一键还原攻击现场！�。。。�，，，，，看XDR若何智斗勒索
颁布功夫 2024-07-26媒介：
勒索软件攻击已成为企业面对的重要网络安全威胁之一，，，，，，其高荫蔽性、高粉碎性和勒索性，，，，，，给受害者带来了巨大损失。。。。。然而，，，，，，随着技术的不休进取，，，，，，扩大检测与响应（XDR）系统正成为招架此类攻击的壮大兵器。。。。。本文将通过现实案例，，，，，，展示XDR若何精准还原勒索攻击现场！�。。。�，，，，，为安全运营人员提供有力支持。。。。。
2024年5月，，，，，，某客户现场装置的EDR忽然发出文件被异常篡改的勒索行为告警，，，，，，同时NDR和沙箱也产生了屡次恶意行为告警，，，，，，这引起了安全运营人员的亲昵把稳。。。。。
攻击者是若何进入内网的？？？？？都有哪些资产受到影响？？？？？该若何算帐被攻击者习染过的主机？？？？？面对这一垂危情况，，，，，，这三大问题成为了客户亟待相识的焦点。。。。。
以往解决这些问题，，，，，，必要专业的钻研人员进行分析溯源，，，，，，但是本次攻击涉及到的主机多多，，，，，，攻击者又使用了多种攻击手法。。。。�？？？？？吹秸饷苊苈槁榈母婢挛窈凸亓狪P，，，，，，纵使身经百战的研判人员也不禁叹气。。。。。
但幸运的是，，，，，，由于客户现场部署了天阗XDR系统，，，，，，安全运营人员能够利用天阗XDR壮大的故事线还原职能，，，，，，通过其聚归并降噪来自分歧安全工具的告警信息，，，，，，同时利用其自动化取证技术，，，，，，还原出攻击的功夫线和故事线。。。。。
如上图所展示，，，，，，天阗XDR的智能聚合能力，，，，，，可将多多事务聚合成为关键攻击节点，，，，，，并依照故事线进行分列，，，，，，使故事线了如指掌。。。。。
此前在《看天阗AI智能体若何赋能XDR实现高阶智能驾驶》一文中，，，，，，我们已介绍，，，，，，8827太阳集团XDR实现了天阗AI智能体的赋能，，，，，，能够对各类检测单元进行智能调度，，，，，，实现智能告警分析、自动天生分析汇报。。。。。在本次攻击事务回首中，，，，，，我们也选取了天阗AI智能体进行单一总结，，，，，，内容蕴含受影响的主机和用户、恶意文件以及表联C2地址等关键信息。。。。。
从故事线中能够看到，，，，，，攻击者在5月23日14:21分通过暴力破解使用sa用户登录MSSQL服务器。。。。。随后通过MSSQL中的xp_cmdshell来执行Powershell下载号令，，，，，，尝试将恶意文件落地并执杏祝。。。。紧接着，，，，，，攻击者起头尝试进行横向移动，，，，，，并使用了分歧的手法进行传布。。。。。具体如下：
1、15:07，，，，，，攻击者尝试使用SMB和谈将恶意文件投递到其他主机上，，，，，，能够通过点击“SMB操作-文件复造”节点来查看SMB传输的具体信息，，，，，，同时XDR的沙箱联动职能也会将对应样本的运行了局展示鄙人方。。。。。
2、15:11，，，，，，攻击者尝试通过impacket工具中的smbexec剧本在受害者主机上执行号令，，，，，，点击对应的“号令执杏妆节点，，，，，，可查看到攻击者执行的每条指令。。。。。
通过执行详情和过程树，，，，，，能够判断攻击者尝试使用DESKTOP-EVWZQ36/admin的用户痛处，，，，，，通过远程服务来执行号令。。。。。道理为使用echo将号令写入%SYSTEMROOT%文件夹下随机名称的bat中，，，，，，随后执行并删除。。。。。
3、17:52，，，，，，攻击者在内网利用永恒系列缝隙习染更多的主机，，，，，，并尝试植入后门。。。。。XDR的自动化取证职能通过将永恒之蓝的shellcode上传到沙箱中，，，，，，最终鉴别到攻击者尝试植入CobaltStrike。。。。。
最后，，，，，，利用天阗XDR的联动响应职能，，，，，，钻研人员迅速处置了所有主机有关风险项并将C2参与了防火墙黑名单，，，，，，客户最关切的三个问题也都迎刃而解。。。。。
本案例充分展示了天阗XDR在应对勒索软件攻击中的沉要作用。。。。。通过攻击行为自动化取证、沙箱联动以及故事线还原、功夫线还原等职能，，，，，，天阗XDR不仅简化了安全分析人员的工作流程，，，，，，还提高了应对网络威胁的效能和正确性，，，，，，让攻击行为无所逃形。。。。。
京公网安备11010802024551号