基于全流量的APT检测技术研究

该repo主要用于存储项目相关代码，目录结构如下

common 常用库
document 必要的说明文档
ml
- Fwaf
  - 基于机器学习的Web应用Waf
parser
- http报文解析
install 安装脚本
- install*.sh 安装脚本
paper 论文
server
- 项目网站
yara-rules yara规则
- 具体说明见目录下README.md
aptd.py 调用脚本

实现逻辑

读入pcap
- 访问频率统计
  - (time, srcip, dstip) to DB
- tcp重组包
  - http解析
    - tcpflow
  - smtp解析
    - tcpflow
  - ftp解析
    - tcpflow
  - log tcp流
    - IoC匹配
- udp包
  - dns解析
    - dns特征扩展
    - log dns
    - IoC匹配
- 文件提取
  - elf沙箱执行 cuckoo
  - 其他文件提取特征
  - IoC匹配
数据库写什么
- 被发现的traffic
- 被发现的malware
- ip访问频度

安装

执行安装脚本安装依赖库

实现

基于IoC的APT发现全程使用Bro来提取各种特征根据特征来识别

特征主要有：

IP
域名
文件hash