发帖
雷达卡
攻击链（Kill Chain）模型描述了从攻击开始到完成的各个阶段。在日志分析中，我们通过收集来自多个来源的日志（如网络、主机、应用程序等），来识别攻击者在每个阶段留下的痕迹，从而重构攻击过程。
攻击链模型有很多种类，例如洛克希德-马丁公司的Cyber Kill Chain，包括：侦察、武器化、交付、利用、安装、命令与控制、行动。还有MITRE ATT&CK框架，它更详细地描述了攻击者在入侵后所采用的技术和战术。
在日志分析中，构建攻击链通常包括以下步骤：
- 数据收集：从各种安全设备（如防火墙、IDS/IPS、EDR、WAF等）和系统（操作系统、应用程序、数据库）收集日志。
- 数据归一化与关联：将不同来源的日志转换为统一格式，并基于时间、源IP、目标IP、用户等关键字段进行关联。
- 攻击阶段识别：利用规则、机器学习或威胁情报，识别出与攻击链各阶段对应的安全事件。
- 攻击链重构：将识别出的事件按照时间顺序和攻击逻辑进行排列，形成攻击链。
- 影响评估与响应：根据攻击链确定攻击的进展和影响，并采取相应的响应措施。
下面我们详细说明每一步的技术细节。
一、数据收集
来源：网络设备（路由器、交换机、防火墙）、安全设备（IDS/IPS、WAF、防病毒软件）、主机（系统日志、审计日志）、应用（Web服务器、数据库）、云平台等。
技术：通常使用日志收集代理（如Fluentd、Logstash）或Syslog服务器，将日志集中到安全信息与事件管理（SIEM）系统中。
二、数据归一化与关联
归一化：将不同格式的日志解析成统一的字段，例如将时间戳转换为标准格式，提取源IP、目标IP、端口、协议、用户、事件类型等。
关联：通过关联规则或算法，将不同日志中属于同一事件序列的记录关联起来。例如，同一个源IP在短时间内先后触发了防火墙的拦截日志和IDS的警报日志，这些日志可能属于同一次攻击尝试。
三、攻击阶段识别
使用规则：例如，使用SIEM中的关联规则来检测攻击链的各个阶段。例如：
- 侦察：端口扫描（多个目标端口被同一个IP扫描）
- 武器化与交付：恶意软件下载（从已知恶意的IP或域名下载文件）
- 利用：检测到漏洞利用尝试（如SQL注入、缓冲区溢出）
- 安装：在主机上检测到新的可疑进程或文件
- 命令与控制：检测到主机与已知C2服务器的通信
- 行动：数据外传（大量数据被发送到外部IP）
使用威胁情报：通过IP、域名、文件哈希等与威胁情报库匹配，识别已知的恶意活动。
使用机器学习：通过异常检测算法发现异常行为（如用户行为异常、网络流量异常），这些异常可能对应攻击链的某个阶段。
四、攻击链重构
将识别出的事件按照时间线排列，并根据攻击链模型（如Cyber Kill Chain或ATT&CK）进行映射。例如，先有侦察，然后有利用，再有安装等。
由于攻击可能不是线性的，而且可能有多个攻击向量，因此需要分析人员或智能算法来判断这些事件是否属于同一次攻击，并重构出攻击链。
五、影响评估与响应
根据攻击链的阶段，判断攻击是否成功，以及造成的影响。例如，如果攻击链进行到了“行动”阶段，说明数据可能已经泄露。
响应：根据攻击链的阶段和影响，采取相应的措施，如阻断IP、隔离主机、清除恶意软件等。
现代SIEM系统（如Splunk、IBM QRadar、ArcSight）以及新一代的SOAR（安全编排、自动化与响应）平台都提供了攻击链分析的功能。它们通过内置的规则和机器学习模型，自动关联事件，并生成攻击链的可视化。
在大模型时代，我们可以利用自然语言处理技术来自动分析日志中的文本描述，提取关键信息，并辅助进行攻击链的构建。例如，大模型可以理解日志中的语义，识别出日志中描述的活动属于攻击链的哪个阶段，并自动生成攻击链报告。
举例说明：
假设我们有以下日志事件：
- 事件1： [防火墙] 源IP 1.2.3.4 对目标IP 10.0.0.1 的端口22进行了连接尝试，被拒绝。
- 事件2： [防火墙] 源IP 1.2.3.4 对目标IP 10.0.0.1 的端口80进行了连接尝试，被拒绝。
- 事件3： [Web服务器] 检测到来自IP 1.2.3.4 的SQL注入攻击。
- 事件4： [数据库] 来自应用服务器10.0.0.2 的异常查询，执行了多条SELECT语句，试图读取用户表。
- 事件5： [网络流量] 从10.0.0.2 到外部IP 5.6.7.8 的大量数据传出。
通过分析，我们可以构建如下攻击链：
- 侦察：事件1和2表明攻击者1.2.3.4在进行端口扫描，寻找可用的服务。
- 武器化与交付：事件3表明攻击者向Web服务器发送了恶意负载（SQL注入），这是武器化并交付攻击。
- 利用：事件3中的SQL注入成功利用漏洞，攻击者获取了数据库的访问权限。
- 安装：在这个例子中，可能没有明显的安装阶段，因为SQL注入直接利用了应用层的漏洞，没有在目标系统上安装恶意软件。
命令与控制：事件4中，攻击者通过应用服务器（10.0.0.2）向数据库发送查询，这可以视为攻击者在下达指令。
行动：事件5显示攻击者从内部服务器10.0.0.2向外传输数据，可能是在泄露信息。
通过这种攻击链的重建，我们可以清楚地看到整个攻击过程，并针对每个阶段采取相应的应对措施。
在实现上，我们可以使用图数据库（如Neo4j）来存储和查询事件之间的关联，从而更高效地重构攻击链。每个事件作为节点，事件间的联系作为边，通过图算法来识别攻击路径。
京公网安备 11010802022788号
