“以攻促防”连载系列终于迎来了收官之作，，，，，，攻击方（蓝队）经历了窥伺、兵器构建、载荷投递、指标植入、权限提升与横向移动等步骤之后，，，，，，起头执行第六步：指标达成。。。。。

    到这一步，，，，，，攻击方（蓝队）通常已经获取足够权限、习染了足够机械。。。。。此时，，，，，，攻击方通；；；；；；嵬ü帕钣虢谠旆务器（C2），，，，，，与习染机械实现通讯并下发号令，，，，，，执行窃取数据、粉碎等一系列操作，，，，，，并将窃取的数据回传至自身服务器中。。。。。该环节对于防守方而言，，，，，，一方面要守住靶标，，，，，，预防失陷，，，，，，实现“零失分”；；；；；；另一方面，，，，，，必要积极溯源回击，，，，，，喧宾夺主，，，，，，获得丰富加分嘉奖。。。。。

    本文沉点从溯源反造角度，，，，，，来分析防守方若何可能通过各类海量告警和攻击行为，，，，，，正确研判分析，，，，，，急剧定位到真正有威胁的攻击者，，，，，，实现大逆转。。。。。

    01

    防守队难点

    攻击高手长于暗藏海量告警疲于奔命

    电影《黑衣人》有这样一个情节：几位层层提拔、万里挑一的精英，，，，，，到了最后的考试环节。。。。。各人走进一个怪物乱飞的黑屋子里，，，，，，所有人都在慌忙射击各类表星人模型，，，，，，只有史女士表演的主角，，，，，，不紧不慢，，，，，，一枪崩了幼女孩，，，，，，成为唯一通过考试提拔的黑衣人。。。。。

    史女士的逻辑是，，，，，，哪些怪物看似张牙舞爪，，，，，，但或健身，，，，，，或打喷嚏，，，，，，并没有威胁，，，，，，只有这个8岁的幼女孩，，，，，，深夜在满是怪物的大街上，，，，，，拿着本《量子物理》，，，，，，不合常理，，，，，，因而最具威胁。。。。。

    在实战攻防演习中也是如此，，，，，，所谓“明枪易躲，，，，，，暗箭难防”，，，，，，要从各类海量复杂的攻击告警中，，，，，，排除表表滋扰、识破假装，，，，，，找出真正有威胁的攻击者，，，，，，这对防守队的各方面能力拥有极高的挑战。。。。。

    首先，，，，，，所有高妙的攻击者都是暗藏高手。。。。。他们每次攻击行为都异常荫蔽，，，，，，不易被发现，，，，，，即便留下线索，，，，，，也是细碎的细枝末节，，，，，，凭据现罕见据无法全面还原攻击者起源、身份、使用的基础设施、攻击手法等技战术能力水平，，，，，，难以实现对攻击者的精准画像和溯源分析。。。。。

    其次，，，，，，事务响应和调查往往都是后知后觉，，，，，，容易延误战机。。。。。当攻击行为产生之后，，，，，，经过一系列的告警、分析、研庞注响应、措置等流程，，，，，，能力获得更多的数据信息，，，，，，这些造成功夫的之后，，，，，，往往会失去溯源反造的最好机遇。。。。。

    第三，，，，，，海量告警会给研判分析带来极大的压力。。。。。拿北京冬奥期间为例，，，，，，均匀每分钟4400次、共计3.8亿次的网络攻击，，，，，，若是没有壮大的分析研判系统，，，，，，这样海量的攻击会让有限的安全运营人员，，，，，，将精力覆没在处置无效告警之中。。。。。

    02

    白泽平台

    精准画像锁定真正有威胁的攻击者

    ca88登陆平台攻防专家以为，，，，，，防守方必要再攻击者指标达成的阶段，，，，，，急剧进行精准的溯源反造，，，，，，其中最主题的工作就是：一旦发现攻击行为，，，，，，防守方要可能实时发现，，，，，，并基于全量日志和表部数据的补充，，，，，，实现对攻击行为以及幕后攻击者的精准画像。。。。。

    要实现这个能力，，，，，，看清是第一步，，，，，，也是最沉要的一步。。。。。依照ca88登陆平台态势感知首席研判专家赵晋龙的概想，，，，，，“网络安全告警的性质是存在一个明确的威胁主体怀着肯定的意图，，，，，，对一个网络系统提议各类伎俩的攻击尝试所引发的景象。。。。。研判系统就是要将存在高威胁可能的威胁主体从海量的威胁告警中判断出来，，，，，，因而，，，，，，若何评估‘高威胁可能’是研判工作的沉中之沉。。。。。”

    基于白泽平台的研判系统，，，，，，通过对基础设施、攻击能力与攻击主张进行分析的基础分析框架，，，，，，凭据攻击者汗青上展示的攻击伎俩、攻击频度、把握基础设施数量等多维度数据对其能力进行评估，，，，，，将高威胁可能的主体从海量报警中找出，，，，，，对既遂的安全事务进行有效应急措置，，，，，，并针对高风险的未遂安全事务采取针对性防御和分析措施，，，，，，进而全面提升面对海量报警时的分析研判能力与水平。。。。。

    白泽平台掌管人林子翔以为，，，，，，“看清攻击者后，，，，，，排除掉所有‘明面上’的攻击者，，，，，，藏在阴郁处的‘未知攻击者’自己就会浮出水面。。。。。这时辰安全工作就能够极具针对性，，，，，，对症下药。。。。。”

    林子翔分享了一个故事：2月11日，，，，，，北京冬奥期间，，，，，，在日常分析过程中，，，，，，一组新出现的境表攻击IP引起了ca88登陆平台安全团队确把稳。。。。。其攻击伎俩和汗青攻击行为拥有较强的针对性，，，，，，有可能是境表高级黑客组织的前期窥伺类活动。。。。。ca88登陆平台A-TEAM团队立刻联系了冬奥现场安全运营组进行升级观测。。。。。2月12日，，，，，，在经过多方查证后，，，，，，根基确认该组织为海莲花APT组织，，，，，，其使用了多款自研的扫描工具和人为探测的方式尝试对冬奥有关设施进行渗入。。。。。由于ca88登陆平台在其前期阶段已经正确发现并鉴别，，，，，，该组织的所有攻击尝试已经无法组成安全威胁，，，，，，最终将该分析简报上报给国度有关部门。。。。。

    在北京冬奥保险过程中，，，，，，以白泽平台为基础的态势感知研判系统，，，，，，为攻击研判提供了快、准、稳的有效支持。。。。。尤其在开幕式前，，，，，，得益于白泽平台数年来堆集的过亿量级的攻击者库，，，，，，系统仅使用了1幼我天，，，，，，就把全数存量攻击起源IP实现了分级和分类。。。。。从数以千万计的攻击中，，，，，，急剧筛查掉不必要关注的攻击主体，，，，，，并确定了15个高价值的攻击者。。。。。

    03

    Alpha平台

    谍报用的好加分少不了

    兵马未动，，，，，，谍报先行。。。。。要正确分析出攻击行为是否恶意，，，，，，还要依赖于ca88登陆平台Alpha威胁分析平台（点击阅读原文查看网址）。。。。。凭据ca88登陆平台威胁谍报专家王成功介绍，，，，，，该平台是面向安全分析师、事务响应人员的综合性威胁谍报分析平台，，，，，，能够提供告警研庞注攻击定性、黑客画像等职能。。。。。

    其中，，，，，，阿瑞斯兵器库特有的攻防演习IP谍报箱，，，，，，在攻防演习期间，，，，，，网络ca88登陆平台专业的驻场安服分析师和用户实时上报的恶意IP，，，，，，经过威胁谍报中心的过滤和富化以来，，，，，，输出至各类安全检测与响应设备，，，，，，共同打造精准实时的与攻防演习亲昵有关的IP谍报共享机造。。。。。而分析工作治理模浚浚？？？？？橹С纸シ姥菹爸械墓セ魇挛窆蚕恚，，，，丰硕线索及攻击者画像，，，，，，有效对事务进行治理。。。。。

    依附威胁谍报中心的专家团队，，，，，，Alpha平台还针对在攻防演习中产生的恶意样本等信息进行追踪溯源及关联定性，，，，，，并实时同步共享给各地平台使用方，，，，，，实现协同防御，，，，，，援手防守方有效阻断攻击，，，，，，优化防守方式。。。。。

    两军相争，，，，，，兵贵神速。。。。。Alpha平台还提供业界驰名的红雨滴云沙箱，，，，，，自动化高匹敌样本分析，，，，，，30秒天生专业分析汇报，，，，，，基于Alpha平台完整的威胁谍报和互联网基础数据，，，，，，以及数据覆盖度、信息种类、数据的功夫/空间跨度的多沉优势，，，，，，通过专家级的自动化日志分析，，，，，，急剧锁定真正有威胁的攻击者，，，，，，急剧进行画像、持续跟踪，，，，，，揪出背后暗藏的攻击者，，，，，，保险了攻防期间研判分析的精准性。。。。。

    04

    助力溯源反造

    ca88登陆平台安服提供壮大后援

    为了援手防守队在溯源反造环节，，，，，，变被动为自动，，，，，，守住靶标拿高分。。。。。ca88登陆平台安服团队在2022年实战攻防演习中，，，，，，推出了多项行动，，，，，，尤其强化了溯源力量。。。。。其中蕴含成立专业的二线溯源团队，，，，，，成立一、二线溯源工作流程，，，，，，同时集中集团级优权势量，，，，，，专一溯源工作，，，，，，解决一线项目溯源资源不及的问题。。。。。而在产品方面，，，，，，基于天眼等产品的云端数据分析和白泽溯源平台得能力，，，，，，全面提升二线溯源团队力量，，，，，，并汇聚多渠路数据起源，，，，，，加强多项目关联分析能力。。。。。

    同时，，，，，，威胁谍报也将充分使用于溯源反造的环节之中。。。。。通过安服团队和威胁谍报中心的缜密合作，，，，，，基于每个项目防守团队发现的攻击队有关谍报信息，，，，，，都通过Alpha威胁谍报平台实现谍报共享。。。。。而一线网络、共享的谍报信息和二线谍报关联分析，，，，，，对一线提供谍报支持和可视化了局展示，，，，，，再加上一线和二线团队协同，，，，，，通过攻击样本分析进行攻击者聚类鉴别，，，，，，精准锁定攻击者，，，，，，助力防守队2022年实战攻防演习拿到格表加分、获得优异成就。。。。。