apt 攻擊被發現怎么辦

當發現了apt攻擊可以做以下應對措施：

• 使用威脅情報：建立這包括APT操作者的最新信息的威脅情報系統，從分析惡意軟件來獲取的威脅情報。企業必須確保情報的相關性和及時性。威脅情報被用來建立 “絆網” 來提醒你網絡中的活動。

• 建立強大的出口規則：除網絡流量（必須通過代理服務器）外，阻止企業的所有出站流量，阻止所有數據共享和未分類網站。阻止 SSH、FTP、Telnet 或其他端口和協議離開網絡。這可以打破惡意軟件到 C2 主機的通信信道，阻止未經授權的數據滲出網絡。

• 收集強大的日志分析：企業應該收集和分析對關鍵網絡和主機的詳細日志記錄以檢查異常行為。日志應保留一段時間以便進行調查。還應該建立與威脅情報匹配的警報。

• 聘請安全分析師：安全分析師的作用是配合威脅情報、日志分析以及提醒對 APT 的積極防御。這個職位的關鍵是經驗。

• 對未知文件進行檢測：一般通過沙箱技術罪惡意程序進行模擬執行，通過對程序的行為分析和評估來判斷未知文件是否存在惡意威脅。

• 對終端應用監控：一般采用文件信譽與黑白名單技術在終端上檢測應用和進程。

• 使用大數據分析方法：基于大數據分析的方法，通過網路取證，將大數據分析技術和沙箱技術結合全面分析 APT 攻擊。

回答所涉及的環境：聯想天逸510S、Windows 10。