ATT&CK 在大数据安全分析中的应用思考(12)

2019-11-16

分析溯源

无论是 APT 还是常规的渗透攻击，可能会用一些目前未知的技术手段或者 0DAY ，但也必然会用到其他已知的攻击手段，这时我们的标签化的数据就起到了分析的价值，可以根据标签进行行为分析、异常分析等。

1. 进程树的分析

当我们触发告警时，可以溯源该告警进程的进程树。此时可将进程树的上所有进程附着的 TTP 标签作为数据，分析该进程树是否为一条失陷的攻击链，在进程树生成后也会发现许多没有标签的进程，这些可能就是规则遗漏的检测点。

举个简单一点的判断逻辑：

a. 是否树上可以有多个权重较高的标记

b. 是否树上有超过${Num个不同的标记

推荐阅读

上一篇：特朗普勒索软件来袭：“特朗普.exe”和“特朗普死亡屏幕”

下一篇：首批产品遭吐槽，小米手表提前半个月预告系统升级