随着网络攻击越发先进，复杂的多步攻击成为主流。与此同时，复杂的多步攻击的防护也变得越来越重要。攻击路径分析旨在通过网络属性，告警，漏洞和资产等信息分析已发生的攻击行为，挖掘攻击逻辑，快速定位攻击者的攻击路径，提供给安全运营人员进行事件和风险分析，进而可以更快的进行应急响应。本文目的在于探讨安全运营中智能化地提供可视化的攻击路径的重要性。
大家好，我是ABC_123。在前期的文章《第90篇：美国APT的全球流量监听系统（Turmoil监听与Turbine涡轮）讲解与分析》中，我着重介绍了Turmoil全球监听系统与Turbine涡轮任务下发系统，实际上这两个组件只是美国NSA一个强大项目Turbulence（湍流）的一部分。本期我们介绍这个系统的另一个组件：TUTELAGE态势感知主动防御系统。可以理解为我们常见的态势感知系统，但是它增加了强大的主动防御及对攻击者的反制功能，有效地保障了美国国防部NIPRNet（非保密因特网协议路由器网）的网络安全。
《碟中谍4》中，位于迪拜塔137层的数据中心，网络防火墙是军用级别口令和硬件网关，破解防护困难。于是阿汤哥只身从130楼爬到137楼，进入数据中心，绕过防护设备，最终黑掉了迪拜塔的数据中心。这里，我们看下入侵数据中心中心的思路：
本文介绍了一种从攻防两个维度研究分析网络安全对抗技术的方法。该方法基于Sysmon日志、ATT&CK标签日志、操作系统日志的分析实践，通过几种典型攻防对抗技术示例，着重介绍和分析攻击在主机层面特征，为蓝队人员“看得见”“看得清”网络威胁，提供了一种简单易学的技术修炼方法。也借此抛砖引玉，希望在安全规则优化或威胁狩猎的专家能有更多此方面技术分享。 “左右互搏术” 这里的“左右互搏术”，喻意为安全人员一边模拟红队或入侵者或企业内恶意人员的攻击，一边作为防守方从网络、主机等多层面检测和分析攻击，有助于安全人员
本文结合实际的环境，介绍云防火墙是如何防御常见的漏洞攻击。漏洞攻击行为的防御是通过云防火墙的入侵防御模块来实现的，目前 IPS 版、高级版、企业版和旗舰版均支持入侵防御功能，可以防御漏洞攻击。
在网络空间中，作为防御者需要“知彼”，就是回答在网络攻防对抗中谁攻击了我，攻击点在哪以及相关攻击路径，这便是攻击事件调查。威胁评估是从海量的数据中找到真正的攻击者，回答的是谁攻击了我的问题，除此之外，还需要找到完整的攻击路径实现攻击事件调查。攻击事件调查技术可以确定攻击源、攻击中间介质（中间点），以及其相应的攻击行为路线，以此制定更有针对性地防护与反制策略，达到主动防御的效果。可见攻击事件调查是网络空间防御体系从被动防御到主动防御转换的重要步骤。
随着全球数字经济的蓬勃发展，网络安全与物联网、工业互联网、云计算、5G 等多种场景和技术的融合极大地改变了网络安全防护体系。如何打造智能化的网络安全防护成为了学术界和工业界的热点。基于人工智能的安全运营技术方案（AISecOps）将大幅提升威胁检测、风险评估、自动化响应等关键运营环节的处理效率，大幅减少对专家经验的依赖，助力网络安全运营产业的技术升级。近年来，知识图谱技术得到了迅速发展，本文目的在于探讨智能的安全运营技术中知识图谱技术应该发挥何种作用。
复杂事件处理(CEP)既是把不同的数据看做不同的事件，并且通过分析事件之间的关系建立起一套事件关系序列库。利用过滤，聚合，关联性，依赖，层次等技术，最终实现由简单关系产生高级事件关系。
大家好，我是腾讯云防火墙的产品经理jojen，又见面了，今天在这里和大家聊一聊防火墙上的零信任防护和VPC间防火墙。
大家好，我是ABC_123。在前面两期着重给大家讲解了最近比较活跃的顶级加密勒索组织LockBit相关情况，包括他的钻石模型、攻击者画像、攻击案例、技战法分析等等，使大家对LockBit有了一个比较深入的了解。本期ABC_123给大家分享这一系列的最后一篇文章，讲讲如何防御加密勒索攻击。
本文为安全知识图谱技术白皮书《践行安全知识图谱，携手迈进认知智能》精华解读系列第六篇——威胁建模技术，重点介绍基于知识图谱的威胁建模应用。
网络攻击是一种没有硝烟的战争，随着物联网的兴起，以及近期等保2.0的发布，其网络攻击的破坏力和毁灭性是不容小觑的。那么，有些人就会想等保2.0会存在网络攻击吗？它们之间会有关联吗？
在自然语言处理（NLP）领域，词/句向量嵌入方法的使用已有许多年的历史。能够捕捉到单词或句子的含义，并将其转换为具有固定长度的嵌入向量，非常好地解决了大多数机器学习模型不擅长应对可变长输入数据，而无法应用到NLP领域的问题。
日渐频发的网络安全事件，时刻警示着各类企业加强外部安全防线的同时，也不应忽视内部安全威胁。诸如不规范操作、越级权限访问、企业内部网络攻击以及内部人员恶意破坏等，都让企业网络安全危机四伏。为帮助企业更好的应对内部威胁，腾讯安全运营中心（SOC）推出了UEBA分析能力，以帮助客户高效、准确、及时的检测风险，从而提升自身安全防护能力，有效降低内部威胁影响。 01 内部威胁让企业网络安全危机四伏 据2019年调查数据显示，全球企业因信息安全事件损失超过百亿，而其中超过60%的损失是由内部问题引起。在全球爆发的重大
在企业安全运维过程中，不论保障值守还是应急响应，告警监控工作所需的人力投入始终居高不下。安全运维人员需要对各种检测防护系统的告警进行研判，找到攻击行为的痕迹，从而及时作出有效应对。
前一篇文章【攻击意图评估：序】误报太多？谈海量告警筛选中初步探讨了目前安全运维中告警过多，而告警上的原始指标都难以直接区分其实际重要性的问题。结合安全运维值守工作的现场调查情况，我们曾提出两个猜想：
IPSG是IP Source Guard的简称。IPSG可以防范针对源IP地址进行欺骗的攻击行为。
安全运营（Security Operations, SecOps）的关键在于通过流程覆盖、技术保障及服务化，为企业等提供脆弱性识别与管理、威胁事件检测与响应等安全能力，以充分管控安全风险[1]。安全运营技术经历了单点攻防、边界防御、安全运营中心的发展历程，不断向着智能的安全运营技术方案（AISecOps）持续演进[2]。目前，需要进行威胁分析的网络安全数据包括各类系统产生的日志，终端侧、网络侧、沙箱侧、蜜罐侧的告警，以及威胁情报、知识库、IT资产、扫描的漏洞、HR 信息等多源异构的数据。相比于同构图只存在一种节点和边，可以包含不同类型节点和不同连接关系的异构图应用更加广泛，也更适用于网络安全场景。如何将数据抽象本体化，实现异构数据实体的一致性关联威胁分析，将基于异构图的威胁分析技术应用到网络安全运营中具有很高的研究价值。
五月的最后一天，伴着淅淅沥沥的小雨，由国内知名互联网安全新媒体FreeBuf 主办的2018威胁情报&APT攻击技术与趋势高峰论坛在上海证大美爵酒店盛大召开。本次高峰论坛话题聚焦APT攻击技术趋势与威胁情报的发展，分享和探讨威胁情报与APT分析检测如何在企业中落地。下面，就和小编一起来回顾下本次论坛的精华内容吧。
攻击溯源意如其名，就是回答在网络攻防对抗中谁攻击了我，攻击点在哪以及相关攻击路径。通过攻击溯源技术可以确定攻击源或攻击的中间介质，以及其相应的攻击路径，以此制定更有针对性的防护或反制措施，实现主动防御。可见攻击溯源是网络空间防御体系从被动防御到主动防御的转换的重要步骤。
在政企机构网络服务普遍上云的大背景下，攻击者持续活跃，并采用多样化的攻击手法对目标发起攻击，因此仅仅依赖PC时代的检测引擎是不够的。只有多种安全能力协作，梳理拼接攻击碎片，才能完成对完整攻击事件的分析研判。因此需要更加高效，覆盖场景更广，能够检测威胁事件全貌的安全方法论，腾讯安全威胁情报智能分析引擎应运而生。 就像福尔摩斯探案一样，安全研究人员首先面对的是不完整的事件告警片断，腾讯安全部署在云端的流量或行为探针、蜜罐系统每天获取的各类威胁事件告警信息数千万条，可疑样本文件上百万个。如此大的数据量，远远超出人工可处置的能力，同时对分析处置引擎的性能有极高的要求，否则迅猛增长的告警和可疑样本文件会迅速拖垮系统。 对企业安全运维人员来说，碎片化的事件告警，简直不堪其扰：处理吧，告警不明不白无头无尾，告警的严重程度也较难评估。不处理吧，会不会有严重威胁被放过呢，而告警数量又较多，该如何下手？企业安全运维团队陷入选择难题，在人手不足的情况下，问题放一放拖下去的可能性较大。 腾讯安全技术中心将每天数千万条告警事件抽丝剥茧，整理出攻击脉络，对上百万的可疑样本文件进行自动化的行为分析，找出攻击者的作案规律，自动还原网络攻击事件全过程，并对攻击者行为进行画像，其难度堪比福尔摩斯探案。将海量的安全告警数据化繁为简、化未知为已知，是威胁情报智能分析引擎的根本任务。
安全功能完善，并且购买三年还能享有五折优惠！让你用的安心，买的放心。腾讯云主机安全防护你值得信赖！
随着黑客攻击入侵技术的不断发展，在一些网络场景下入侵检测系统无法对网络威胁进行有效的发现。基于这种情况，NTA (Network Traffic Analysis)网络流量分析于2013年首次被提出，并且在2016年逐渐兴起。
据Security affairs消息，荷兰日前公开宣布，绝不容忍可能威胁到国家安全的勒索软件攻击行为，必要时候可以动用情报或者军事的力量进行遏制。
“APT是一种连续性针对被攻击者系统存储的攻击行为，而且这种攻击通常没有明显的攻击特征。而AVT则会在获取敏感资料并准备离开被攻击系统前清除曾进行过相关操作的痕迹。” 高级持续威胁（APT） APT（又称“高级持续攻击”）常常用于获取一个网络的权限，随后在某一段较长的时间段内获取目标组织的网络及系统中的敏感数据，并秘密监视相关系统的活动。多数相关的研究人员都认可美国政府在2005间所发布的安全分析文件中所描述的“一种针对特定对象的资产或敏感信息而发动的复杂及持久性网络攻击性”中对APT这个行为的定义。 这个
所谓 EDR 即 Endpoint Detection and Response (终端探测与响应)。EDR 和市场上常见的EPP（ Endpoint Protection Platform）不同，EDR 更注重“探测”和“响应”。真实的网络攻击并不是一蹴而就的，往往伴随着多次不同的攻击，最后才能突破防御达成攻击目的。入侵一定会有痕迹，EDR 希望在最终灾难发生之前，通过对入侵方法的探测和及时高效的安全响应（警报、隔离等多种方式），将安全事故发生的几率降到最低。
在企业安全运营中，安全运营中心（SOC）部署了各种安全设备，收集到了海量安全数据，并针对这些数据开发出各种检测模型，但随之而来的问题就是：
自动化，快速准确地实现攻击溯源是网络空间防御体系向着智能化方向发展的重要基础。尽管学术界和工业界已经有了很多针对网络攻击溯源技术的研究，但是自动化攻击溯源本身却并没有取得实质性的突破。本文以真实的攻击溯源案例为基础，从数据获取和数据关联两个方面分析了自动化攻击溯源所面临的困难。
近期，美国DHS继续公布了一份《”灰熊草原”网络攻击活动的深入分析》报告（Enhanced Analysis of GRIZZLY STEPPE Activity），与上次的联合分析报告（JAR-16-20296）不同，此次报告中给出了更多关于俄罗斯黑客活动的检测响应技术性证据。 这些证据涉及攻击活动的前期踩点侦查、攻击程序武器化、恶意文件传播、漏洞利用、驻留程序安装、C&C控制、目标攻击行为和检测响应等方面，通过入侵指纹、恶意代码、网络行为等特征，全方位描述和刻画了整个“灰熊草原”（GRIZZLY S
简介：APT（Advanced Persistent Threat）--------高级持续性威胁。是指组织(特别是政府)或者小团体利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。
● 攻防速度不对等：攻击者突破防线、偷走数据的速度远远快于防守方发现攻击、阻断攻击的速度，防守方的响应速度不够快。
用户使用了公有云后，存在安全责任的边界。就像客户使用了云桌面，中病毒、删除驱动造成无法登陆等问题出现， 都会联系到云服务商进行处理。安全责任边界的清晰，将使云等保测评中，双方对维护、投资、整改、测评的边界有明确的界定。
随着2018年的到来，回顾了一下我的2017年，除了肚子大了点，胖了点，酒量多了点以外，好像17年并没有特别出彩的事情，还是一如既往，勤勤恳恳埋头苦干的一年，值得庆幸的是我们自己研发的威胁情报分析平台总算是上线了。 今天分享给大家的，是一篇2017年末至2018年初的网络安全事件分析报告汇总，我将会结合我们的威胁情报分析平台，对这些安全事件进行一次汇总分析！（文中超链、 附件等阅读原文可见） 团队介绍 我们团队目前致力于基于机器学习算法，来帮助个人用户以及企业用户判断文件中是否存在恶意代码，并且目前已经
这个小工具的编写源于一个HW蓝队项目，我曾经作为蓝队人员值守了2周，期间发现很多蓝队人员对于反序列化系列漏洞原理不清楚，导致对设备告警的各种反序列化攻击不能有效地研判，也就是说不能底气十足地告诉客户，这个告警是设备误报、是扫描行为、是攻击行为、还是Web应用的用户正常行为。于是在这个项目中，我就慢慢变成了一个攻击流量研判的角色了，帮助客户对这些设备的告警进行研判。
ATT&CK框架是一个庞大的知识库，记载了各种各样的攻击战术和相关的具体技术方法。
近日，IDC发布了《IDC Technology Assessement: 中国公有云托管安全服务能力，2023》报告（以下简称“报告”）。腾讯云安全托管服务MSS凭借多年的技术积累和出色的服务能力，在报告的专家能力、漏洞及威胁检测、事件分析、威胁情报等六项评估中获得满分五星评价，总分位列第一。
2016年中国网络空间安全年报 9. 第三届世界互联网大会安全保障实践响 9.1. 安保工作投入 根据互联网大会上会务工作的线上业务特征，结合重大活动、会议的网络安保特点，本次大会网络安全保障工作的保障范围包含以下五点： 大会官网、注册网站、乌镇峰会APP和大会网络直播系统的安全运行； 乌镇景区及大会会场等核心区域接待、通讯、会务等相关信息系统的安全运行； 浙江省政府、省公安厅门户网站及省内主要媒体官网的安全运行； 大会举办地嘉兴片区党政机关网站的安全运行； 大会期间整体网络安全态势全程感知与应急指挥
2022年已经接近尾声。这一年，网络攻击态势依旧严峻，勒索攻击、供应链攻击等事件频发；这一年，网络安全产业迎来新的驱动力，涌现出一大批具有技术实力、产业深度的网安代表企业，也让WitAwards 2022中国网络安全行业年度评选的竞争变得更加激烈。 11月16日，在CIS 2022网络安全创新大会上海主会场，历时2个多月的WitAwards 2022中国网络安全行业年度评选迎来了最后的结果揭晓时刻。 WitAwards 2022中国网络安全行业年度评选分为「报名及提名」、「大众投票」、「专家评委投票」、
ATT&CK作为一套反映网络安全攻击的知识模型，自2013年提出以来越来越受到安全行业的关注，已逐渐成为网络攻击事件分析的新标准，在众多APT事件分析中得到广泛应用。
本文为安全知识图谱技术白皮书《践行安全知识图谱，携手迈进认知智能》精华解读系列第三篇——利用知识图谱助力攻击画像与威胁评估。主要利用知识图谱表示学习技术，对攻击源或攻击行为进行威胁评估。
1、伪装关键应用指纹 伪装常用中间件、更改http协议header头的server字段。可将linux改为IIS6.0。修改中间件配置文件，将移动通讯app的web服务页面配置成“错误”页面返回信息。修改网关系统配置指纹，将邮件系统指纹改为“Moresec HoneyPot”，转移攻击者注意力。
“攻击是异常，异常不一定是攻击”，安全领域大部分的误报都可以用这句话来解释，这也是安全领域异常检测、UEBA等方法无法完全落地的重要原因，随着互联网用户网络行为的复杂化，企业业务、架构的快速更迭，海量的异常行为对于真实攻击的检测造成了巨大干扰。本期文章我们将浅析这些异常，并以内网横向移动为例，介绍一种处理这些异常找到真实攻击的方法。
当前企业环境面临的攻击越来越趋于隐蔽、长期性，为了更好的针对这些攻击进行有效的检测、溯源和响应，企业通常会部署大量的检测设备。安全运营人员需要根据这些检测设备的日志和告警来对攻击事件进行检测与溯源。然而攻击技术的发展通常领先于检测设备检测能力。当新攻击技术或是新漏洞被发现时，通常是以报告的形式公开，针对这些新攻击的检测能力往往很难快速的部署到检测设备中。
伪装常用中间件、更改http协议header头的server字段。可将linux改为IIS6.0。
海量告警数据分析已经成为安全运营中心的头号问题，为了实现对高危告警的识别的，安全运营中心普遍都有一套自己运营维护的“高置信规则”列表，通过大量的专家经验不断对该列表进行更新，最终只需要研判在该列表内的告警的即可。该方式一方面能部分解决“告警疲劳”的问题，将待研判告警压缩到人工可处理的量级，另一方面通过不断地修整完善，该列表也能覆盖大部分高危攻击行为。
安全技术能力建设工作并非从零开始，而是以组织基础设施安全建设为基础，围绕组织机构的安全目标，建立与制度流程相配套并保证有效执行的技术和工具集，技术工具建议使用标准的安全产品或平台，也可以是自主开发的组件或工具，技术能力建设需要进行整体规划和实现，且要和组织的业务系统和信息系统等进行衔接。同时，安全技术能力需要保证覆盖组织业务使用的各个场景中的安全需求。根据OWASP提出的Cyber-defense-matrix，将各项安全技术分别映射到不同层次的安全对象中。
在这个数字化转型关键时期，以容器为代表的云原生技术凭借自身的优势，正在逐渐成为核心IT基础设施。云原生已经不再是少部分“创新者”的特权，而是成为了市场主流选择，容器、容器云逐渐成为工作负载的主流形态。
9 月 5 日纽约时报的一篇匿名文章《我是川普政府中的一名抵抗者》像一枚深水炸弹，激起了千层浪。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
