ATT&CK 在大数据安全分析中的应用思考(11)

2019-11-16

举例：

Powershell目前被攻击者频繁利用，也是终端必须审计的数据源之一。

若规则为定义如下，那么这只能算是一个审计信息。

Image contains 'powershell.exe'

若规则有了更细致的特征，那么可以定级为一个参考告警甚至失陷告警。

Image contains 'powershell.exe' and CommandLine contains ('-w hidden' or '–Exec Bypass' or '-c' or '-Enc' or '–Nop' or 'DownloadFile')

有了详细的特征为什么还需要使用宽泛的审计规则：世上没有完美的规则，规则总可能被绕过，这时还有审计信息给予我们溯源的可能。

审计规则可以记录所有动作为什么还要颗粒度更高的规则：权重！让机器帮你做初步的筛选，直接关注存在的高风险问题，权重不同的告警在场景化过程中对结果的判断也会有影响。

推荐阅读

上一篇：特朗普勒索软件来袭：“特朗普.exe”和“特朗普死亡屏幕”

下一篇：首批产品遭吐槽，小米手表提前半个月预告系统升级