20220628 研判分析技术培训（发布） conv.docxVIP

研判分析技术培训

安服团队2022-06-28

目录

1.简介..............................................................................................................................31.1什么是分析研判？........................................................................................31.2?作职责.......................................................................................................31.3攻击现场保护..............................................................................................3

2.分析研判思路............................................................................................................32.1攻击特征分析..............................................................................................3DKIM-Signature：DomainKeys.........................................................................42.2攻击?为特征分析......................................................................................5

3.分析研判思路和?法...............................................................................................63.1判断攻击是否成功......................................................................................63.2评估攻击危害性和影响范围....................................................................63.3判断是否为HW相关事件.............................................................................73.1.1重点关注国外IP、云服务器IP............................................................73.1.2重点关注攻防演习期间以及开始前新出现的攻击IP.....................73.1.4攻击时间和攻击源IP.............................................................................7

1.简介

1.1什么是分析研判？

针对HW期间发现低、中、??险威胁告警事件，进??次分析，进?步研判影响范围

和影响?的?作。

1.2?作职责

针对HW期间发现低、中、??险威胁告警后，分析判断告警的攻击?为的可信度，分

析攻击?为特征。

定位问题后，研判事件影响，评估影响范围，梳理攻击线索，确认问题线索处置有效?

式，精准处置问题。

根据攻击者留下的痕迹，串联所有已掌握的攻击信息，按照关键时间节点分析并汇总该

事件的信息，追溯还原整个攻击链路。

1.3攻击现场保护

有上机排查等关键操作需求时，建议?必要情况下不要直接上机操作，如果现场具备条

件，必须按照应急响应的流程开展?作，保护攻击现场，不做任何新增、删除等操作。

2.分析研判思路

2.1攻击特征分析

?恶意IP地址/域名

?云函数、域前置恶意使?；

?C2域前置

?C2云函数

?……

?代理池滥??为

?短时间出现不同IP对某个接?发送不同的攻击请求；

?云服务器IP/只有演练期间出现的新增访问记录IP：

?1、攻击者?侵过程中为了隐藏真实I