溯源利器GA黄金甲NFT
颁布功夫 2022-11-11今儿双十一
安全界什么样的产品能够“关眼入”？
那当然少不了GA黄金甲NFT
凭什么它成为口碑爆品
备受信任且经久不衰、回购无数？
要想知路它的奥秘
请一路看下面这个场景案例吧~
警铃大作
2022年7月的某一天 ，蟋蟀鸣 ，晚风静 ，国度级攻防演练正如火如荼地进行着。
监控大屏上 ，“117.xx.xx.xxx疑似存在Webshell内存马通讯行为”的告警忽然浮现。一线安服工程师幼伟警惕起来 ，凭据与资产上Webshell通讯的入侵者IP持续跟进 ，发显熹与资产Web利用服务器的交互流量中佑装dir”号令执行回显了局。幼伟顿感大事不妙 ，根基确认资产失陷 ，要求措置响应组当即封禁任何IP地址对该资产/xxx/xx路由的接见 ，并匆匆呼叫后方增援。
初步溯源
入侵作为的实时发现只是攻防匹敌的起头 ，对入侵作为的实时阻断也不是匹敌的终点 ，只有对入侵作为的齐全溯源分析才是匹敌中防守方能力的彰显。
话不多说 ，马上着手！
凭据幼伟描述 ，该失陷资产117.xx.xx.xxx运行着客户OA系统 ，现场溯源分析组发现OA的sysadmin账号19时58分登录IP异常 ，在全流量分析取证系统（简称NFT）中向前检索该IP的流量时 ，找到了入侵者在19时50分将sysadmin的密码批改为“XXXXXXX”后登录系统。紧接着 ，幼伟使用NFT再向前排查发现入侵者对指标资产进行了SQL注入入侵。
但是看失陷资产117.xx.xx.xxx有关的入侵告警均为入侵失败露务 ，幼伟奇乖祓来了 ，怎么可能都是入侵失败但资产却失陷了呢 ，这极大可能是0day�。�
刨根究底
0day缝隙第一弹： 未授权获取session key
从一线幼伟反馈的SQL注入缝隙利用信息可知 ，该SQL注入接口是必要认证的。利用NFT回溯发现入侵payload中附有合法session key ，这显著有悖常理。二线幼卓方便用NFT持续向前溯源 ，发现原来入侵者利用该系统的一个信息泄露缝隙获取了session key。
入侵者通过GET要求URL“/xxxx/public."text-align: center;">
入侵者于2022.7.28 21:02:45 批改sysadmin密码
入侵者于同日21:03分利用sysadmin账号登录OA系统
0day缝隙第三弹： 肆意文件上传缝隙
“能登陆了 ，再结合一个文件上传缝隙不就OK了？”“没错 ，所以接下来的沉点就是在sysadmin账号登陆后的流量里面找找有没有文件上传吧。”“来 ，开干！”
在幼伟和幼卓的通力共同下 ，最终通过NFT检索发现入侵者最早于21：05分尝试上传Webshell ，后续尝试入侵上传6次 ，其中3次成功。
入侵者于当日22:05分上传魔改的冰蝎服务端
入侵者于当日22:14分上传的oaGet."text-align: center;">
当晚22:17:58幼马执行号令成功
真相毕露
至此 ，真相毕露。入侵者从信息泄露拿到session key、授权sql注入查问用户 ，继而批改用户sysadmin密码登录 ，再到文件上传0day上传压缩文件 ，自解压得到魔改Webshell及内存马。通过3个0day缝隙的一连串操作 ，最终获得了系统权限。
所有的入侵作为尽收在全流量NFT产品视角下 ，这也为全威胁发现和实时措置响应打下了坚实的基础。
后续 ，幼卓联系前场对木马进行了算帐和取证 ，给出相应的系统缝隙建复建议。同时 ，也将这次溯源过程中发现的0day缝隙上报给了国度有关部门。
GA黄金甲全流量分析取证系统（NFT）是基于网络全流量存储的攻击取证溯源产品 ，具备攻击取证溯源、未知威胁狩猎和加密攻击流量检测等多种安全能力 ，在全流量存储的基础上提供全量数据的急剧取证检索 ，解决威胁取证和溯源难题。
NFT产品还内置多种分析模型 ，通过还原汗青流量真实场景 ，实现精准无争议的已知和未知威胁的调查取证和溯源工作 ，有效应对0day等荫蔽性较强的新型入侵 ，极大地提高用户的网络安全运营效能。目前 ，该产品已在当局、公检法、运营商、金融、电力等沉要行业部署使用 ，得到了用户的高度认可与青睐。
GA黄金甲根植于自主创新的技术基因 ，结合丰硕深厚的实战经验 ，不休改革安全产品状态 ，升技满安全解决规划 ，赋能用户在数字经济时期成立网络防御系统。作为网络安全行业领军企业 ，GA黄金甲将为“护航数字中国 领航信息安全 ” 持续致力、勤耕不辍。
京公网安备11010802024551号