基于多维度分析的APT邮件攻击检测

电子邮件是APT (Advanced Persistent Threat)攻击中常用的攻击载体,本文针对APT邮件攻击提出了一种基于多维度分析的APT邮件攻击检测方法。首先,提取邮件头部和邮件正文信息,邮件附件文件还原;然后,分别通过邮件头部、邮件正文、情报检测、文件内容深度检测、邮件异常行为检测和邮件站点自学习等多维度进行分析;最后基于分析结果将邮件归类为普通邮件和可疑APT攻击特征的邮件。本文提出的方法既结合传统的邮件威胁攻击特征,并融入情报检测和附件深度检测,且考虑邮件异常行为分析,最后结合客户业务进行自学习分析,有效地提高了APT邮件攻击的检测准确率,为APT邮件攻击检测提供一种良好的检测方案。     

基于告警事件特征的网络攻击行为实时预警研究

针对当前网络告警数据误报率过高以及新型网络攻击行为难以预测的问题,本文提出基于告警事件特征的网络攻击行为预测方法：首先通过FP_tree树挖掘告警事件属性间的强关联规则,如果挖掘得到的频繁项与正常网络的访问事件属性频繁项相关,则剔除虚假告警事件;接着,采用序列模式算法挖掘正确告警事件的序列关系,如果该序列与某种网络攻击行为序列相关,则形成网络攻击的事件组合规则,实现网络攻击行为的有效预警。通过相关的实验过程和结果分析,表明本文提出的方法能够有效、实时预警网络的攻击行为,具有一定的应用性和扩展性。     

融合生成式神经网络和深度神经网络的流量异常检测

针对网络攻击隐蔽性和动态多变的特征,提出一种融合生成式神经网络和深度神经网络的流量异常检测方法,该方法针对网络流量数据不平衡问题,采用生成式神经网络实现样本库的扩充,在此基础上,采用Dense Net实现网络流量多层次特征的提取,该方法通过加强不同层次特征的传递,实现不同层次特征的融合,为网络流量异常识别提供基础。实验表明,本文提出的方法在准确率、召回率、漏检率以及平均处理时间均优于单纯使用CNN或LSTM的方法,因此,本文方法能够有效检测网络异常流量,具有一定的可用性。