360 企业安全集团 3 / 21 密级：XXXX
我们认为原因主要有以下几个方面：
1. 传统安全防御手段基于已知威胁，对未知威胁没有防御作用
传统安全防御体系的设备和产品遍布网络 2 ~ 7 层的数据分析。其中，与
APT 攻击相关的 7 层设备主要是 IDS、IPS、审计，而负责 7 层检测 IDS、IPS 采
用经典的 CIDF 检测模型，该模型最核心的思想就是依靠攻击特征库的模式匹配
完成对攻击行为的检测。反观 APT 攻击，其采用的攻击手法和技术都是未知漏
洞（0day）、未知恶意代码等未知行为，在这种情况下，依靠已知特征、已知行
为模式进行检测的 IDS、IPS 在无法预知攻击特征、攻击行为模式的情况下，理
论上就已无法检测 APT 攻击。
2. 攻击者与防御者在信息上不对称
攻击者在发起攻击前通常都会精心策划每一个攻击环节，包括：攻击工具的
开发、控制网络的构建、木马程序的投递、本地的突防利用、通信通道的构建
等等。这些精心策划的过程在正式攻击发起前就早已经开始了，例如：攻击者
在制造木马程序时会将木马在常见的防病毒软件中进行免杀测试，甚至会在互
联网上小范围内进行投放测试，以验证木马效果。而真正在受害者网络中进行
的攻击操作则非常精准、隐蔽，使得安全人员能从本地发现的攻击线索非常少，
即便发现了异常，也无法定位攻击的来源和过程。因此，对于当前的攻击检测
和防御，要求安全分析员不仅仅关注本地数据，还要了解互联网上的威胁情报
信息，结合来自互联网的威胁情报来对本地线索进行关联分析。
3. 缺少本地原始数据，难以溯源分析
攻击者通常都会在内网的各个角落留下蛛丝马迹，真相往往隐藏在网络的流
量和系统的日志中。传统的安全事件分析思路是遍历各个安全设备的告警日志，
尝试找出其中的关联关系。但依靠这种分析方式，传统安全设备通常都无法对
高级攻击的各个阶段进行有效的检测，也就无法产生相应的告警，安全人员花
费大量精力进行告警日志分析往往都是徒劳无功。如果采用全流量采集的思路，
一方面是存储不方便，每天产生的全流量数据会占用过多的存储空间，企业或
组织通常没有足够的资源来支撑长时间的存储；另一方面是全量数据来源于网
络流量、主机行为日志、网络设备日志、应用系统日志等多种结构化和非结构
化数据，无法直接进行格式化检索，安全人员也就无法从海量的数据中找到有
