安星威胁检测智能体DeepHunting实战：威胁狩猎提效显著，30分钟全链溯源

颁布功夫 2026-02-10

媒介：

面对荫蔽化、复杂化的高级网络威胁，安星威胁检测智能体推出的DeepHunting职能，通过AI驱动，实现了攻击链路的自动化、全维度溯源 。在某客户实战中，仅用30分钟即齐全还原从表网SQL注入、WebShell植入到内网横向移动的全过程，效能较人为提升显著，助力企业构建自动、精准的高级威胁防御能力 。


DeepHunting实战布景——告警触发，亟需全链溯源


某客户内网搭建美满的企业级办公与业务系统，对表通过统一网关提供Web服务，主题业务资产承载着企业主题数据与关键业务流转，一旦遭逢攻击，将造成不成估计的损失 。为构建全方位安全防护系统，该客户已实网部署安星威胁检测智能体、XDR系统，并升级至搭载DeepHunting职能的最新版本，同时联动防火墙、超融合探针（CSP）、高级威胁检测设备（TAR）、全流量存储设备（NFT）等多类安全设备，实现多源数据融合互通，构建起“全域监测、协同响应”的安全防御矩阵，全面覆盖攻击告警全流程 。


近期，某客户值班安全人员监测到主题业务系统资产触发“Webshell衔接成功”告警，初步判定存在恶意WebShell衔接行为，然而仅凭现有告警信息，无法还原攻击全貌、定位攻击源头与横向扩散蹊径，也难以排查潜在荫蔽威胁 。在此危机时刻，安全团队利用DeepHunting职能，开启了一场由AI智能体主导的自主狩猎，在30分钟内便实现狩猎溯源 。


狩猎过程：攻击者以公网 IP 为起点，首先入侵主题业务系统资产主机，并以此为跳板，向同网段两台主机A和B提议横向攻击，通过多种缝隙利用、恶意工具植入实现全面节造，涉及 Web 攻击、缝隙利用、内网穿透等多个攻击环节 。


图片1.png

狩猎拓线后攻击蹊径图


DeepHunting——隐秘狩猎”全流程解析


在本次实战中，安全人员只需向DeepHunting分析窗口输入单一狩猎指令，便触发AI智能体的全自主索求模式，急剧、精准地实现溯源工作 。以下为本次DeepHunting实战的具体过程：


图片2.png

将狩猎指令输入到DeepHunting的分析窗口中


第一步：入口溯源——精准锁定表网突破蹊径


DeepHunting启动后，首先对触发告警的主题业务资产IP进行前置行为溯源 。凭借内置的多智能体合作架构，系统急剧拆解攻击入口逻辑  ；DeepHunting的狩猎规划组率先将“排查Webshell衔接源头」剽一吞吐需要，转化为明确的狩猎如果，并结合ATT&CK战术库，精准定位“缝隙利用、恶意剧本植入、荫蔽节造通路搭建”三大主题环节 。


图片3.png

DeepHunting起头威胁狩猎


经自主索求，DeepHunting仅用15分钟便齐全还原攻击者表网突破全过程，相较于传统人为溯源的数幼时，效能实现质的飞跃 。


1、攻击者以某公网IP为起点，通过SQL报错注入（GTID_SUBSET函数）探测数据库敏感信息（ATT&CK T1190），实现前期信息网络  ；

2、利用主题业务系统的文件上传缝隙，向/upload/avatar接口上传恶意"100%" data-opacity="1" data-rotate="0">


蹊径一：永恒之蓝缝隙利用，急剧拿下内网A主机 。DeepHunting通过关联主题业务资产（失陷主机）的后续行为日志，发显熹对内网同网段A主机提议的定向攻击链：首先，失陷主机利用Nmap、Fscan工具对内网A主机进行端口与服务探测，精准鉴别指标主机的缝隙短板  ；随后，攻击者利用“永恒系劣妆缝隙（EternalBlue/SMB缝隙），成功突破A主机防御，获取系统高权限  ；为实现持久节造，攻击者在A主机植入Meterpreter木马，再次部署venom内网穿透工具，买通失陷主机与A主机的双向节造隧路，实现对A主机的全面收受 。


蹊径二：Redis渗入攻击，实现荫蔽悠久化节造 。DeepHunting捉拿针对内网B主机的Redis渗入攻击：攻击者通错误陷的主题业务资产主机，利用Nmap、Fscan工具对B主机进行扫描探测，锁定Redis数据库的部署情况  ；随后，通过批改Redis数据库敏感配置，利用Redis写入SSH公钥，成功实现权限提升  ；最终，凭借SSH公钥认证，攻击者无需密码即可实现对B主机的悠久化登录，并部署venom工具维持荫蔽节造，形成“表网突破-横向扩散-全面节造”的齐全攻击关环 。



图片4.png


第三步：全链收网——天生结构化攻击叙事汇报


DeepHunting的狩猎研判组在完玉成流程索求后，自动实现“数据-洞察-汇报”的转化，天生一份结构化、可视化的深度安全分析汇报 。汇报以“攻击叙事”的大局，齐全还原攻击的每个功夫节点、操作步骤与涉及资产，清澈出现“表网突破-内网横向-荫蔽驻留”的全攻击链条，同时标注关键缝隙、恶意工具、攻击战术，为安全团队的措置工作提供精准指引 。


同时，DeepHunting具备“多步进式狩猎循环”能力，在狩猎过程中自主发现证据链断点，自动触发新一轮索求，直至还原齐全攻击真相 。


在本次实战中，针对攻击者荫蔽部署venom工具的行为，DeepHunting自动检索DNS日志、过程日志，定位工具部署蹊径与通讯特点，补全了“荫蔽节造通路搭建”的关键证据，彻底突破了攻击者的躲避贪图，展示出其“顺藤摸瓜”的高阶溯源能力 。DeepHunting在30分钟内天生齐全深度安全分析汇报，交付现场安全人员使用 。


DeepHunting实战价值——早发现、早溯源、早措置


本次实网部署，充分验证了DeepHunting在应对复杂高级威胁场景下的实战价值，有效解决传统威胁狩猎耗时久、效能低、过度依赖人为、溯源不齐全等问题，实现了威胁狩猎从被动排查到自动溯源、从经验依赖到逻辑驱动、从单点告警到全链拓扑的三沉范式跃迁 。


针对此类多蹊径、荫蔽性攻击，传统人为溯源耗时通常需6-8幼时，而DeepHunting仅用30分钟便完玉成流程狩猎与全攻击链还原 �  ；诒敬蜠eepHunting的溯源了局，该客户实现了专家经验沉淀与防护系统升级，后续同类攻击的狩猎功夫被进一步压缩至30分钟内，安全分析效能提升显著，真正实现了“早发现、早溯源、早措置”的安全防护指标 。


作为安星威胁检测智能体的主题能力，DeepHunting将AI自主索求理想与安全攻防逻辑深度融合，能在海量数据中精准捉拿攻击痕迹、还原攻击真相，有效提升高级威胁应对能力，推动网络安全防御系统从被动防御走向自主防御，为客户提供了更高效、精准、靠得住的高级威胁防御解决规划 。