56、后台办公网络的有效异常检测

后台办公网络的有效异常检测

1. 后台办公网络与威胁模型

后台办公应用用于控制组织的活动，且不直接与终端用户交互。后台办公网络由使用此类应用进行通信的主机组成，通信通常局限于组织内部网络，排除互联网流量。

后台办公网络可能包含高价值信息，如财务数据或知识产权。针对这些网络的定向攻击可能旨在窃取信息或破坏业务流程，会造成重大经济损失。

在实验中，主要关注服务器消息块（SMB）和微软远程过程调用（MS - RPC）及其子协议，基于文本的协议（如HTTP）或加密协议（如SSH）不在研究范围内。

威胁模型 ：
- 受保护资产 ：包括网络主机（如工作站和文件服务器）以及敏感数据的完整性和机密性。
- 攻击者能力 ：能够在不被发现的情况下控制网络中的暴露主机，以此为据点向其他主机发送恶意消息。
- 攻击类型 ：
- 网络漏洞利用攻击 ：利用软件漏洞（如缓冲区溢出）导致系统出现非预期行为，通常会造成全局异常。重点关注用户到根（U2R）和远程到本地（R2L）攻击，攻击者可借此控制主机并提升权限。
- 内部人员滥用攻击 ：在系统层面看似“合法”，但滥用现有用户权限，如恶意访问文件（读取其他用户的敏感文件或修改重要系统文件），会造成上下文异常。

由于这两种攻击在评估数据集、相关属性集和异常类型上存在差异，因此分别进行检测实验。

2. 特征选择与入侵检测