60、网络安全与字符识别技术研究

网络安全与字符识别技术研究

1. 感染后攻击系统的设计与开发

1.1 感染后行为分析及问题

感染后行为分析系统对植入恶意软件激活后易受攻击目标的行为属性进行建模。攻击者在目标上安装恶意软件后即完成植入。本研究分析了洛克希德模型最后阶段（即命令与控制阶段）的事件序列和行动。将收集到的恶意软件二进制文件在沙箱环境中执行，以发现网络痕迹、指令痕迹和系统调用痕迹。该系统可用于调查恶意软件引发的网络连接和内部系统进程执行情况。研究参考洛克希德的网络杀伤链模型，设计并开发了一个用于自动分析恶意软件的框架，并提出机器学习模型，利用统计算法对蜜网中观察到的异常事件进行聚类和分类，以及从沙箱环境中模拟的恶意软件中提取的特征，揭示目标网络企业中持续且未被检测到的网络攻击活动。

由于存在多种有效的攻击传播途径（如鱼叉式网络钓鱼、驱动下载），企业网络边界安全被突破已不可避免。此外，使用独特的攻击途径和针对特定目标定制的工具，使得传统检测机制难以检测此类攻击。因此，研究人员开始探索蜜罐技术等方法，以提供实时威胁警报、改进事件响应，并降低数据和员工凭证泄露的风险。

1.2 数据收集

1.2.1 蜜罐部署

部署了基于 HonSSH 蜜罐软件的高交互性蜜罐 Nebula。HonSSH 通过 SSH 安全隧道拦截网络攻击者与蜜罐之间的所有交互，捕获连接尝试，并复制使用 wget 或 scp 传输的文件，以便在分析时进行回放。Nebula 服务器位于网络攻击者和目标蜜罐之间。

1.2.2 Planet 9 安全服务器

该安全服务器是一个虚拟机管理程序安装，包含 Dionaea 蜜罐、Moloch、沙箱