天阗XDR实战案例：破解加密流量的新思路
颁布功夫 2024-07-04面对日益严格的网络安全挑战，加密流量中潜藏的恶意软件威胁变得愈加荫蔽与复杂。本文分享了一个天阗XDR的实战利用案例：通过充分利用XDR的智能检测与智能分析研判等主题能力，用户实现了对潜在安全风险的迅快鉴别与高效措置，为破解加密流量检测难题提供了新思路和实际范例。
迷 影 沉 沉
随着用户安全意识的提高，企业和幼我用户更偏差于使用加密技术�；な�，HTTPS/TLS和谈逐步成为互联网通讯的尺度，全球加密流量总量显著增长。
但这一趋向也为恶意软件提供了一个梦想的掩护环境，由于HTTPS/TLS能够援手恶意软件躲避传统的基于署名或基于内容查抄的安全解决规划。大无数网络监控设备在面对加密流量时，很难区吩熹是合法通讯还是恶意活动。
为有效应对加密流量检测难题，一种有效的战术是通过业务流量基线自进建进行预处置过滤，使用流量行为、域名、指纹、证书、包深度检测等多维幼模型进行检测，最后对多模型预测了局进行综合决策得出最终检测了局。
然而，即便可能检测到恶意软件加密流量，告警后的研拍钰容往往难以理解，必要高度的专业性和进建成本，这对用户来说是一个不幼的挑战。他们时时必要判断这些检测了局是否真实反映了恶意流量，还是仅仅是一次合法的业务误报。
若何实现恶意软件加密流量的精准急剧检测和智能分析研判 ？下面我们让我们一路通过一个实战案例，看天阗XDR若何迷影寻踪。
XDR 智 能 寻 踪
2024年4月，某当局行业安全运维人员收到天阗XDR的告警通知，发现HTTPS恶意通讯流量告警，疑似CobaltStrike木马，随即启动垂危排查流程。
在告警详情中能够看到，HTTPS加密隧路检测模型通过多维检测得出该流量的威胁评分高达93。
随即天阗XDR触发自动取证研判工作，从终端侧EDR拉取过程文件信息、文件自动投递沙箱进行动态行为检测、检索域名威胁谍报标签、全流下发查问通联接见关系。同时，天阗XDR对取证返回了局进行自动化分析并展示。这一系列操作无需人为过问，全数自动实现。
从取证信息中能够看到，HTTPS检测模型分析出与CobaltStrike类似度为91%。此表，文件在沙箱动态检测中被鉴别为与海莲花APT组织有关联。因而，天阗XDR自动研判分析该告警为疑似海莲花CobaltStrike木马，并同时还原出整个攻击故事线。
后续，运维人员在凭据故事线进行人为取证溯源排查后发现，用户简直遭逢垂钓攻击，海莲花APT使用假装成“工资调整”“公积金调整”蹬渍饵文件来蛊惑受害者点击，并利用白加黑技术加载CobaltStrike HTTPS隧路木马进行上线远控。
受害主机上线不久后，攻击者立马起头对指标进行远程节造。通过成立的HTTPS隧路下发各类扫描工具，尝试进行网络横向渗入。
最后，现场措置人员通过一键措置职能实现木马的取证及算帐。从检测、研判到措置，整个过程在短短几分钟内就已全数实现，有效遏造了潜在风险的舒展。
天阗XDR基于告警降噪、关联分析能力，自动甄别出正确的加密流量告警事务，自动还原出整个事务的来龙去脉，蕴含齐全蹊径出现、全攻击阶段覆盖、齐全攻击汗青复盘、攻击功夫线出现，同时能够网端关联、一键联动端侧进行措置关环。如同客户身边的安全专家，援手客户解决恶意软件加密流量难检测、难研判的问题。
京公网安备11010802024551号