非常的有上进心，有组织性，并且有充足的资金。
APT入侵企业的途径即便有一个很好的安全策略与防护体系的存在，通过各种各样的载体，APT也可以入侵到企业内部。
◆基于互联网恶意软件的感染◆物理恶意软件的感染◆外部入侵有很好资金支持的APT对手不一定要从边界网络进行入侵，他们经常会充分利用具有"内部威胁"和"受信链接"的定向访问和目标系统的漏洞。
高级持续性威胁(APT)解析
高级持续性威胁(APT)解析大家好，今天我们要聊的话题是关于高级持续性威胁，也就是我们经常听说的APT。
可能有些人觉得这个名词听起来很高大上，有种神秘感，但其实如果用简单的语言解释，每个人都能够理解它的本质。
让我们一起来揭开高级持续性威胁的面纱，了解一下它到底是什么。
什么是高级持续性威胁？高级持续性威胁（AdvancedPersistentThreat，简称APT）是指由具备高度技术能力和资源的黑客组织或国家级别的攻击者，通过长期、持续的方式，对特定目标展开网络攻击，并试图长期潜伏于目标系统中获取机密信息或实施其他恶意活动的一种网络安全威胁形式。
APT攻击不同于一般的网络攻击，它们往往耗费大量时间和资源来进行定制化攻击，避开常规安全防护手段，使得发现和防范变得更加困难。
因此，了解APT的特点和行为模式对企业和个人来说至关重要。
APT的攻击流程APT攻击通常包括多个阶段，如情报收集、入侵、建立立足点、横向扩散、权限提升和数据窃取等。
攻击者会采用各种高级技术手段来规避检测和实现目的，例如使用零日漏洞、社会工程攻击、定制恶意软件等。
这些攻击手法常常具有很强的隐蔽性和破坏力，给受害者带来巨大损失。
如何应对APT威胁？面对APT的挑战，防范显得尤为重要。
建立全面的安全意识教育，让员工了解网络安全风险和预防措施，是防范APT的基础。
加强网络边界防护，部署入侵检测系统、防火墙等安全设备，及时发现并阻止攻击行为。
定期进行安全漏洞扫描、加固系统补丁，加密重要数据，做好数据备份，都是应对APT威胁的有效措施。
高级持续性威胁（APT）是当今互联网领域内一种备受关注的安全威胁形式，对企业和个人的网络安全构成严重威胁。
了解APT的工作原理和攻击方式，以及采取必要的安全措施是应对这一威胁的关键。
希望通过本文的解析，您对APT有了更深入的了解，从而更好地保护自己的网络安全。
在当今信息技术高度发达的时代，高级持续性威胁越来越具有威胁性和隐秘性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
术 和 ＩＥ中 的 未 知 漏 洞 ，意 图是 窃 取 Ｇｏｏｇｌｅ、Ａｄｏｂｅ 和许 多 其他 大公 司 的 源代 码 ，从 而利 用 窃 取 的信 息 得 到更 大 的利 益 。 同时 ，大 量 的专 家 学 者 也 在 为解 决 ＡＰ Ｔ 攻击 这 一新兴 网络攻击 技 术 出谋 划 策 。
美 国 国家标 准 和技 术 研 究 院 （ＮＩＳＴ）在 ２０１３年 公 开 的 《ＳＰ８００—５３管 理 信 息 安 全 风 险 》中对 ＡＰＴ 的定 义是 Ｊ：精 通 复杂 技 术 的 攻击 者 利 用 多 种 攻击 方案 （如 ：网络 ，物 理 和欺 诈 ），借 助 丰 富 资 源创 建机 会 实现 自己 目的 。这 些 目的通 常包 括对 目标 企业 的 信息 技 术架 构进 行 篡 改从 而盗 取 数 据 ，执 行 或 阻 止 一 项 任务 ，程 序 ，又或 者是 潜入 对方 架构 中伺 机进行 偷取 数据 。
２ ＡＴＰ案例 分 析
攻 击案例 ，从 ５个 维度 （基本 信 息 、准 备 、进 入 、驻 留 、
收获 ）详细分析其攻击 背景 、攻击方 案 、攻击溯 源手段
我们收集 了从 ２００８年 到 ２０１５年 的 １８０个 ＡＰＴ 等关键技术 。下面 （表 １）列 出 了 ５个 ＡＰＴ典 型攻击
Ａｂｓｔｒａｃｔ：Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ ｔｈｒｅａｔ（ＡＰＴ）ｉｓ ｏｎｅ ｏｆ ｔｈｅ ｈａｒｄｅｓｔ ｔｏ ｇｕａｒｄ ａｇａｉｎｓｔ ａｔｔａｃｋ ｉｎ ｔｈｅ ｗｏｒｌｄｗｉｄｅ
ｉｎｆｏｒｍ ａｔｉｏｎ ｓｅｃｕｒｉｔｙ ｆｉｅｌｄ．Ｔｈｉｓ ｐａｐｅｒ ｃｏｌｌｅｃｔｅｄ １８０ ＡＰＴ ａｔｔａｃｋ ｃａｓｅｓ ｆｒｏｍ ２００８ ｔｏ ２０１５．Ａｎｄ ８９ ｔｙｐｉｃａｌ ａｔｔａｃｋ ｃａｓｅｓ ｗｅｒｅ ｓｅｌｅｃｔｅｄ ｆｏｒ ｄｅｐｔｈ ｐｒｏｆｉｌｉｎｇ，ａｃｃｏｒｄｉｎｇ ｔｏ ｉｔｓ ｔａｒｇｅｔ，ｄｕｒａｔｉｏｎ，ａｔｔａｃｋ ｔａｒｇｅｔ ｄｉｓｔｒｉｂｕｔｉｏｎ， ｗｈｅｔｈｅｒ ｎａｔｉｏｎａｌ ｓｕｐｐｏｒｔ ｆａｃｔｏｒｓ．Ｗ ｅ ｓｕｍｍ ａｒｉｚｅｄ ｔｈｅ ＡＰＴ ａｔｔａｃｋｓ ｉｎ ｄｉｆｆｅｒｅｎｔ ｓｔａｇｅｓ ｏｆ ｔｈｅ ｌｉｆｅ ｃｙｃｌｅ ａｎｄ ｉｔｓ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｆｒｏｍ ｆｉｖｅ ｄｉｍ ｅｎｓｉｏｎｓ． Ｋ ｅｙｗ ｏｒｄｓ：ＡＰＴ ；ａｔｔａｃｋｉｎｇ ｍｅｔｈｏｄ；ｓｐｅａｒ—ｐｈｉｓｈｉｎｇ；Ｐｕｄｄｌｅ ａｔｔａｃｋｉｎｇ；０ｄａｙ ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ
收 稿 日期 ：２０１６—１—１２ 作者简 介 ：李建方 （１９８９一），男 （汉族 ），山东菏泽人 ，中国传媒大 学计 算机学院研究生．Ｅ－ｍａｉｌ：ｊｓｊ３１ｊｆ＠ １６３．ｅｏｍ
z z z PsgiolePfrp
５２
中 国传 媒 大 学 学 报 自然 科学 版
第 ２３卷
分布 、是否 国家支持等 因素 ，我们选 取 以上 ８９个典型
攻击事件 ，根据 其攻击 目标 、持 续 时间 、攻击 目标地 理 案例 的基本信 息 ，攻击手段和 时间影响 。
表 １ ２００８—２０ቤተ መጻሕፍቲ ባይዱ５年 间 ５个 典型 案例 分析 列表
Ｒｅｓｅａｒｃｈ ｏｎ Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ Ａｔｔａｃｋ Ｔｅｃｈｎｉｑｕｅｓ
ＬＩ Ｊｉａｎ—ｆａｎｇ，ＺＨＡＮＧ Ｓｈｉ—ｄｕｏ （Ｓｃｈｏｏｌ ｏｆ Ｃｏｍｐｕｔｅｒ，Ｃｏｍｕｎｉｃａｔｉｏｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｃｈｉｎａ，Ｂｅｉｊｉｎｇ １０００２４，Ｃｈｉｎａ）
高 级 可 持 续 威 胁 攻 击 关 键 技 术探 究
李建方，张士铎
（中国传媒大学计算机学 院，北京 １０００２４）
摘 要 ：高级 可持 续 威 胁 （ＡＰＴ）是 目前 全 球 范 围 内 互 联 网 安 全 领 域 最 难 防 范 的 攻 击 之 一 。本 文 收 集 了从 ２００８年 到 ２０１５年 的 １８０个 Ａ 攻击事件 ，根 据其攻击 目标 、持 续时间、攻击 目标地理 分布 、是否 国家支持 等 因素 ，选取其 中 ８９个 典 型 攻 击案 例 进 行 深 度 剖 析 。从 ５维 度 上 详 细 分 析 了其 攻 击 背 景 ，攻 击 方 案 ，攻 击 溯 源 ，并 总 结 了 ＡＰ Ｔ 攻 击 生命 周 期 及 其 各 阶段 特 点 。 关键 词 ：Ａ ；攻 击 手 段 ；鱼 叉 式 钓 鱼 ；水坑 攻 击 ；０ｄａｙ漏 洞 中 图 分 类 号 ：ＴＰ３０９．２ 文 献 标 识 码 ：Ａ 文 章 编 号 ：１６７３—４７９３（２０１６）０３—００５１—０５
第 ２３卷 ，第 ３期
中 国 传媒 大学 学报 自然 科 学 版
２０１６年 ６月 ＪＯＵＲＮＡＬ ＯＦ ＣＯＭＭＵＮＩＣＡＴＩＯＮ ＵＮＩＶＥＲＳＩＴＹ ＯＦ ＣＨＩＮＡ （ＳＣＩＥＮＣＥ ＡＮＤ ＴＥＣＨＮＯＬＯＧＹ）
Ｖｏ１．２３，Ｎｏ．３ Ｊｕｎ，２０１６
z z z PsgiolePfrp
１ 引 言
近 些 年 来 ，互 联 网空 间 的安 全 形 势 发 生 了 巨大 改 变 ，ＡＰＴ攻击 增 长趋 势呈 指数 式 发展 ，成 为最 具威 胁 的 网络攻 击 方式 。与传 统 的来 自病毒 和 木 马的安 全 威胁 不 同 ，ＡＰＴ 攻 击 破 坏 性 之大 、隐蔽 性 之 强 ，持 久性 之 久等 特性 ，让 如今 企业 单 位 所 面 临 的 网络 安 全 风险 愈 加 复 杂 。现 有 的 网络 防 御 系 统 很 难 抵 御 ＡＰ Ｔ 攻 击 。 国 外 专 家 学 者 通 过 分 析 每 次 攻 击 的特 点 ，认 为攻 击 Ｇｏｏｇｌｅ、ＲＳＡ、Ｃｏｍｏｄｏ等 大公 司 的黑 客使 用 了前 所 未有 的 战术 ，组合 了加 密 、隐秘 编程 技