你存在，我们的攻击画像里

那么，正题，开始！

嗨，还是我，顺丰的安全研究员K，今天又在网络安全的海洋里“冲浪”，结果被三条告警的“浪”拍得晕头转向：这三条告警彼此简直毫不相干，可是看着间隔时间，又让我本能地觉得此事并不简单。

没想到，这个工具关键时候还真能救命。我输入告警信息，几秒钟的时间它便把三条告警串联起来，指向了同一个攻击团伙。

原来，我离真相只差一个“攻击者画像”的距离！好家伙，今天又有东西可以跟老板吹了：

攻击者画像，就像是给网络攻击者画的一张“肖像画”，它站在高维度的攻击者视角，通过分析攻击者的行为模式、使用的技术和工具、攻击的目标和频率等信息，每天从数千万的攻击告警中提炼有效信息，最终构建出一份关于攻击者的详细“档案”。

具体来说，攻击者画像可能包含以下几个方面的内容：

1. 身份：这可能包括攻击者的个人或组织背景，比如他们是攻击队？白帽？黑灰产还是APT组织？等等。
2. 动机：他们是想窃取机密，还是进行黑产活动？或者是想恶意报复？
3. 行为特征：这涉及到攻击者在网络中的行为模式，比如他们通常选择在什么时间发动攻击，偏好哪种类型的攻击手段等。
4. 技术水平：这可以揭示攻击者的技术能力，比如他们的漏洞利用或者对恶意软件“魔改”的能力如何等。
5. 历史攻击记录：通过分析过去的攻击事件了解攻击者的历史行为，预测他们未来可能的行动，如他们是广撒网式攻击还是针对性攻击、此前是否攻击过同行业企业等。

那么为什么需要用到攻击者画像这个工具呢？

1. 更好地理解潜在威胁。包括识别出攻击者的攻击手法、武器库、攻击者具体身份、以及攻击的真实意图。
2. 优化安全策略。安全策略大部分为安全团队根据经验制定的，缺乏体系化、针对性的策略沉淀。通过攻击者画像的构建，我们可以了解攻击者的特点，掌握不同类型攻击者所使用的不同攻击手法，以此来制定更为精准的安全策略，提高安全性。
3. 提前预测未来威胁。通过分析攻击者的动态趋势，预测之后可能会有哪些类型的关键信息资产，遭遇何种危害的攻击方法，提前采取预防性措施来减少潜在风险。
4. 优化资源分配。当了解了攻击者的身份和动机后，有助于我们更好地制定针对性的安全策略、分配安全资源应对。

（图1 攻击者画像系统分析流程）

（图2 某攻击者的画像研判结果）

企业的攻击视野较为有限，各个攻击团伙在某个单位暴露的手法只是冰山上的一角，如果只从企业防御数据出发，攻击者画像得到的知识库，难免以偏概全。因此我们主动利用第三方信息库增补攻击者画像知识库，与微步在线等外部安全情报厂商合作，持续不断对强相关对手进行：

• 攻击信息富化-关联通讯样本、漏洞利用、木马链接、历史解析记录等；
• 攻击特征分析-攻击链、工具库、资产库、相关样本、攻击点、技战术分析等。

整合内外部情报源后，攻击者画像的刻画更加深入，全面增强了防守方的对手认知，如下图：

（图3 攻击者知识库中某攻击者档案）

1. 请求方式

2. payload内信息

3. 来源信息

来源IP：31.220.1.83就不用讲了，针对常见蓝队防御手段来讲，基本上就是针对IP查询下社区情报然后进行封堵即可。

同时，还可以产生本地情报输出给相关同事进行后续狩猎。详情思路如图，通过事件驱动转换以攻击者身份持续运营立体发现实际遭遇威胁，配合拓线和狩猎持续完善攻击者相关信息形成情报产生到消费的完整闭环。

同时根据资源点信息103.146.23.249查询可以发现已经有相关样本信息了，我们可以将此类样本hash一并提供给内部排查是否存在此类样本。（样本相关信息也可以进行相关拓线发现其他新的信息，欲知后事如何，且看下篇文章分解）