如何做攻击溯源自动化

前言

入侵排查中，如何攻击溯源是一个很关键的环节，是一个收尾阶段，如何做到自动化攻击溯源，则更是技术能力的体现点。

在日常处理入侵事件过程中，用户或者客户主要核心关心两个点：

入侵事件解决了吗？（CPU、内存占用率下降了吗？木马清理干净了吗？业务恢复了吗？）
黑客是怎么攻击入侵的？（攻击时间轴是什么？）

同时在2B行业中，一份完整的攻击溯源报告交给客户必不可少的。

那么如何在海量的主机、日志和事件报警中寻找蛛丝马迹，去解放人力，去自动化关联分析等，是我们需要去思考的一个方向。当然高级的APT攻击不在此次思考范畴。

0x01 攻击溯源的价值

攻击溯源的价值是什么? 是抓黑客吗？作为企业或者公有云服务商，攻击溯源能带给什么价值？

其实，攻击溯源的主要价值不在于追捕黑客（当然不排查有大规模的黑客组织）。溯源更大的价值在于：

掌握对手，不局限于已知漏洞，发现未知的0day等新型网络攻击行为；比如在野的；
掌握攻击者的意图、实力等，针对性采取合适的对策；
帮助大客户以及自身梳理和明确下一步安全体系建设的优先级，知道下一步该做什么；
掌握大客户以及自身安全体系的薄弱点，做PDCERF模型，从应急到响应，更好地进行防御。

简要来讲：解决攻击从哪来？到哪去？干了什么？

0x02 主机日志收集

代码语言：javascript复制

/var/log/auth.log  
/var/log/lastlog    
/var/log/secure    
/var/log/cron      
/var/log/wtmp
/var/log/message

#定时任务
/var/spool/root
/etc/cron.d/*
/etc/cron.daily/*
/etc/cron.hourly/*
/etc/cron.monthly/*

/root/.bash_history
/root/.ssh/*
/etc/hosts
等

将登陆日志、应用日志、服务日志、进程端口网络、恶意命令等收集，海量大量日志可以通过ELK系统做快速匹配分析。