基于OSSIM系统的APT攻击检测实践
很多网络安全防御体系比较弱的计算机都遭受过APT攻击，其中不乏一些重要领域的计算机，虽然一些被攻击的目标早已安装了防病毒或者其他安全检测软件，但依然遭受APT攻击的持续威胁，这种威胁可能持续一段很长时间不被发现。
为了解决这些这种APT问题，本人曾经在计算机节点、接入层交换机、服务器、核心交换机和网络边缘的安全设备上提出了多种解决方案，可收效甚微，关键在于缺乏一种高效的检测技术，下文中提出的一种基于OSSIM平台(开源SIM技术)的APT攻击检测体系能够实时检测APT攻击，为安全人员迅速做出响应，提升网络安全防护能力。
1. APT的显著特征
4.检测与防御技术
图3 OSSIM中展示的各类攻击报警 (2)可扩展--收集安全数据的平台必须能在横向和纵向进行扩展，以处理来自企业内部和外部的海量安全事件，深入分析网络流量的同时会产生大量pcap文件，这会使安全分析平台的数据成倍增加，OSSIM通过分布式多层存储体系结构处理了密集型数据。
(3)可关联分析-具有一定的智能分析是因为内置的关联分析引擎的缘故。
传统计算机安全机制偏重于静态的封闭的威胁防护，所以只能被动应对安全威胁，往往是安全事件发生后才处理，面对黑客攻击，在入侵过程中，检测到扫描、注入、暴力破解和漏洞利用攻击时OSSIM的关联引擎从多数据源获得数据，通过抓包和多数据源收最大范围和深度收集有效信息，比如在应用系统日志中有相关登录失败等异常指标，进行主动安全分析，在事件发生阶段就发出预警信息，如图4~图6所示，通过这些可视化的报警以便管理员实现快速响应。
图6 发现恶意程序 虽然使用OSSIM系统可对我们了解发现APT攻击有所帮助，在大型网络中对于APT防控仅通过一两套系统是不够的，检测和防御APT的研究工作需要长期、深入了解网络内部各个安全点之间的综合信息交换，加强硬件及软件的安全配置，加强相关安全人员的安全意识和技术培训，对网络流量及访问行为进行严格审计，制定更加详细的攻击应对方案，并确保全面防护的高级预防和检测。