天阗XDR在手，看防守方如何智擒红队

在攻防演练的紧张对决中，攻击队常利用文件上传、命令执行、代码注入等漏洞，悄无声息地植入免杀Webshell，给防守方带来巨大挑战。

由于入侵者不断变换攻击资源和手段，通过加密混淆Webshell、利用0day/1day漏洞等高级技术，使防守方在海量的告警信息中难以迅速找到准确的攻击线索。

在攻击事件还原的过程中，安全人员还要不断地切换各种安全设备，并结合大量的人工分析来还原攻击事件，整个过程既耗时又费力，攻防双方的力量对比严重失衡。

启明星辰天阗XDR，将为这一困境带来转机。凭借强大的关联分析、智能降噪和联动处置能力，天阗XDR可帮助安全人员迅速从繁杂的告警中筛选出真实的攻击线索，精准定位攻击源，并还原整个攻击过程。这种高效的防御模式将攻击事件的响应时间从传统的天级提升至了分钟级，极大地提升了防守方的应对能力和反应速度。

下面，让我们通过一个场景案例复现安全人员如何巧用XDR智擒红队。

↓↓↓

2024年4月下旬，某重要单位组织的攻防演练中，安全人员利用启明星辰天阗XDR发现内网服务器Webshell高级别告警，通过使用XDR自动关联取证、智能攻击链还原、快速联动处置等功能，迅速找到了漏洞利用点，溯源到了客户系统的失陷账号，并联动EDR对主机上的Webshell进行了清除，短短十几分钟就完成了整个攻击过程的处置。

事件溯源过程

1、Webshell上传成功

4月23日 15:35

XDR上报了一条Webshell上传告警，并且自动通过网端联动取证判断为“上传成功”，同时显示了EDR返回的终端取证信息。

从提示信息看出，攻击者利用客户自研系统的后台上传功能成功上传了Webshell。

2、Webshell连接成功

4月23日 15:36

XDR再次告警Webshell连接。

XDR通过关联分析，发现攻击者所连接的Webshell与之前攻击者上传的Webshell一致，表明攻击已处正在利用阶段，XDR也将两条告警进行了智能合并。

3、攻击入口溯源

紧接着

XDR自动提取了判断为确定攻击的文件上传漏洞的cookie信息，并下发到全流量存储系统（NFT）进行自动化狩猎，成功溯源到攻击者于14:48分利用失陷账号“jinyuqiang”的登陆成功事件。