简介：检测网络攻击

“世上充满了无人留意的明显之事。”——夏洛克·福尔摩斯

高级持续性威胁（APT）

任何安全专业人员最担忧的问题之一，便是网络中存在未被发现的恶意活动。隐蔽性是攻击者使用的主要手段，也是大多数恶意软件的行为特征。高级持续性威胁（APT） 是指一种能够在网络中长期潜伏、持续观察并回传信息而不被察觉的恶意软件。

注：安全厂商Damballa对APT提出了一个有趣的定义：“高级持续性威胁（APT）是一类针对企业和政治目标的网络犯罪。APT的成功依赖于在长时间运行过程中保持高度的隐蔽性。因此，其攻击目的通常超越了短期的经济利益，即使关键系统已被攻破且初始目标已达成，被入侵的系统仍会继续发挥作用。”

检测响应措施的属性

本节讨论的是以检测为核心的安全机制，即通过传感器生成告警，供安全人员响应。所采取的响应措施应具备以下属性：

• 事先定义
• 文档化记录
• 经过演练
• 向团队传达
• 定期审查
• 及时更新

对于没有明确定义响应流程的安全告警，其实际价值值得怀疑，往往只会产生噪音和分散注意力的无效工作。

本节重点介绍可用于辅助检测安全事件的战术、技术和程序（TTP）。防御性战术可包括部署单项控制措施，或实施更全面的安全解决方案，以提供多种类型的传感器。

安全传感器的重要性

若要依赖安全控制实现持续的实时监控，就必须确保这些传感器始终正常运行。换句话说，监控本身也需要被监控。未触发告警并不意味着没有发生安全事件。

例如，像心跳机制这样的运行状态监控，在实施任何安全控制时都可能发挥重要作用。这种心跳信号用于监测传感器的健康状况及其是否持续运行。可以设置仪表盘来展示心跳状态，从而提供对部署在网络和终端上的所有传感器整体健康状况的概览。

成熟度等级的应用

与第一章类似，以下每一项安全控制措施均根据其实现难度、维护复杂度、成本，以及其在典型组织信息安全体系基础中的重要性，标注了相应的安全成熟度等级。