论文部分内容阅读
近年来,一种新的网络攻击方式——APT(高级持续型渗透攻击)因为其特殊性和高危性逐步受到网络安全从业者的关注。高级持续型渗透攻击由于其颠覆传统病毒的特性,传统的检测方式难以方便的检测其存在和运行,而现有的检测方式有往往伴随着计算资源和时间资源的消耗。因此,基于动态监测APT病毒的目的,本文采用了行为分析的检测方法,结合MapReduce编程方式和支持向量机算法,构建了一种新的APT攻击检测模型。在APT攻击检测模型的构建中,主要分为以下三个步骤。首先,综合利用各种方法获取足量的APT病毒样本并搭建网络攻击测试平台。其次,利用SVM算法和MapReduce编程模型提炼行为模型。将得到的病毒样本于测试平台中运行,得到大量的行为报告数据,并与大量的纯净数据、安全行为数据一同使用Hadoop集群进行分析运算,生成训练集。最后,构建合适的测试集进行行为检测模型的功能检验,利用横向对比的方式验证使用Hadoop集群和SVM算法所带来的性能优化,并利用测试集得出检测模型的误报率和漏报率,与其他检测方法进行横向比对。在使用测试集对检测模型的检测实验中,得出该模型检测APT病毒的漏报率和误报率分别为7.62%和8.62%,远低于使用朴素贝叶斯分类器的检测模型的12.96%和13.22%,亦远低于基于关键词的判断方法的17.32%和53.12%。本模型的平均检测时间为262秒,远低于基于大数据的检测方法的1985秒。根据对照实验的结果显示,本文所构建的APT检测模型具有较好的检测APT病毒的能力,拥有较低的误报率和漏报率,而且拥有较低的时间成本,拥有一定的研究和实用价值。