APT的品牌域名分析报告
高级可持续攻击(APT)攻防分析
基于异常流量的攻击
• • • •
网络扫描嗅探的异常流量 远程溢出数据 内网病毒木马爆发的异常流量 数据回传时的异常流量
攻击
回传
检测手段
主动攻击检测
恶意流量 攻击检测
已知漏洞 检测
0day漏洞 检测
动态行为 分析
综合关联 分析
发现 APT
检测手段
• 基于主动web的攻击检测
– 通过分析web流量定位其中的恶意攻击
officepdf数据回传时的异常流量攻击攻击检测手段主动攻击检测主动攻击检测恶意流量攻击检测恶意流量攻击检测已知漏洞检测已知漏洞检测0day漏洞检测0day漏洞检测动态行为分析动态行为分析综合关联分析综合关联分析发现apt发现apt检测手段浏览器0day漏洞web攻击浏览器漏洞浏览器漏洞框架漏通过特征匹配的方式定位已知病毒木马检测手段通过检测文件的溢出漏洞点和溢出攻击的特点发现基于文件的0day恶意攻击检测手段通过动态分析的对目标进行行为特征分析发现其中的恶意行为从而发现攻击注册表行为检测手段通过对流量的变化的行为特征分析发现网络中的异常流量从而发现恶意攻击多维度检测源目ip分布访问频度协议类型等合规协议的检测aboutmeaboutme目前就职于杭州安恒信息技术有限公司任信息安全服务部副总监研究院安全分院dbappseclabdbappsecuritycomcn负责人高级安全研究员
利用爆炸案热点的新APT攻击
黑客利用民众对波士顿马拉松爆炸案和德州化肥厂爆炸案的关注开展 组合拳式的攻击。攻击方式包括钓鱼、iframe重定向、Redkit漏洞利用 包、僵尸网络攻击诸多手段。黑客的攻击通过Zeus、Kelihot僵尸程序感 染了大量的计算机，偷窃金融账号和个人信息，发送恶意邮件或劫持个
apt 分析报告
分析报告：APT（高级持续性威胁）分析1. 引言APT（高级持续性威胁）是指那些利用高级技术手段进行攻击，并能够持续地渗透和控制目标系统的威胁活动。
本文将通过逐步的思考过程，从APT的概念、特征、常见攻击方式、检测与防范等方面，对APT进行分析。
2. APT的概念APT是一个广义的概念，一般用于描述那些高级、隐蔽和持久性的网络攻击活动。
与传统的网络攻击相比，APT更具有组织性、目标性和长期性。
APT的目标往往是政府机构、军事机构、金融机构和大型企业等拥有重要信息资产的组织。
3. APT的特征APT攻击具有以下几个特征： - 低调隐蔽：APT攻击者通常会采用高级的技术手段，如零日漏洞、社交工程等，以保持低调并避免被发现。
- 持久性：APT攻击者通过持续渗透目标系统，并控制关键节点，以确保长期的存在和操控能力。
- 高度组织化：APT攻击往往由高度组织化的团队执行，包括攻击者、开发者和后勤支持等角色。
- 针对性：APT攻击是有目标性的，攻击者会对目标进行精确的侦察和定制化的攻击策略。
4. APT的常见攻击方式APT攻击采用多种方式进行，其中常见的几种方式包括： - 零日漏洞利用：攻击者利用尚未被厂商修复的漏洞进行攻击，以绕过目标系统的防御机制。
- 社交工程：通过钓鱼邮件、诱导点击等方式，诱使目标用户提供敏感信息或下载恶意软件。
- 后门植入：攻击者通过植入后门程序，获取对目标系统的持久访问权限，并在需要时进行操控。
- 假冒认证：攻击者冒充合法用户或系统管理员，获取特权操作权限。
5. APT的检测与防范为了有效检测和防范APT攻击，可以采取以下措施： - 安全意识教育：加强员工的安全意识培训，提高对社交工程和钓鱼攻击的辨识能力。
- 持续监测和日志分析：建立完善的安全监测系统，对网络流量和系统日志进行实时监控和分析，及时发现异常活动。
- 漏洞管理和补丁更新：定期对系统和应用程序进行漏洞扫描，及时修复和更新相关的补丁。
寻找APT的关键词——APT的本质思考
寻找APT的关键词——APT的本质思考安天实验室寻找APT的关键词——APT的本质思考Seak编者按：本文根据作者2013年9月23日在互联网安全大会APT分论坛的报告录音整理，作者后期做了较多删改。
如果说一切旧制度都能在新的社会体制里借尸还魂，那么在新威胁中也同样能找到旧威胁的影子。
新威胁与旧威胁中继承的部分可以让我们快速找到设防点，而新威胁与旧威胁的差异则将是我们定位新威胁的关键。
——题记一、查询：APT的起源和已有的定义“在2005年，首次采用社工邮件投放木马以渗透敏感系统获得信息的事件由UK Cert 与US Cert公诸于世，但并未采用APT这一专属名词。
而在攻击伊朗核设施的震网蠕虫安全事件引起世人瞩目后，伊朗政府首次将相关威胁定义为APT。
”以上说法是我们从维基百科词条“Advanced Persistent Threat”[1]中翻译和概括得出的，该词条的表述清晰而精彩，但其中对APT来源的描述则令我们怀疑。
从时间和逻辑上，这个结论似乎都存在偏差。
相比而言，更合乎逻辑的说法来自微软的安全研究者Peter Cap在Bruce Schneier Blog上的留言[2]，Peter认为“APT一词最初起源于2005-2006年间在空军工作的网络安全工程师们对于一些安全事件的描述，他们创造了这个词以使公众不对此类安全事件小题大做…..”我们亦未找到更多的、权威的支撑性文档，但显然Peter的说法更可信。
很多机构和组织都尝试给出了APT的定义，如Dell SecureWorks的有关文献认为，APT 是“由特定组织（政府）针对某一特定目标实体具备持续且有效的攻击能力及动机的威胁。
这个词通常也被视为是网络威胁，尤其是采用基于互联网（物联网）方式的情报收集技术来访问敏感信息的网络威胁。
与个体入侵者相比而言，后者缺乏保持高级且长期持续的足够资源。
”[3]Mandiant公司则认为：能力优越的攻击团队成功地“扩展”了（攻击）目标，包括政府和国防相关的目标、研究人员、制造商、律师事务所、甚至非盈利组织。
APT30-网络间谍活动分析
APT30-网络间谍活动分析virustracker · 2015/04/17 11:32from：https:///rs/fireye/images/rpt-apt30.pdf0x00 介绍APT30非常擅长执行长期的网络攻击活动，并且从2005年开始，这个黑客组织就一直成功地维护着相关的攻击工具，攻击策略和基础设施。
木马的主要攻击目标是位于东南亚和印度的组织机构，我们怀疑这个网络间谍活动是一次地区性的攻击活动。
通过分析木马，我们发现这次间谍活动已经持续了数十年，受攻击的目标大多是政府和商业组织；黑客想要窃取这些组织所掌握的地区性政治，经济和军事情报。
我们把这个黑客小组叫做APT30。
他们之所以可怕不是因为他们有能力发动长期的间谍活动，或者是地区性攻击行动；而是因为他们至少从2005年开始，就一直成功地维护着相关的攻击工具，制订着攻击策略，并隐藏着基础设施。
我们通过分析APT30，大致地了解了这个小组的入侵行动，确定了他们是怎样在不改变作案方法的情况下，持续性地渗透某一地区的大量组织机构。
根据我们对木马的研究，我们估测了APT30小组的运作方式：他们首先合作确定目标的优先级，并根据计划开发木马。
他们的主要任务是从目标手中窃取大量的敏感信息，攻击目标可能包括政府的机密网络，以及其他通过正规途径无法访问的网络。
虽然并不是只有APT30在尝试侵染隔离网络（air-gapped networks），但是他们却早在2005年时，就考虑到了这种方案，远远地领先于其他的黑客组织。
根据APT30的行动计划和维护能力，以及他们的地区性目标选择和攻击任务，我们有理由相信这个黑客组织的背后有国家的支持，在本文中，我们没有研究是行动的幕后推手，而是全面分析了这个黑客小组的发展计划。
0x01 关键发现APT30持续开发并改进着一系列的集成工具，并且他们在这10年中重复使用了一些基础设施，由此可见，他们的任务是长期的。
竞品分析报告模板
输入标题
单击此处修改您所需要添加的文本单击 此处修改您所需要添加的文本
输入标题
29%
输入标题
单击此处修改您所需要添加的文本单击 此处修改您所需要添加的文本
单击此处修改您所需要添加的文本单击 此处修改您所需要添加的文本
BUSINESS
用户报告
Please add in this text, the template. Please add in this text, the template
02
添加的文本
输入你的标题
单击此处修改您所需要添加的文本单击此处修改您所需要
03
添加的文本
竞品分析
输入你的标题
单击此处修改您所需 要添加的文本单击此 处修改您所需要添加 的文本单击此处修改 您所需要添加的文本
输入你的标题
单击此处修改您所需 要添加的文本单击此 处修改您所需要添加 的文本单击此处修改 您所需要添加的文本
02
单击此处修改您所需要添加的文本单击 此处修改您所需要添加的文本单击此处 修改您所需要添加的文本
03
单击此处修改您所需要添加的文本单击 此处修改您所需要添加的文本单击此处 修改您所需要添加的文本
市场分析
输入你的标题
单击此处修改您所需要添 加的文本单击此处修改您 所需要添加的文本单击此
处修改
输入你的标题
主讲时间：202X
BUSINESS
202X.XX
目录
BUSINESS
市场分析
Please add in this text
业务发展
Please add in this text
竞品分析
Please add in this text
高级持续性威胁(APT)解析
高级持续性威胁(APT)解析高级持续性威胁（Advanced Persistent Threat，简称APT）是指一种高度复杂、有组织、长期持续的网络攻击，旨在窃取机密信息或破坏目标系统。
与传统的网络攻击相比，APT攻击更具隐蔽性和持久性，攻击者通常具有强大的技术实力和资源支持，能够长期潜伏在目标网络中进行监控和渗透。
本文将对高级持续性威胁进行深入解析，探讨其特点、攻击手段以及防范措施。
一、高级持续性威胁的特点1. 高度复杂性：APT攻击通常由专业的黑客团队或国家级组织发起，攻击手段多样化，包括社会工程、漏洞利用、恶意软件等多种技术手段的组合应用，攻击链条较长，难以被传统安全防护机制所检测和阻止。
2. 长期持续性：APT攻击具有持续性和耐心性，攻击者会长期潜伏在目标网络中，通过渗透测试、信息收集等阶段性行动，逐步获取目标系统的权限和敏感信息，攻击过程可能持续数月甚至数年之久。
3. 隐蔽性强：APT攻击通常采取隐蔽性手段，如零日漏洞利用、定制化恶意软件等，以规避传统安全防护设备的检测，使攻击者能够长期潜伏在目标网络中进行监控和控制。
4. 针对性强：APT攻击通常针对特定的目标进行定制化攻击，攻击者会事先对目标系统进行深入的侦察和信息收集，制定专门的攻击策略和方案，以确保攻击的成功性和有效性。
二、高级持续性威胁的攻击手段1. 社会工程：攻击者通过钓鱼邮件、钓鱼网站等手段诱使目标用户点击恶意链接或下载恶意附件，从而感染目标系统，获取系统权限。
2. 漏洞利用：攻击者利用系统或应用程序的漏洞，通过渗透测试和漏洞利用工具对目标系统进行攻击，获取系统权限并植入后门。
3. 恶意软件：攻击者通过定制化的恶意软件，如木马、僵尸网络等，植入目标系统，实现对系统的远程控制和监控，窃取敏感信息。
4. 假冒身份：攻击者通过伪装成合法用户或管理员的身份，获取系统权限，执行恶意操作，窃取机密信息。
5. 侧信道攻击：攻击者通过监控系统的侧信道信息，如电磁辐射、功耗分析等，获取系统的敏感信息，破坏系统的安全性。
八大典型APT攻击过程详解
八大典型APT攻击过程详解APT攻击是近几年来出现的一种高级攻击，具有难检测、持续时间长和攻击目标明确等特征。
本文中，小编带你细数一下近年来比较典型的几个APT攻击，分析一下它们的攻击过程。
Google极光攻击2010年的Google Aurora(极光)攻击是一个十分著名的APT攻击。
Google的一名雇员点击即时消息中的一条恶意链接，引发了一系列事件导致这个搜索引擎巨人的网络被渗入数月，并且造成各种系统的数据被窃取。
这次攻击以Google和其它大约20家公司为目标，它是由一个有组织的网络犯罪团体精心策划的，目的是长时间地渗入这些企业的网络并窃取数据。
该攻击过程大致如下：1) 对Google的APT行动开始于刺探工作，特定的Google员工成为攻击者的目标。
攻击者尽可能地收集信息，搜集该员工在Facebook、Twitter、LinkedIn和其它社交网站上发布的信息。
2) 接着攻击者利用一个动态DNS供应商来建立一个托管伪造照片网站的Web服务器。
该Google员工收到来自信任的人发来的网络链接并且点击它，就进入了恶意网站。
该恶意网站页面载入含有shellcode的JavaScript程序码造成IE浏览器溢出，进而执行FTP下载程序，并从远端进一步抓了更多新的程序来执行(由于其中部分程序的编译环境路径名称带有Aurora字样，该攻击故此得名)。
3) 接下来，攻击者通过SSL安全隧道与受害人机器建立了连接，持续监听并最终获得了该雇员访问Google服务器的帐号密码等信息。
4) 最后，攻击者就使用该雇员的凭证成功渗透进入Google的邮件服务器，进而不断的获取特定Gmail账户的邮件内容信息超级工厂病毒攻击(震网攻击)著名的超级工厂病毒攻击为人所知主要源于2010年伊朗布什尔核电站遭到Stuxnet蠕虫的攻击的事件曝光。
遭遇超级工厂病毒攻击的核电站计算机系统实际上是与外界物理隔离的，理论上不会遭遇外界攻击。
APT工艺简介及其市场概况
APT工艺简介及其市场概况一、产品概况①产品概述：APT是钨行业的主要原料，从某种意义上说，它是一种提纯了的钨精矿，也就是把含三氧化钨60%左右的钨精矿提纯到了含三氧化钨88.5%以上的钨中间制品。
在钨的最终应用产品上，70%以上是以APT为主原料的，其余则用钨铁、偏钨、钨酸以及废钨等。
②生产工艺：生产工艺原理根据所用钨精矿的种类及所含杂质成分的不同,可采用以下几种工艺生产仲钨酸铵：1. 黑钨精矿高压碱煮(烧碱)-离子交换-蒸发结晶法;2.黑钨精矿高压碱煮(烧碱)-溶剂萃取-蒸发结晶法;3.白钨精矿苏打压煮-离子交换-蒸发结晶法;4.白钨精矿苏打压煮-溶剂萃取-蒸发结晶法;5.白钨精矿烧碱氟盐压煮-离子交换-蒸发结晶法;6.白钨精矿烧碱氟盐压煮-溶剂萃取-蒸发结晶法;7.白钨精矿盐酸分解-氨溶-蒸发结晶法;其中离子交换法是被我国目前APT工厂广泛使用的一种生产方法，其原料可以是黑钨精矿、黑白混合钨精矿（一般工艺上要求Ca含量控制在8%以下）、粗制钨酸及钨酸钠，约有10%的APT是用钨精矿以外的原料制成的。
产品质量绝大多数能达到国标0级品APT要求。
部分APT厂家由于使用优质钨原料或者独特控制工艺，在APT的物理性能有所突破，主要体现在晶形、晶貌以及粒度方面。
离子交换法的一个主要缺陷就是废水排放量大，环保压力是我国现有APT 工厂普遍面临的一个重大问题。
目前，国内有二所高校在APT的制作工艺上有创新，一是江西理工大学的“白钨矿不变体系闭路循环冶炼工艺”，二是中南大学的萃取法处理低品位钨矿的冶炼工艺。
这两种工艺项目分别在江西赣州及河南栾川投入工业试验。
③国际标准国标与稀有金属协会欧洲标准对比表④用途主要用于制造三氧化钨或蓝色氧化钨制金属钨粉；金属钨粉的下游产品有钨材系列，如钨条、钨丝等电真空材料；有合金系列，如碳化钨、硬质合金、合金刀片、合金钻头、合金模具等；其他耐磨、耐压、耐高温的机械装备部件等。
ZFTC的品牌域名分析报告
“ZFTC”品牌域名分析报告尊敬的用户：随着经济全球化的深入发展，各市场领域的竞争已逐渐表现为品牌竞争。
根据中国互联网络信息中心（CNNIC）公布的最新数据显示,中国网民规模已达8.02亿，互联网普及率57.7%。
而网民规模增长的推动力正是由于互联网商业模式的不断创新以及线上线下服务融合的加速，因此，互联网时代的到来也意味着网络品牌标识的价值提升。
习总书记不断强调知识产权战略的重要性，同时每年5月10日“中国品牌日”的确立也标志着品牌建设与保护已经刻不容缓。
根据您查询的“ZFTC”品牌，ZFTC的品牌域名分析报告如下：目录一、品牌域名注册建站分析1、品牌域名注册分析二、品牌域名概况1、知名品牌案例1.1 知名品牌域名持有案例1.2 知名品牌域名回购案例2、ZFTC品牌域名匹配列表3、ZFTC品牌域名注册情况及获取建议三、品牌域名的安全风险分析1、风险因素1.1 品牌域名潜在竞争者1.2 TYPO域名1.3 企业品牌保护意识2、安全隐患四、品牌域名保护1、基础保护2、进阶保护3、全面保护正文一、品牌域名注册建站分析1、品牌域名注册分析1.1 ZFTC品牌域名注册分析ZFTC品牌域名总数量已注册未注册15871.2 ZFTC品牌域名所有人汇总分析所有人相关数量域名总量罗凤薇114合肥中帆特种工程材料有限公司11zhu hai yi mi ke ji you xian gong si119521Chen Wen Qiang14280二、品牌域名概况互联网时代，域名的价值不言而喻。
截止到2018年第一季度末，全球域名保有量达3.43亿，同比增长2.76%，环比增长0.38%。
中国域名保有量稳步增长，达4949万。
其中中文域名.中国增长明显，季度增长约55万。
域名是属于企业的宝贵无形资产，一旦与品牌有关的域名被滥用，对于企业的声誉或者流量都会造成巨大损失。
1、知名品牌案例由于域名本身属于知识产权的一种，自身具有独立性和唯一性，以及先得原则，再加上商标、商号、名称在不同领域可同时存在的特性，尽可能地使用和企业品牌或其他商业标识相一致的域名是网络品牌的保护基础。
域名分析报告
域名分析报告1. 引言域名是互联网上标识一个网站的名称，它的选择和管理对于一个网站的成功运营至关重要。
在本文中，我们将对一个特定的域名进行分析和评估，以便给出相关的建议和指导。
2. 域名注册信息分析首先，我们需要分析该域名的注册信息，包括注册人姓名、注册人联系方式、注册人所在地、注册机构等。
这些信息可以帮助我们了解该域名的所有者身份和背景，以及域名的可信度和可靠性。
根据我们的分析，该域名的注册人信息显示为曹先生，联系方式为***************，注册地址为北京市。
注册机构为某知名域名注册商。
3. 域名历史信息分析接下来，我们需要分析该域名的历史信息，包括域名的创建日期、更新日期、过期日期等。
这些信息可以帮助我们了解该域名的使用历史和稳定性。
根据我们的分析，该域名创建于2010年，最近一次更新日期为2021年，过期日期为2022年。
这显示了该域名已经存在较长时间，并且更新频率较高，表明该域名的管理者对其重视。
4. 域名解析记录分析域名解析记录是指将域名解析为 IP 地址的记录。
通过分析域名解析记录，我们可以了解该域名的服务器配置和网络性能。
根据我们的分析，该域名的主机记录为 www，指向的 IP 地址为 123.456.789.0。
同时，该域名还具有 MX 记录和 TXT 记录，用于邮件和其他用途的配置。
5. 域名安全性评估域名安全性是指域名在网络上的安全性和可信度。
一个安全性较高的域名可以带来更多的信任和用户访问。
通过对该域名的安全性进行评估，我们发现该域名具有以下安全特性：•SSL 证书：该域名使用了 SSL 证书，确保了用户与网站之间的数据传输加密安全。
•DNSSEC：该域名启用了DNSSEC，确保DNS 解析的安全性和可靠性。
•WHOIS 隐私保护：该域名启用了 WHOIS 隐私保护，保护了注册人的个人信息。
6. 域名 SEO 分析域名在搜索引擎优化（SEO）中扮演着重要的角色。
一个优化良好的域名可以提高网站在搜索引擎中的排名和可见性。
科来APT解决方案
恶意文件分析系统
• 多环境虚拟化分析引擎 • 样本文件动态行为实时分析 • 反分析、反虚拟化对抗 • 支持集群化部署 • C/S架构
2.2、产品部署 产品部署示意图
2.3、产品关键技术
样本文件
虚拟化分析环境
操作系统
样本文件
分析引擎
关联
关键技术1：基于硬件模拟的虚拟化
分 中析心动态分析技术 硬件模拟器
• 2011年3月17日，EMC公司宣布遭受 APT攻击，攻击者已获得其RSA SecurID的一次性密码（OTP）认证产 品的有关信息
• 2013年3月20日，新韩银行、农协银行 等韩国金融机构的信息系统遭到APT攻 击，信息系统瘫痪，服务几近中断
• 攻击策划时间长达8个月，成功潜入韩 国金融机构1500次，共使用了76个定制 的恶意软件，受害计算机总数达48000 台，攻击路径涉及韩国25个地点、海外 24个地点。
夹杂着各种目的的APT攻击，2013年是最不平凡的一年
1 、斯诺A登P爆T料背称美景国政与府入需侵求中国分网络析多年
棱镜门牵出“上游”监控项目 利用WPS 2012/2013 0day针对中国政府部门的定向攻击 3684个中国政府站点遭黑客入侵 .cn根域名服务器遭遇有史最大的DDOS攻击 利用热点的新型APT攻击 针对Adobe Flash漏洞的APT攻击 如家、锦江之星等酒店的用户信息泄露 梭子鱼多个产品惊现SSH后门账户 HP D2D/StorOnce备份服务器被爆发现后门 DLink路由器固件后门 腾达Tenda 路由器后门 黑客向NSA出售0day漏洞 Apache Struts2框架漏洞
APT攻击的网络解决方案 检测、追踪、取证与防护
大纲
1 背景与需求分析 2 产品与关键技术 3 案例分析 4 关于我们
安恒情报分析
安恒情报分析随着信息技术的发展，云和大数据技术得到了广泛应用，网络空间在我们的生活，乃至甚国计民生的发展中，扮演着越来越重要的角色。
没有信息安全就没有国家安全，网络空间安全面临的威胁和挑战与日俱增，如何通过有效的技术手段，提升网络空间安全，是当前整个安全产业面临的严峻话题。
2018年12月2日，安恒风暴中心举办第一届安恒信息威胁情报论坛，就“威胁情报赋能、信息安全智能”展开讨论。
议题一IT-DT-TI 我们何去何从如今，谁掌握了威胁情报，谁就掌握了网络安全对抗的主导权。
威胁情报在信息背景下应运而生，作为国内信息安全领军企业的安恒，如何看待威胁情报呢？安恒信息副总裁杨勃表示，目前安恒主要以机读情报和战略情报为主，真正为用户提供数据和决策支撑，结合用户场景，提升网络安防SaaS能力，从而进一步增强企业综合实力，提升企业的品牌影响力和专项实战能力。
威胁情报主要的价值在于：在战略层提供决策信息，在战术层提供可操作的建议；从时间维度看，基于历史知识达到预判未来的效果。
这些特征就如同战场上的侦查部队，获取风险情报，判断潜在威胁，为网络空间安全的攻击预警、应急响应及发展态势预测提供依据。
议题二安全数据大脑驱动智能安全当前网络安全面临了严重的信息不对称以及被动防御的瓶颈，制约了我们检测防御能力的提升。
威胁情报的出现，让我们拥有了“看见敌人”的能力，城市情报系统，安全风险监测，都依赖于威胁情报技术的应用。
那么，如何依托威胁情报技术发现风险，如何更好的让威胁情报技术在产品中落地？安全数据大脑产品经理金丽慧在《安全数据大脑，驱动智能安全》中讲到，安全数据大脑定位于IoC情报与城市级监管情报两个核心应用场景。
IoC致力于提升现有安全检测防御产品如APT/WAF/Ailpha等，对流量与日志中威胁的智能化分析，协助聚焦高威胁事件。
城市级情报应用在安全监管客户项目中，提供对整个城市的资产摸底，失陷检测与攻击检测。
由此，安全数据大脑团队首家发布城市级安全态势分析报告。
APT攻防之十大要点
数字传媒研究·Researchon Digital MediaAPT 攻防之十大要点作者简介：丛海内蒙古自治区新闻出版广播影视科研所高级工程师丛海内蒙古自治区新闻出版广播影视科研所内蒙古呼和浩特市010050【摘要】以APT （Advanced Persistent Threat 高级持续威胁）为代表的下一代网络安全威胁，综合利用了AET、零日漏洞、社交工程等多种高级技术手段，主要的攻击目标为高价值企业以及国家国计民生的基础设施（能源、金融、电信、交通等），存在攻击手段复杂、潜伏时间较长、检测难度较高等特点，一旦爆发，轻则造成公司商业机密泄漏威胁公司生存、重则造成公司或者整个行业瘫痪，可以说APT 攻击深刻的威胁着我国各行业基础设施网络安全环境。
笔者提炼了APT 攻防的十个重点问题，通过使用大数据海量信息收集、机器学习、生成、分析异常信息；通过网络安全设备中的流探针、沙箱、终端探针和日志采集器等功能收集完整性统计信息，从而更有效、快速、准确的判定，避免APT 攻击相关问题并提出一些应对措施，期望对APT 攻防给出一个整体态势的了解。
【关键词】APT零日漏洞被入侵水坑攻击CIS【中图分类号】TN948【文献标识码】B【文章编号】2096-0751（2021）01-0009-08APT 高级持续性威胁的攻击具有极强的针对性，目标攻击触发之前通常会收集大量关于用户和目标系统使用情况的精确信息，信息情报收集的过程更是社会学、工程学、艺术学的完美展示；这种攻击行为具备长期性，会长期潜伏在企事业单位等内外网络中，具有极强的隐蔽能力；并具备很高的技术含量，采用各种组合的高级攻击手段和技术，使得检测APT 攻击是件非常困难的事情。
对于APT 攻击我们需要高度重视，任何疏忽大意都可能为信41息系统带来灾难性的破坏。
由于APT攻击所带来的巨大损失，很多安全公司纷纷推出自己的APT解决方案，连全球第一家信息技术研究和分析公司（Gartner Group公司）也从3个维度5个方面对APT防御方案进行分类，包括从终端、网络和载荷进行描述。
高级可持续威胁攻击APT实践分享
APT实践 - 特征工程 - 特征分析
q 降维可视化 将提取的特征使用PCA算法降维，可视化如下图所示。从图可知，两类数据有明显区分性，所选特征较好。
APT实践 - 模型构建&评估
选择多种模型，评估效果。使用3折交叉验证，数据集(正常DNS流量 320677对，DNS隧道流量314518对，采样窗体长度5)。选 用非线性的RF、SVM、LR、DT等算法做模型构建。根据模型效果及执行效率和可解释性，最终选用随机森林算法。
Covert Channel：让信息以隐蔽的方式进行传递
TCSEC - 橘皮书定义：Storage Channels \ Timing Channels
企业中常见的隐蔽信道类型： - DNS Tunnel - HTTP Tunnel - ICMP Tunnel
动机 & 用途： - 绕过边界访问控制，访问外网 - 躲避网络入侵监测设备侦测 - 获得未授权的内网访问 - 数据的隐蔽传输，数据盗取 - 传播恶意软件
Payload Message Type： -A - AAAA - CNAME - MX - TXT - NULL - SRV - PRIVATE - 更多
数据传输编码或加密： - Raw - Base32、64、64u、128等 - 自定义密钥、ECDH、对称加密算法、SHA哈希校验等
APT - DNS Tunnel – DNSCAT2
1、域名长度 2、字母、数字比例 3、域名类型 4、子域名熵 ……
维度
1、请求响应时间 2、DNS 请求包大小 3、DNS 响应包大小 4、心跳域名 ……
静态模型
机器学习
动态检测库
APT实践 - 数据收集 - 自动化框架 功能：数据构造、样本收集、打标、入库
歌者之眼：国内APT事例揭秘
2015/1/5
2015/3/21 2015/3/13 2014/8/19 2014/8/7 2015/3/26 2014/10/28 2014/10/30 2014/12/31 2015/2/15
3
6 6 1 1 26 1 1 1 1
电信
科研、教育 非政府组织 能源 航空 金融、电信、政府 科研 政府 金融 政府 金融
• 涉及政府、国防、科研、教育等领域
H组织概述
5月阶段性分析情况
描述项
攻击时间 漏洞利用情况 是否利用0day漏洞 针对的国家 关注的行业 RAT种类 无 无 中国 政府、科研 4
具体内容
2014年-2015年5月
RAT主流类型的种类
C&C是否有动态域名
无
无
意外之旅
新组织？已知组织？
1 、传输压缩算法 接收数据（参数相似） 2、对抗（分析工具） 3、C&C选择方式 4、接收数据（参数相似） 随机选择C&C的方式
APT-C-04
APT-C-02 APT-C-03 APT-C-05
17
180 5 12
2014/4/3
2014/8/1 2014/11/3 2015/2/12
2014/6/29
2015/4/14 2014/12/15 2015/3/24
3
9 2 3
科研、教育
教育 非政府组织 政府
鱼叉邮件
鱼叉邮件 鱼叉邮件 鱼叉邮件
相关关联项
• • • • • • • 加密方式 自定义窃密函数 Shellcode后门 子体文件名 免杀对抗（静态） 免杀对抗（动态） ……
能力背后
可视化分析技术
• 基于多维数据的关联，通过多种图形展现方式，构造能够帮助安全专家，对 未知威胁进行分析、发现、回溯、跟踪及预警的能力
APT组织跟踪与溯源
APT组织跟踪与溯源前⾔在攻防演练中，⾼质量的蓝队报告往往需要溯源到攻击团队、国内⿊产犯罪团伙、国外APT攻击。
红队现阶段对⾃⼰的信息保护的往往较好，根据以往溯源成功案例来看还是通过前端js获取⽤户ID信息、mysql反制、⾼交互蜜罐诱饵投放等⼿段来获取。
除了红队，国内的⿊产团伙和国外的APT攻击也是能够加分的，所以平时对APT组织的跟踪发现起到了重要的作⽤。
APT攻击定义APT攻击（Advanced Persistent Threat，⾼级持续性威胁）是指组织(特别是政府)或者⼩团体利⽤当下先进的攻击⼿法对特定⽬标进⾏长期持续性的⽹络攻击。
APT攻击的⾼级体现在于精确的信息收集、⾼度的隐蔽性、以及使⽤各种复杂的⽹络基础设施、应⽤程序漏洞对对⽬标进⾏的精准打击。
攻击⼈员的攻击形式更为⾼级和先进，称为⽹络空间领域最⾼级别的安全对抗。
APT是⿊客以窃取核⼼资料为⽬的，针对客户所发动的⽹络攻击和侵袭⾏为。
APT(⾼级长期威胁)包含三个要素：⾼级、长期、威胁。
⾼级强调的是使⽤复杂精密的恶意软件及技术以利⽤系统中的漏洞。
长期暗指某个外部⼒量会持续监控特定⽬标，并从其获取数据。
威胁则指⼈为参与策划的攻击。
APT攻击的原理相对于其他攻击形式更为⾼级和先进，其⾼级性主要体现在APT在发动攻击之前需要对攻击对象的业务流程和⽬标系统进⾏精确的收集。
在此收集的过程中，此攻击会主动挖掘被攻击对象受信系统和应⽤程序的漏洞，利⽤这些漏洞组建攻击者所需的⽹络，并利⽤0day漏洞进⾏攻击APT组织架构图APT攻击常见⽅式鱼叉攻击⽔坑攻击路过式下载社会⼯程学即时通讯⼯具诱骗盘点那些攻击中国的APT组织Top5APT-C-00 海莲花OceanLotus(海莲花)APT组织是⼀个长期针对中国及其他东亚、东南亚国家(地区)政府、科研机构、海运企业等领域进⾏攻击的APT组织，该组织也是针对中国境内的最活跃的APT 组织之⼀，该组织主要通过鱼叉攻击和⽔坑攻击等⽅法，配合多种社会⼯程学⼿段进⾏渗透，向境内特定⽬标⼈群传播特种⽊马程序，秘密控制部分政府⼈员、外包商和⾏业专家的电脑系统，窃取系统中相关领域的机密资料，通过追踪它这些年的攻击⼿法和攻击⽬标，OceanLotus很有可能是具有国外政府⽀持背景的、⾼度组织化的、专业化的境外国家级⿊客组织APT-C-06 DarkhotelAPT-C-06组织是⼀个长期活跃的境外APT组织，其主要⽬标为中国和其他国家。
转载--APT分析及TTPs提取
转载--APT分析及TTPs提取APT 分析及 TTPs 提取Abstract本⽂对 APT 分析及 TTPs 提取进⾏讨论，总结出⼀套适⽤于安全分析、安全研究及企业应急响应⼈员的分析⽅法。
⽂章由六部分组成，引⽤了杀伤链模型，钻⽯分析模型，ATT&CK 等内容，介绍了攻击事件、APT 攻击的⼀些概念，简单概括了 “通过攻击者能⼒切⼊” 和 “通过基础设施切⼊” 的两种 APT 事件分析的⽅法。
着重探讨了 TTP 的提取、使⽤、应⽤、落地及归因判断。
提出了 “特征矩阵” 和 “事件链图”，设计了描述模型，同时进⾏了简单的可⾏性论证。
内容适⽤于具有⼀定经验的安全分析师，病毒分析师，威胁情报分析师等安全⼈员。
0x00 攻击事件什么是攻击事件？个⼈理解，攻击事件是在未授权情况下，对计算机系统或计算机资源进⾏访问、使⽤、更改、破坏的活动。
根据事件烈度和影响范围，可以分为以下⼏类：常规攻击Botnet恶意软件APT0x00-01 攻击事件甄别对攻击事件，可以从烈度、影响、指向以及特点等维度进⾏甄别。
常规攻击常规攻击⼀般事件复杂度低，杂⾳少，线性且可直接推测出攻击⽬的。
其中包括⾮定向钓鱼，端⼝，服务扫描，SQL 注⼊，拒绝服务攻击，会话劫持和中间⼈攻击，凭证重放等。
此类型事件，影响少，危害可控且可在短时间内进⾏排查修复。
Botnet僵⼫⽹络的特点就是⼤规模攻击，数据说话，涉及到RAT。
⽐如 Necurs、Gafgyt、Mirai 僵⼫⽹络上的垃圾邮件、DDoS 等。
恶意软件恶意软件指⼀些勒索、挖矿以及病毒⽊马。
涉及钱包、矿池；⽬的不同，会包含 RAT；不同的⼊⼝，也会出现标志性的⼯具和利⽤。
⽐如 WannaCry、Bad Rabbit、⼤量 MikroTik 路由器被感染进⾏恶意挖矿等。
APTAPT 攻击时间复杂度⾼，多个⾏为，多个指纹⾝份；有 loader、有Downloader、有 RAT、有 Malware。
CN-APT安平泰是什么？
CN-APT安平泰中国的定义“CN-APT安平泰中国”立足于中华文化的博大精深，通过心智、思维、行为修炼得以实现的幸福和谐的环境基础上，以高品质经典成熟男士商务休闲服饰为载体，实现“公平民主、平衡适中、平和协作、互利共赢”的新型品牌商业模式。
发展历程广州原田信息科技有限公司成立于2011年，以数据库营销为核心的新型电子商务品牌营运企业，“CN-APT安平泰中国”是广州原田信息科技有限公司为男士提供的融合了经典与创新的高品质服饰品牌，其品牌理念源自中华传统文化，但又贴近现代时尚生活。
通过一种幸福和谐的环境，来实现互利共赢的目标。
品牌理念1、 CN-APT的含意CN-APT中的CN是中国的缩写，亦是中国互联网域名的后缀；APT是“合适、恰当”的英文单词，也是“安平泰”的拼音的简写。
2、“安平泰”的由来“安平泰”源自《道德经》（即《老子》）。
《道德经》中有“执大象，天下往。
往而不害，安平泰。
”的句子，大意是：营造并保持系统内部、外部公平合理的氛围，越来越多的人就会汇聚过来。
在这种和谐的氛围中，人与人之间只有协调互助，没有阻力与妨碍，这种安宁稳定、平衡适中、和谐泰然的状态就是：安平泰。
其中：“安”字表示内部的安宁稳定；“泰”字代表外部的和谐泰然。
要达到内部和外部的和谐畅顺，“平”字所代表的“民主公平、平衡适中、平和协作、互利共赢”起着至关重要的作用。
内部民主公平则安，外部平衡适中则泰，内外部平和协作、互利共赢才是安平泰的最高境界。
品牌精神关键时刻方显英雄本色企业文化满意顾客、幸福员工、回报股东、服务社会营销模式采取直营销售与特许加盟相结合的渠道管理模式，通过缜密的营销信息管理、科学的营销培训以及适时的营销服务，与全国的合作伙伴形成良好的沟通与良性的互动，构建起互利共赢的经济体系。
CN-APT,给乐意分享的人!。
【亲测有效】Ubuntu18.04sudoaptupdate无法解析域名的解决方案
【亲测有效】Ubuntu18.04sudoaptupdate⽆法解析域名的解决⽅案问题描述如下：拿起了封尘已久的ThinkPad，输⼊ sudo apt update 的时候，发现这个命令变得不好使了，具体出现的问题如下图所⽰：#( 09/08/19@ 2:44下午 )( python@Sakura ):~/下载/shadowsocksr@manyuser✔sudo apt update忽略:1 /linux/chrome/deb stable InRelease命中:2 /linux/chrome/deb stable Release0% [正在连接 ] [正在连接 cz.archive.ubuntu.co0% [正在连接 c0% [错误:4 /obsproject/obs-studio/ubuntu bionic InRelease⽆法解析域名“”错误:5 /ubuntu bionic InRelease⽆法解析域名“”错误:6 https:///ubuntu/18.04/prod bionic InRelease⽆法解析域名“”错误:7 https:// apt/stable/ InRelease⽆法解析域名“”错误:8 https:///docker-ce/linux/ubuntu bionic InRelease⽆法解析域名“”错误:9 :10006/ubuntukylin xenial InRelease⽆法解析域名“”错误:10 /ondrej/php/ubuntu bionic InRelease⽆法解析域名“”错误:11 /ubuntu bionic InRelease⽆法解析域名“”错误:12 /repos/vscode stable InRelease⽆法解析域名“”错误:13 /openjdk-r/ppa/ubuntu bionic InRelease⽆法解析域名“”错误:14 /ubuntu bionic-updates InRelease⽆法解析域名“”错误:15 /openshot.developers/ppa/ubuntu bionic InRelease⽆法解析域名“”错误:16 /ubuntu bionic-security InRelease⽆法解析域名“”错误:17 /ubuntu-toolchain-r/test/ubuntu bionic InRelease⽆法解析域名“”错误:18 /ubuntu bionic-proposed InRelease⽆法解析域名“”错误:19 /webupd8team/java/ubuntu bionic InRelease⽆法解析域名“”正在读取软件包列表... 完成正在分析软件包的依赖关系树正在读取状态信息... 完成有 382 个软件包可以升级。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
“APT”品牌域名分析报告
尊敬的用户：
随着经济全球化的深入发展，各市场领域的竞争已逐渐表现为品牌竞争。
根据中国互联网络信息中心（CNNIC）公布的最新数据显示,中国网民规模已达8.02亿，互联网普及率57.7%。
而网民规模增长的推动力正是由于互联网商业模式的不断创新以及线上线下服务融合的加速，因此，互联网时代的到来也意味着网络品牌标识的价值提升。
习总书记不断强调知识产权战略的重要性，同时每年5月10日“中国品牌日”的确立也标志着品牌建设与保护已经刻不容缓。
根据您查询的“APT”品牌，APT的品牌域名分析报告如下：
目录
一、品牌域名注册建站分析
1、品牌域名注册分析
2、cctLD国家及地区代码顶级域名注册建站分析
3、NewgTLD新顶级域域名注册建站分析
二、品牌域名概况
1、知名品牌案例
1.1 知名品牌域名持有案例
1.2 知名品牌域名回购案例
2、APT品牌域名匹配列表
3、APT品牌域名注册情况及获取建议
三、品牌域名的安全风险分析
1、风险因素
1.1 品牌域名潜在竞争者
1.2 TYPO域名
1.3 企业品牌保护意识
2、安全隐患
四、品牌域名保护
1、基础保护
2、进阶保护
3、全面保护
正文
一、品牌域名注册建站分析
1、品牌域名注册分析
1.1 APT品牌域名注册分析
APT品牌域名总数量已注册未注册
15105
1.2 APT品牌域名所有人汇总分析
所有人相关数量域名总量
解晨立13
济南晶科办公家具有限公司11
广东晶科电子股份有限公司22
台州市精科工贸有限公司11
北京国网信息有限责任公司12569 jingkenengyuanyouxiangongsi(晶科能源有限公司)10
bei jing ai wen xin zai xian jiao yu ke ji you xian gong si11
SunGard Data Systems Inc.110
2、cctLD国家及地区代码顶级域名注册建站分析查看详情
总数量已注册已建站未注册0000
3、NewgTLD新顶级域域名注册建站分析查看详情
总数量已注册已建站未注册0000
二、品牌域名概况
互联网时代，域名的价值不言而喻。
截止到2018年第一季度末，全球域名保有量达3.43亿，同比增长2.76%，环比增长0.38%。
中国域名保有量稳步增长，达4949万。
其中中文域名.中国增长明显，季度增长约55万。
域名是属于企业的宝贵无形资产，一旦与品牌有关的域名被滥用，对于企业的声誉或者流量都会造成巨大损失。
1、知名品牌案例
由于域名本身属于知识产权的一种，自身具有独立性和唯一性，以及先得原则，再加上商标、商号、名称在不同领域可同时存在的特性，尽可能地使用和企业品牌或其他商业标识相一致的域名是网络品牌的保护基础。
1.1 知名品牌域名持有案例
企业品牌商号、商标官网域名品牌域名淘宝淘宝/taobao
百度百度/baidu
海尔海尔/haier
福特福特/ford
google google
apple apple
1.2 知名品牌域名回购案例
品牌品牌域名品牌域名购入价格购入时间
人民币：1亿2015年2月
京东人民币：3000万2013年3月
小米人民币：2240万2014年4月
唯品会人民币：1200万2013年10月
新浪人民币：800万2011年2月
注：以上数据来源于新闻报道，仅供参考。