天阗XDR在手，看防守方如何智擒红队
宣布时间 2024-05-17由于入侵者不停变换攻击资源和手段，通过加密混淆Webshell、利用0day/1day漏洞等高级技术，使防守方在海量的告警信息中难以迅速找到准确的攻击线索。
在攻击事件还原的过程中，宁静人员还要不停地切换种种宁静设备，并结合大量的人工分析来还原攻击事件，整个过程既耗时又费力，攻防双方的力量对比严重失衡。
东森平台天阗XDR，将为这一困境带来转机。凭借强大的关联分析、智能降噪和联动处置能力，天阗XDR可资助宁静人员迅速从繁杂的告警中筛选出真实的攻击线索，精准定位攻击源，并还原整个攻击过程。这种高效的防御模式将攻击事件的响应时间从传统的天级提升至了分钟级，极大地提升了防守方的应对能力和反映速度。
下面，让我们通过一个场景案例复现宁静人员如何巧用XDR智擒红队。
2024年4月下旬，某重要单元组织的攻防演练中，宁静人员利用东森平台天阗XDR发现内网服务器Webshell高级别告警，通过使用XDR自动关联取证、智能攻击链还原、快速联动处置等功效，迅速找到了漏洞利用点，溯源到了客户系统的失陷账号，并联动EDR对主机上的Webshell进行了清除，短短十几分钟就完成了整个攻击过程的处置。
事件溯源过程
1、Webshell上传乐成
4月23日 15:35
XDR上报了一条Webshell上传告警，而且自动通过网端联动取证判断为“上传乐成”，同时显示了EDR返回的终端取证信息。
从提示信息看出，攻击者利用客户自研系统的后台上传功效乐成上传了Webshell。
2、Webshell连接乐成
4月23日 15:36
XDR再次告警Webshell连接。
XDR通过关联分析，发现攻击者所连接的Webshell与之前攻击者上传的Webshell一致，表明攻击已处正在利用阶段，XDR也将两条告警进行了智能合并。
3、攻击入口溯源
紧接着XDR自动提取了判断为确定攻击的文件上传漏洞的cookie信息，并下发到全流量存储系统（NFT）进行自动化狩猎，乐成溯源到攻击者于14:48分利用失陷账号“jinyuqiang”的登陆乐成事件。
至此，通过东森平台天阗XDR，整个攻击事件的前后告警已被完整串联起来，并以清晰的故事线形式展示在宁静人员眼前。整个攻击事件的要害路径一目了然。
4、攻击事件处置
① 通过XDR联动EDR对恶意Webshell进行了隔离处置。
② 在客户允许条件下，对XDR发现的文件上传漏洞点进行了临时的URL封禁，对攻击IP进行了一键封禁处置。
③ 客户对提倡恶意攻击的账户jinyuqiang进行了停用处置。研发对自研系统中的文件上传漏洞进行了代码修复，系统更新以后重新上线。
天阗XDR在手，助防守方扭转攻防差池等局面。天阗XDR具备自动告警降噪能力，快速发现真正攻击；高阶智能驾驶自动还原攻击路径和攻击历史，来龙去脉一目了然；网侧和端侧双重响应能力，斩断攻击方横向扩散企图。从监测发现到响应闭环，再到形成溯源陈诉，分钟级完成整个防守流程。
京公网安备11010802024551号