一场真实的狩猎战——Log4j2漏洞攻击案例
lipiwang 2024-10-27 13:32 7 浏览 0 评论
近期，面对门槛低、危害大的Log4j2漏洞，各行业用户都被搞的“心神不宁”，除了对业务系统和安全产品做了紧急升级之外，还提出了同一个疑问：在漏洞公布之前，自己的业务系统是否遭受过攻击者利用该漏洞进行的攻击？
显然，答案是肯定的。
下面要讲的就是一次真实的Log4j2漏洞历史攻击狩猎案例，全流量分析取证系统（NFT）在其中功不可没。
作为业内第一款基于全流量存储的攻击取证溯源产品，NFT可以实现对用户网络流量的全部存储，以便于对历史数据进行回溯分析，本次事件的顺利取证溯源，就是得益于这一功能。
12月9日，启明星辰安全应急响应中心监测到网上披露Apache Log4j2 存在远程代码执行漏洞，在第一时间进行紧急响应。
12月10日，集团一系列产品提供全面解决方案。
与此同时，集团NFT产品团队发布《Apache Log4j2漏洞利用取证溯源手册》，前场7×24小时待命的运维人员和远程技术支持团队，在经过客户授权允许的前提下通宵达旦的奋战，发现客户的业务系统存在该漏洞并被攻击者利用。
以下是对某客户在12月9号被攻击者利用Log4j2漏洞进行攻击的全过程分析。
步骤一：攻击规则输入
安全分析人员第一时间通过NFT产品的高级自定义规则功能，将定义好的Apache Log4j2远程代码执行漏洞攻击规则输入至现场部署的NFT中。
步骤二：选取历史流量分析
安全分析人员选取用户12月9号全天的流量作为分析数据源，按照上述创建的Apache Log4j2远程代码执行漏洞攻击规则进行自动化回放匹配。
步骤三：历史流量匹配结果
经过对12月9号全天流量的回放捞捕匹配，最终发现在12月9号晚上23点，存在2个攻击IP（疑似两个攻击者）对客户的4个业务系统进行攻击，总攻击次数为31次。
步骤四：攻击取证溯源分析
安全分析人员从NFT产品上提取了攻击行为的全量报文数据，做了进一步分析，发现攻击者对攻击手段payload进行了改良升级，从只有LDAP协议到增加RMI，并不断对客户资产进行扫描。
步骤五：失陷主机定位
攻击者在探测漏洞时使用带外攻击进行测试，若目标资产存在漏洞，恶意代码将会被执行，目标资产开始外联。安全分析人员通过带外域名信息，在NFT上查询到被攻击主机请求该域名的行为，最终确认了该主机已失陷。随后，安全分析人员为客户设备进行了系统升级，及时帮助客户降低了损失。
全流量分析取证系统（NFT）通过全流量存储的机制，可以将用户网络可能遭受的0day等未知攻击行为数据全量留存，在0day公开的第一时间，可以对NFT存储的历史数据进行回溯分析，及时发现客户网络的受害情况，最大程度的降低客户损失。
网络安全是一个永恒不变的话题，启明星辰作为领军企业，一直走在网络安全行业的最前沿。未来，启明星辰将充分利用专业的技术优势及丰富的应急响应实战经验，为客户的网络信息安全保驾护航。
小贴士：
NFT是什么？
全流量分析取证系统（NFT）能精准记录网络中的全量数据，并解析网络中的所有行为。当发现网络受到攻击时，安全人员可以通过NFT产品，调取任意时刻的历史流量，迅速对攻击行为进行溯源取证，为进一步采取安全防护措施提供有力支撑。
相关推荐
- 《每日电讯报》研发数字工具，教你更有效率地报道新闻
-
为鼓励新闻编辑部持续创新，《每日电讯报》正在尝试有战略地研发数字工具。网站的数字媒体主任马尔科姆o科尔斯（MalcolmColes）表示，《每日电讯报》正试图去“创建一些可持续资产”，以便于让记者们...
- html5学得好不好，看掌握多少标签
-
html5你了解了多少？如果你还是入门阶段的话，或者还是一知半解的话，那么我们专门为你们收集的html5常用的标签大全对你就很有帮助了，你需要了解了html5有哪些标签你才能够更好的。驾驭html5...
- 前端分享-少年了解过iframe么（我想了解少年）
-
iframe就像是HTML的「内嵌画布」，允许在页面中加载独立网页，如同在画布上叠加另一幅动态画卷。核心特性包括：独立上下文：每个iframe都拥有独立的DOM/CSS/JS环境（类似浏...
- 做SEO要知道什么是AJAX(人能看到但搜索引擎看不到的内容)
-
一个明显的，人能看到但搜索引擎不能看到的内容是AJAX。那么什么是AJAX呢？其实，了解过的基本上也都清楚，AJAX不是新的编程语言,而是一种使用现有标准的新方法。AJAX最大的优点是在不重新加...
- 介绍最前沿的人工智能创新，‘无反向传播’神经网络训练方法?
-
图像由GoogleImageFX生成前言：本文整理自NoProp原始论文与实践代码，并结合多个公开实现细节进行了全流程复现。对神经网络训练机制的探索仍在不断演进，如果你也在研究反向传播之...
- 说说我们对HTML6的期许（对html的看法）
-
HTML5概述HTML5是HTML语言最受欢迎的版本之一，它支持音频和视频、离线存储、移动端、和标签属性等等。还提供了article,section,header这样的标签来帮助开发者更好...
- 浏览器中在线预览pdf文件，pdf.mjs插件实现web预览pdf
-
背景：本来只是淘宝上卖卖袜子，想着扩展一下业务，准备做同名“来家居”海外袜子馆外贸项目，碰到pdf在线预览的需求，就找了pdf.js插件进行实践后把此方法记录下来，可以通过多种方法来实现，每种方法都有...
- SVG 在前端的7种使用方法，你还知道哪几种?
-
本文简介点赞+关注+收藏=学会了技术一直在演变，在网页中使用SVG的方法也层出不穷。每个时期都有对应的最优解。所以我打算把我知道的7种SVG的使用方法列举出来，有备无患~如果你还...
- HTML5常用标签大全（html5em标签）
-
HTML前端开发最终取决于掌握标签的多少HTML大概有七八百个标签楼主这里给大家总结了下HTML常用标签标签描述<!--...-->定义注释。<!DOCTYPE>定义文档类型...
- "伪君子Snoop Dogg!"... WHAT?| MetroDaily 24/7
-
TUE.01-新作品-虽说年纪大了会有点糊涂，但是最近SnoopDogg的这波操作实在是让粉丝们有点迷，甚至有人表示没想到他是这样的"伪君子"......而这一切都源于他近日在IG上Po出的一...
- 莎夏·班克斯盼望表哥Snoop Dogg为其作出场曲
-
NXT女子冠军莎夏·班克斯(SashaBanks)近日接受了迈阿密先驱报采访，访谈纪要如下：关于她出众的形象：“我一向喜欢与众不同。为了能让人眼前一亮，我的装束总是非常前卫、非常抢眼，这样才能让观众...
- 喜欢Snoop!全球第一间「史努比博物馆」海外分馆在东京!
-
1950年起，由美國漫畫家CharlesM.Schulz創作的作品《Snoopy》史努比，其鮮明的可愛角色與幽默的劇情內容，至今仍成為許多大朋友與小朋友心中的最愛。為了紀念作者所設立的全球首...
- Vetements 推出 Snoop Dogg 肖像「天价」T-Shirt
-
Vetements的CEOGuramGvasalia早前才透露品牌经营策略的秘密–Vetements如何成为人人热议的话题品牌。但似乎他仍有更多需要解释的东西–这个法国奢侈品牌最新...
- 狗爷Snoop Dogg的《I Wanna Thank Me》巡回演唱会旧金山站
-
西海岸匪帮说唱歌手SnoopDogg在《IWannaThankMe》巡回演唱会旧金山站表演（图片来自ICphoto）西海岸匪帮说唱歌手SnoopDogg（图片来自ICphoto）西海...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- maven镜像 (69)
- undefined reference to (60)
- zip格式 (63)
- oracle over (62)
- date_format函数用法 (67)
- 在线代理服务器 (60)
- shell 字符串比较 (74)
- x509证书 (61)
- localhost (65)
- java.awt.headless (66)
- syn_sent (64)
- settings.xml (59)
- 弹出窗口 (56)
- applicationcontextaware (72)
- my.cnf (73)
- httpsession (62)
- pkcs7 (62)
- session cookie (63)
- java 生成uuid (58)
- could not initialize class (58)
- beanpropertyrowmapper (58)
- word空格下划线不显示 (73)
- jar文件 (60)
- jsp内置对象 (58)
- makefile编写规则 (58)