天眼安全设备的初步使用

1. 天眼三大功能：传感器（对流量解析还原，发现网络攻击和web攻击能力）   沙箱（发现恶意样本投递能力）       分析平台（存储历史流量，分析威胁和溯源能力）  
2. 天眼威胁感知： 警告类型：APT攻击   威胁级别：高危   攻击结果：失陷    攻击次数：3 
3. 天眼搜索：源IP sip   目的IP dip  地理信息：境内还是境外    搜索示例：（sip:"192.168.1.1"）OR（dip:"192.168.1.1"）  
4. 天眼类别：
   1. 威胁感知
   2. 调查分析 
   3. 场景化分析
   4. 日志检索  例子：search sip:"10.1.1.1/8" |tcp 100 dip
   5. 资产
   6. 报表
   7. 安全服务 
   8. 系统管理
5. 天眼语法：
   1. 

    

6. 天眼分析：
   1. web攻击分析思路：
      • web攻击：查看请求包 与 响应包（有没有报红，有没有攻击成功）
      • 查看告警详情（查看请求头、请求体内容，定位到告警攻击动作的payload）
      • 分析攻击动作是什么（读取文件、打印输出内容、写入文件和尝试下载文件，执行函数或命令 XSS  XXE webshell等）
      • 分析响应（分析告警响应头，响应体，网络行为是否有动作预期的结果）
   2. 僵木蠕毒类告警分析思路：
      • 
   3. 爆破和踩点行为分析：
      • 登录爆破类：单个IP，使用多个用户名和密码组合进行登录尝试，导致短时间内大量登录失败
      • 目录和资源爆破：短时间内访问大量url，触发大量404
      • 手段：1.找到爆破行为IP，阻断爆破行为    2.找到攻击成功的IP   3.分析攻击IP的操作，编写事件报告
      • ftp爆破：
        • 日志检索使用天眼语法搜索爆破IP：normal_ret:failed AND proto:ftp
        • 判断爆破成功行为：normal_ret:success  AND proto:ftp AND sip:(攻击ip1 OR 攻击ip2)
      • ssh爆破：
        • 日志检索使用天眼语法搜索爆破IP：normal_ret:failed AND proto:ssh
        • 判断爆破成功行为：normal_ret:success AND proto:ssh AND sip(攻击ip1 OR 攻击ip2)
      • 数据库爆破：
        • normal_ret:failed AND proto:(oracle OR mysql OR mssql OR postgresql)
        • normal_ret:success AND proto:(oracle OR mysql OR mssql OR postgresql) AND sip:(攻击IP1 OR 攻击IP2)
      • 远程桌面爆破：
        • normal_ret:failed AND proto:rdp
        • normal_ret:success AND proto:rdp AND sip:(攻击IP1 OR 攻击IP2)
      • web登录入口爆破：
        • 对弱口令就行分析：uri:爆破路径 AND sip:攻击ip，查找爆破的流量日志
      • 目录和资源猜解：
        • 根据域名和攻击ip进行分析：host:域名 AND sip:攻击IP，查询攻击IP的访问记录是否触发大量404响应

       

7. 天眼失陷事件处理：
   1. 发现webshell和主机木马：
      • 确认创建时间、功能分析等，查看访问日志，攻击行为记录等，通知主机所属人
      • 对发现的webshell文件或木马进行排查处置
      • 对webshell攻击路径进行溯源
   2. 溯源分析：
      • 纵向溯源：定位时间：webshell首次访问前5-10分钟，网站受到什么攻击。uri:"webshell文件名" AND host:"域名"，找到首次访问前5-10分，搜索条件可更改为： host:"域名"，查看是否存在可疑的攻击行为。
      • 横向溯源：查询所有访问木马的IP进行排查，排除自身验证和已知的IP外，以访问木马为突破点，查找访问木马的IP还访问了什么网址，进而找到其他后门文件。
   3. 中转代理：
      • 关注点：时间 IP 日志 处置结果
      • 方案：第一时间阻断清除代理，然后进行溯源分析，查询所有访问木马的IP进行排查，排除自身验证和已知的IP外，以访问木马为突破点，查找访问木马的IP还访问了什么网址，进而找到其他后门文件。
   4. 账号异常：
      • 关注点：异常账号 创建时间  访问日志 登录日志 处置结果
      • 方案：找到确认为爆破行为的IP后，查找爆破IP登录成功的流量，提取出来sip和用户名和密码。部分协议无法获得密码，但能确认登录成功行为。