01 APT防御的难题剖析
APT攻击的专业能力强、复杂性高，因而对其预防相对性艰难。攻击者在阴暗处根据社会工程学等方式搜集很多信息内容，而被攻击者一点也不知情人，那样的信息的不对称也引起了APT攻击的防御难题。
APT攻击个人行为特点无法获取、攻击方式多样化、攻击室内空间不确定性等特性正好也产生对其防御的难题。最先，APT一般通过零日系统漏洞获取权限，但根据获得和解析相对应攻击的特性来鉴别攻击个人行为通常有着滞后效应，这将导致实时监测APT攻击越来越很艰难，何况APT重视动态性个人行为和静态数据资料的隐秘性，如搭建隐敝安全通道、数据加密安全通道等；次之，APT攻击方式的多样化导致难以应用单一的方式方法创建实用的防御体制；最终，APT攻击室内空间的不确定性，如一切一个环节、一切一个互联网、一切边沿或核心的连接点等都是也许变成攻击总体目标，导致其安全防护实际效果的不确定性。
“延续性”和“社会工程学”的混和攻击方法是防御APT的另一难题。APT的延迟时间长期，就好似身体的慢性疾病，埋伏一段时间后很有可能随时随地暴发。据调查，APT攻击从发生到被看到的均值用时约为5年，是不是可以确保在5年的時间内一直关心一些数据信息？这在物理学全球都难以坚持不懈，何况在数据信息无处不在的网络环境。大数据的特点便是数据信息经营规模大、遍布无处不在，即数据信息的使用价值相对密度越来越更小、更分散化，进而导致更难对焦于高意义的数据信息，这恰好是互联网大数据自身所提供的攻击检验难题。殊不知，攻击者则正好很有可能一直不断关心着一些隐秘数据，这就将导致APT攻击束手无策。
02 APT防御的主要方式
APT是多种多样攻击方法的组成，因而也必须对它进行全方位的检验防御。
1. 恶意程序检验
大部分APT攻击全是根据恶意程序来攻击职工个人计算机，进而提升总体目标互联网和系统软件防御对策。因而，恶意程序检验对检验和防御APT攻击尤为重要。
恶意程序的检验关键分成二种：根据机器码的无损检测技术和根据研讨式的无损检测技术。
根据机器码的无损检测技术是根据对恶意程序的静态数据剖析，寻找该恶意程序中有着象征性的特点信息内容（指纹识别），如十六进制的字节数编码序列、字符串数组编码序列等，随后再运用该特点实现迅速配对。因而，根据机器码检验全过程一般分3个流程：第一步是现状分析，防病毒软件权威专家根据对收集的故意模板开展剖析，提取机器码；第二步是特征码进库，将要机器码添加特点数据库查询；第三步是检测服务，即对异常样版开展扫描仪，运用现有的特点数据库查询开展配对，一旦匹配取得成功，则判定为恶意程序，并輸出该恶意程序的有关信息。
根据研讨式的无损检测技术是根据对恶意程序的研究得到恶意程序实行中通用性的个人行为实际操作编码序列或构造方式，这种个人行为编码序列和方式一般在一切正常文档中非常少发生，如改动某一PE文档的构造、删掉某一系统软件重要文档、格式化磁盘等，随后再把每一个个人行为实际操作编码序列或构造方式依照风险水平排列并设置不一样的凶险水平权重计算值，在执行检验时，若个人行为实际操作编码序列或构造方式的权重计算值总数超出某一特定的阀值，即判断为恶意程序。研讨式无损检测技术开展检查时阀值的制定是重要，若阀值设置过大，则很有可能忽视一些风险实际操作，非常容易导致少报，但若设置过小，很有可能把一些一切正常的个人行为编码序列组成判断为他人实际操作，则非常容易乱报。因而要根据试验，调节主要参数以达到最好检测实际效果。
2. 服务器运用维护
无论攻击者根据哪种方式向职工个人计算机推送恶意程序，该恶意代码务必在职工个人计算机上实行才可以操纵全部计算机。因而，若能加强系统软件内各服务器连接点的安全防范措施，保证职工个人计算机及其网络服务器的安全性，则可以合理防御APT攻击。
3. 互联网入侵检测技术
安全性研究工作人员发觉，尽管APT攻击所采用的恶意程序变异多且更新经常，但恶意程序所建立的指令操纵安全通道通讯方式并不常常转变。因而，可选用传统式入侵检测技术方式来检验APT的指令操纵安全通道，关键是怎样立即获得APT攻击指令操纵管道的通讯方式特点。
4. 数据分析检验
数据分析是一种互联网调查取证构思，它全方位收集计算机设备的初始总流量及终端设备和网络服务器日志，开展密集的海量信息储存和详细分析，可以在发觉APT攻击的抽丝剥茧后，根据全方位剖析大量日志数据信息来复原APT攻击情景。数据分析检验因涉及到海量信息解决，因而必须搭建Hadoop、Spark 等大数据存储和研究服务平台，并根据机器学习算法对数据资料做好剖析，进而检验出是不是遭受攻击。例如，运用k-means聚类算法和ID3决策树学习培训优化算法开展网络连接超时流量检测，应用根据欧式距离的k-means聚类算法对一切正常总流量个人行为和出现异常总流量个人行为开展练习，最终融合ID3决策树分辨能否产生总流量出现异常。
03 APT防御的商品线路
伴随着APT攻击的时兴，许多安全性生产商也发布了APT安全性解决方法，下边详细介绍好多个APT检验和防御商品。
1. FireEye
FireEye 的 APT 解决方法包含 MPS（Malware Protection System）和CMS（CentralManagement System）两大部件。在其中，MPS是恶意程序安全防护模块，是一个性能卓越的智能化沙盒，可立即收集总流量、提取带上文档等，随后放进沙盒中开展检测服务。FireEye的MPS模块有下述特性。
（1）适用对Web、电子邮件和共享文件3种由来的恶意程序检验。
（2）针对不一样來源的恶意程序，采用专业 MPS 硬件配置开展专业解决，目地是提升检验特性和精确性。
（3）MPS适用除可执行程序以外的高达20种文件属性的恶意程序检验。
（4）MPS可适用旁通和串连布署，以完成恶意程序的监测和即时安全防护。
（5）MPS 可即时学习培训恶意程序的指令和操控频带特点，在串连布署方式可以即时阻隔APT攻击的指令操纵安全通道。
CMS是集中化智能管理系统控制模块，智能管理系统中各MPS模块，与此同时完成威胁情报的搜集和立即派发共享。CMS除开系统对中好几个MPS模块开展规范化管理外，还可联接到云上的全世界危害情报网络来获得威胁情报，并适用将监测到的新恶意程序情报信息上传至云服务平台，完成威胁情报的同歩共享资源。除此之外，FireEye还可与别的日志剖析商品结合，产生作用更强有力的APT安全性防御解决方法。
2. Bit9
Bit9可靠安全教育平台（Trust-based Security Platform）选用手机软件可靠、即时检验财务审计和安全性云三大技术性，给予互联网可视性、即时检验、安全性保障和过后调查取证等四大私有云安全性作用，进而获得强劲的恶意程序检验和各种高級危害的抵挡工作能力。
Bit9解决方法关键是一个根据战略的可靠模块，管理人员可以根据安全设置来界定可靠手机软件。Bit9可靠安全教育平台默认设置全部手机软件全是异常并严禁载入实行，仅有合乎安全设置界定的手机软件才被觉得可靠并容许实行。Bit9可以根据发布软件商和可靠手机软件分起源等界定可靠对策，与此同时还可应用安全性云给予的手机软件信誉度服务项目来衡量手机软件真实度，进而容许客户免费下载和安裝真实度高的gpl协议。根据安全设置的可靠软件定义计划方案实际上选用了手机软件授权管理体制，即在手机软件授权管理中的系统软件才可以在公司云计算平台中实行，别的都被严禁实行，为此维护公司的云计算平台安全性。
Bit9解决方法中安裝在每一个终端设备和云服务器上的轻量即时检验和财务审计控制模块，是完成即时检验、安全防护和过后调查取证的核心部件。即时检验控制模块可以完成对所有互联网和云计算平台的全方位可视性，即时掌握终端设备和云服务器的机器设备情况和重要服务器资源情况，包含终端设备上的文档实际操作和手机软件载入实行状况；财务审计控制模块还可财务审计终端设备上的文档进到方式、文档实行、运行内存攻击、过程个人行为、注册表文件、外接设备初始化状况等。
Bit9解决方法还带来一个根据云的手机软件信誉度服务项目，即根据积极爬取公布在云上的系统信息内容，包含发布软件時间、时兴水平、发布软件商、手机软件由来、AV 扫描结果等来计算软件信用度。与此同时，还适用从第三方恶意程序检验生产商（如 FireEye 等）获得文档散列目录，合理鉴别其他的恶意程序和异常文档。
3. RSA NetWitness
RSA NetWitness是一款颠覆性的网络信息安全监控管理平台，对于APT攻击的监测和防御关键由Spectrum、Panorama和Live三大部件完成。在其中，RSA NetWitness Spectrum是一款安全性分析系统，专业用于鉴别和剖析根据恶意程序的网络安全防护危害，并明确安全性危害的优先；RSA NetWitness Panorama根据结合不计其数种日志源与外界安全性威胁情报，进而完成创新能力网络信息安全剖析；RSA NetWitness Live是一种高級威胁情报服务项目，根据运用来源于全世界网络信息安全界的全面聪慧和剖析专业技能，立即得到各种各样APT攻击的威胁情报信息内容，可巨大减少对于潜在性安全性危害的反应时间。
总而言之，RSA NetWitness具备下述特性。
（1）互联网全总流量和业务目标离散变量事情的聚焦剖析，完成互联网的全方位识别性，进而得到全部互联网的可靠趋势。
（2）鉴别各种各样内部结构危害、检验零日系统漏洞攻击、检验各种各样特殊恶意程序和APT攻击事情及其数据信息泄密等。
（3）互联网日志数据信息的即时前后文数据分析系统，为公司给予可写的安全性信息工作。
（4）检验与防御剖析全过程的自动化技术，降到最低安全事故反应时间。
04 APT防御的发展趋向
现阶段流行生产商带来的APT防御商品，关键存有如下所示问题。
（1）不可以非常好完成APT攻击整个过程检验，非常容易导致攻击少报。
（2）不可以全方位给予APT攻击的即时防御，难以解决积极防御。
（3）不可以精确实行APT攻击的入侵检测，欠缺安全性管理机制。
从作用上看，一个完全的APT检测服务与防御解决方法应当遮盖APT攻击的全部环节，即应当处理事先智能检测、事中应急处置和过后剖析防御等3个方面。在技术上看，APT安全性解决方法应当配备服务器运用操纵、即时恶意程序检验、侵入防御等核心技术，完成对APT攻击的即时检验和防御。与此同时，也必须将入侵检测技术防御和数据分析技术相结合，完成根据大数据分析的安全性入侵检测与智能化预警信息剖析将变成APT安全性解决方法的关键，完成对APT攻击事情的信息工作获得以及深层剖析。伴随着人工智能技术2.0时期的来临，根据深度神经网络的APT积极防御综合服务平台也变成一种技术性发展趋向。