本期为【尊龙凯时攻防演练专题】系列的第五期，将分享在攻防演练活动期间，若何利用文件分析产品，提升威胁发现能力。

当前的网络攻击伎俩出现出组织化、规；⒏丛踊奶氐，但无论是通常威胁亦或是高级持续威胁，在“载荷投递”与“号令与节造”阶段（出自cyber-kill-chain）均或许率会将攻击伎俩以落地文件的方式投递到指标系统傍边，因而在面对网络攻击时，对攻击过程有关文件分析通常都可能发现攻击者的意图，协助防守者有的放试行更有效的防御。

在攻防演练活动中，攻方可能会选取一些 0Day 缝隙利用的方式进行攻击，或利用投递未知载荷躲过传统恶意代码检测技术，此时可能跳过规定检测直接发现文件自身恶意行为的技术将是破局的沉要伎俩。

1.演习场景必要“快准深”兼具的文件分析产品支持

目前市场上传统的文件分析方式重要有两种：杀毒软件与沙箱分析（防火墙中的防病毒？椤⒎啦《就氐壬璞竿ǔＲ彩墙髁恐谢乖募进行杀毒软件扫描判断是否恶意）。杀毒软件重要依赖库文件进行扫描匹配，优势在于检测速度快、误报率低，适合文件量大，必要急剧出了局的场景。沙箱分析的优势则在于不依赖于库文件，可能对文件的真尝试为进行鉴别判定，但分析效能不高。所以，以上任一的文件分析方式，都不能全面满足在攻防演练场景中，必要急剧、精准、深度的实现文件分析现实需要。

尊龙凯时追影威胁分析系统（以下简称：追影）作为高级威胁发现的伎俩之一，融合了上述两种分析方式的特点，依附全球当先的尊龙凯时下一代威胁检测引擎，主题技术自主可控，能够确保为用户提供实时的威胁分析响应速度，并降低表部技术依赖风险。

同时，追影也罗致了尊龙凯时十余年堆集的自动化分析经验，在内置尊龙凯时下一代威胁检测引擎与动态分析引擎的基础上，还集成了十余种分析？，蕴含是非名单？椤⑽募起源检测？椤⒃萏崛∧？椤⑹种な樘崛∧？椤ebshell检测引擎？椤⑶痹谀芰Ψ治鲆婺？椤⒌ɑセ灰婺？榈，可有效实现对文件进行多维度分析鉴定。

对于高匹敌性的恶意文件，追影动态分析环境支持Windows和Linux等主流操作系统及Office、Adobe、Firefox等常见的利用软件，全面构建切合用户现实使用场景的分析环境，即便面对定向攻击时也能鉴别未知文件的恶意行为。与此同时，还可进行用户操作模仿、网络模仿、移动介质高仿真模仿等，以应对样本的各类触发前提；并可有效发现与匹敌反分析行为，降低分析漏报率。

此表，针对某些必要在特定的环境下才可能触发相应行为的恶意文件，追影支持人为过问动态分析过程，调整样本在虚构机中的运行前提、运行环境，最大水平地触发样本行为；并提供样本在分歧虚构环境中的行为对比，揭示样本的环境偏好。

追影不只可能将在动静态分析过程中，提取的静态特点和动态行为相结合，凭据文件的特点类似、行为类似、内容类似及文件间的衍生关系，鉴定并分析各类已知与未知威胁，有效检测未知缝隙利用、免杀木马、贸易军械、APT组织的专用木马等高级威胁，提升用户的高级威胁匹敌能力；还能通过谍报互换组件的谍报颁布与消费能力与追影内部谍报出产能力相结合，为用户出产私有化谍报，在演练活动中可能将追影的能力有效传递至各个产品，提升整体威胁发现的能力。

2.四项能力有效提升演习场景整体威胁发现能力

1. 海量样本实时判定

追影拥有高机能的动静态分析能力，静态分析每天能够分析超过25万的文件，动态分析每天能够分析超过3万的文件，并可能通过多台追影组建集群的方式对机能进行急剧扩大，可能援手用户对演练活动中捕获的海量样本文件进行实时有效的分析和判定，出具具体的汇报，实时发现可疑文件，供安全分析工程师进行追踪研判。

2. 为其他安全设备提供执行凭据

追影威胁分析系统可能与尊龙凯时其他安全产品深度结合，形成发现、响应、措置的防御关环；此表，追影也提供齐全的上传、下载API接口，对其他产品进行安全赋能，为措置类产品提供底子的执行凭据，提升整体规划的防御深度和正确性。

3. 手动过问分析过程，提升演习场景的贴合度

追影提供的手动过问样本分析过程的能力，可对特定类型的文件进行手动指定运行参数的能力，保障样本在沙箱环境中可能真实触发。此表，追影也能通过增长AUTOIT剧本的方式模仿用户对系统的直接操作，提高环境的仿真水平，最大限造提升环境与演练场景的贴合水平，从而实时发现针对演练场景的威胁样本，提升整体威胁检出能力。

4. 支持私有化谍报出产能力

追影能将样本文件进行细粒度的向量拆解，并将拆解出的向量进行谍报化处置，通过内置的谍报互换组件进行谍报出产与消费？稍谘萘坊疃醒杆俳サ愕ㄍ礁宓ㄍ，提升整体安全防御的火速性，可能实现将出现过的威胁迅速同步给其他安全设备，保障整体谍报的时效性与靠得住性。

下期预报

下期为【尊龙凯时攻防演习专题】系列的第六期，将分享通过逐一拆解攻击者的攻击思路与攻击链条，构建糊弄式防御系统。