李骏韬，施勇，薛质

(上海交通大学信息安全工程学院，上海200240)

基于DNS流量和威胁情报的APT检测

李骏韬，施勇，薛质

(上海交通大学信息安全工程学院，上海200240)

高级持续性威胁(Advanced Persistent Threat，APT)攻击是经过精心策划的高隐蔽性攻击，具有较高的检测难度。但是在APT攻击过程中，内外网通信是必不可少的一环，攻击者往往采用C＆C服务器方式或是DNS隐蔽信道方式进行通信。针对在APT攻击中广泛采用的几种隐蔽通信手段，结合了机器学习和威胁情报技术对DNS流量进行分析，在现有研究基础上，提出了新的基于威胁情报库的自进化检测算法，并取得较好的检测效果。

APT;DNS;威胁情报

0 引言

APT攻击在近年一直是网络安全的热点议题。APT攻击大量采用了木马，病毒，蠕虫，0Day漏洞等多种不同手段进行攻击，由于其攻击手段复杂、多变、而且往往构造巧妙，针对常见的攻击检测手段进行优化规避，具有高潜伏性、难发现的特点。[1－2]

虽然APT攻击具有多变的攻击手段，但APT攻击在进入了内网之后，极可能会采用一定的手段与外网的攻击方进行通信，通常，APT攻击会采用C＆C服务器[3－4]或是DNS隐蔽信道[5]的方式进行通信，本文通过DNS流量分析和威胁情报的方式对APT攻击进行检测。将检测重点放在DNS流量的原因如下:

(1)大部分C＆C服务器往往采用各种DGA、Fast Flux、Double Flux等方式隐藏服务器地址，需要通过DNS协议解析C＆C服务器IP。

(2)DNS流量采用明文传输，且与C＆C服务器隐蔽通信所采用的协议无关。

(3)DNS流量占网络流量比例较小，正常情况下仅占网络流量的0.3%～2%，系统开销较小。……