威胁情报作战三部曲之一：攻击者画像技术详解

1. 攻击者画像概述

攻击者画像是一种站在高维度的攻击者视角，通过分析攻击者的行为模式、使用的技术和工具、攻击的目标和频率等信息，从海量攻击告警中提炼有效信息，构建关于攻击者的详细"档案"的技术。

1.1 攻击者画像的核心要素

攻击者画像包含以下几个关键方面：

1. 身份信息：

   • 攻击者类型：攻击队、白帽、黑灰产还是APT组织
   • 可能的组织背景或个人背景

2. 动机分析：

   • 窃取机密
   • 进行黑产活动
   • 恶意报复
   • 其他特定目的

3. 行为特征：

   • 攻击时间规律
   • 偏好的攻击手段
   • 攻击频率和持续性
   • 目标选择模式

4. 技术水平：

   • 漏洞利用能力
   • 恶意软件"魔改"能力
   • 规避检测的技术水平
   • 工具开发能力

5. 历史攻击记录：

   • 广撒网式攻击还是针对性攻击
   • 是否攻击过同行业企业
   • 历史攻击手法演变

2. 攻击者画像的价值

2.1 从被动防御到主动防御

传统防御面临的问题：

• 攻击者可以轻易更换IP绕过封堵
• 防御方不了解攻击者身份和意图
• 难以判断攻击者是否发现突破口

攻击者画像带来的转变：

• 实现TTP(战术、技术、程序)级别的有效防御
• 理解攻击者思维方式
• 预测攻击者行为

2.2 具体价值体现

1. 更好地理解潜在威胁

   • 识别攻击手法和武器库
   • 确定攻击者具体身份
   • 分析攻击真实意图

2. 优化安全策略

   • 从经验制定转向数据驱动
   • 针对不同类型攻击者制定精准策略
   • 实现体系化的策略沉淀

3. 提前预测未来威胁

   • 分析攻击者动态趋势
   • 预测可能攻击的关键资产
   • 预判潜在攻击方法

4. 优化资源分配

   • 根据威胁等级合理分配资源
   • 针对高价值目标加强防护
   • 减少低效防御投入

3. 攻击者画像构建流程

3.1 同源识别聚类

1. 数据收集：

   • 告警日志
   • 原始审计日志
   • 情报IOC数据
   • 外网攻击数据
   • 恶意邮件样本
   • 端点恶意样本

2. 分析技术：

   • 同源识别聚类算法
   • 攻击者身份识别
   • 特征分析
   • 攻击关系图分析

3. 画像构建：

   • 关联相同特征和相似攻击行为
   • 形成独立攻击者画像
   • 全面刻画身份、意图、能力和手法

3.2 动态防御措施制定

1. 画像研判：

   • 分析攻击者意图
   • 识别攻击趋势
   • 掌握活动规律

2. 措施制定：

   • 针对性防御策略
   • 动态调整防护规则
   • 重点资产保护

3.3 第三方信息增补

企业数据的局限性：

• 攻击视野有限
• 只能观察到攻击者的部分手法
• 容易以偏概全

增补方法：

1. 与外部情报厂商合作（如微步在线）
2. 攻击信息富化：
   • 关联通讯样本
   • 漏洞利用信息
   • 木马链接
   • 历史解析记录
3. 攻击特征分析：
   • 攻击链分析
   • 工具库识别
   • 资产库关联
   • 相关样本分析
   • 攻击点定位
   • 技战术分析

4. 实战案例分析

4.1 攻击事件分析

攻击特征：

• 请求方式：/cgi-bin/luci/;stok=/locale?form=country
• Payload信息：103.146.23.249
• 来源IP：31.220.1.83

漏洞分析：

• 漏洞编号：CVE-2023-27359
• 影响设备：TP-Link AX1800
• 漏洞类型：未经身份验证的命令注入
• 漏洞位置：/cgi-bin/luci;stok=/locale下的country参数
• 漏洞原理：对popen()的调用导致任意命令执行
• 利用现状：国内利用详情甚少，可能属于1day或0day利用

4.2 传统防御的局限性

• 仅能对已知IP进行封堵
• 攻击者更换IP后需重复工作
• 无法形成系统性防御

4.3 攻击者画像应用

1. 同源攻击汇聚：

   • 根据Payload特征汇聚同类攻击
   • 识别同一攻击者的不同攻击尝试

2. 情报生产与消费闭环：

   • 生成本地情报
   • 供后续威胁狩猎使用
   • 形成完整的情报闭环

3. 样本分析拓展：

   • 通过资源点信息查询相关样本
   • 获取样本hash供内部排查
   • 进行情报拓线发现新信息

4. 攻击者意图推理：

   • 分析可能的攻击目的
   • 评估攻击者技术水平
   • 预测未来攻击方向

4.4 防御效果提升

• 主动识别高水平攻击队的定点攻击
• 针对性调度高水平防守人员
• 主动排查系统风险
• 检查WAF/RASP设备覆盖情况
• 提前强化防御能力

5. 最佳实践建议

1. 系统化建设：

   • 将攻击者画像作为系统性工程
   • 建立自动化分析流程
   • 实现从告警到画像的快速转化

2. 情报共享：

   • 内部各部门情报共享
   • 与外部情报厂商合作
   • 参与行业情报共享计划

3. 持续运营：

   • 定期更新攻击者画像
   • 跟踪攻击者TTP演变
   • 调整防御策略

4. 人员培训：

   • 培养攻击者画像分析能力
   • 提高威胁情报解读水平
   • 加强跨部门协作意识

6. 总结

攻击者画像技术通过系统性地收集、分析和关联攻击数据，能够帮助安全团队：

• 从被动防御转向主动防御
• 理解攻击者思维和行为模式
• 预测潜在威胁
• 优化安全资源配置
• 提高整体安全防护水平

该技术是构建完整威胁情报体系的第一步，为后续的"情报拓线"和"威胁狩猎"奠定了坚实基础。