高级威胁检测

2023年夏天，高级某大型能源企业的威胁运维团队发现一台边缘服务器在凌晨三点向一个陌生IP发送了加密数据包，流量不到2MB。检测防火墙没报警，高级EDR没拦截，威胁因为那个IP的检测威胁情报评分是“低风险”。三天后，高级同一台服务器开始横向扫描内网数据库。威胁这不是检测电影桥段，是高级真实发生的APT攻击——攻击者用合法云服务做C2通道，把恶意流量伪装成正常心跳。威胁

传统安全设备在这里几乎全瞎了。检测签名匹配？高级人家用的是0day。异常流量检测？威胁2MB的加密包比员工刷短视频还安静。高级威胁检测要解决的检测，恰恰是这种“看起来一切正常”的烂摊子。

我见过不少团队把高级威胁检测等同于买一套沙箱。样本扔进去，等报告。可问题是，现代攻击者根本不给你样本。他们用无文件攻击，把恶意代码直接注入内存；用Living-off-the-Land技术，调用系统自带的PowerShell、WMI干脏活。你沙箱里跑的是个空壳，真正的payload在内存里飘着，重启就没了。

那靠什么抓？行为。不是单点行为，是行为链。一个正常员工不会在凌晨三点从财务系统跳转到HR数据库再跳转到研发代码库。一个IIS进程不会突然去读SAM文件。这些动作单独看都有合法解释，串起来就是攻击剧本。高级威胁检测的核心能力，是把端点、网络、身份日志拼成一张时序图，然后找那些“逻辑上不该连起来”的边。

有个做金融风控的朋友转行搞安全，他打了个比方：传统检测像查酒驾，吹气达标就抓；高级威胁检测像查洗钱，不看单笔金额，看资金流向是否形成闭环。攻击者要偷数据，必然有“侦察-立足-提权-横向-外传”的链。你不需要抓住每一环，抓住两环之间的异常跳转就够了。

但这里有个坑。很多产品吹自己用了UEBA、用了机器学习，结果部署完天天报“某账号非工作时间登录”。运维半夜修服务器太正常了。误报把分析师逼成“狼来了”的孩子，真攻击来了反而没人看。好的高级威胁检测得懂业务上下文：这个账号是不是运维？这台机器是不是跳板机？这个时间点有没有变更窗口？

我偏爱的做法是“假设失陷”。别问“有没有被攻破”，问“如果已经被攻破了，攻击者现在会干什么”。然后去日志里找那些动作的痕迹。比如攻击者要外传数据，大概率会压缩、加密、走非常规端口。你不需要检测恶意软件，只需要检测“一个数据库进程突然开始大量读文件并写到一个临时目录，然后这个目录被7z打包”。

最后说个真事。某次红队演练，攻击队用钓鱼拿到一个普通员工权限，然后花了六小时做信息收集，期间触发了十几次低危告警，全被SOC忽略。直到他们尝试用PsExec横向移动，才被一条“服务创建异常”的规则逮住。事后复盘，那六小时里的每一条告警单独看都是噪音，但连起来就是完整的攻击链。高级威胁检测的难，不在于技术多高深，在于愿不愿意把那些“看起来没事”的碎片当回事。