sentinel, Lab
场景 2 — 阶段一：攻击发现与威胁确认
发现渠道
| 渠道 | 说明 |
|---|---|
| 安全情报预警 | CERT / 厂商发布供应链攻击通告 |
| 异常流量检测 | 生产服务器向可疑外部 IP 发起连接 |
| EDR/XDR 告警 | 可信进程异常行为 |
| 代码审计发现 | 依赖扫描 / SBOM 比对发现异常组件 |
| 监管 / 行业通报 | 网信 / 公安 / 行业安全中心通报 |
威胁确认流程
- IOC 交叉匹配：将告警 IOC 与情报库比对，确认是否与已知供应链攻击关联
- 受影响范围锁定：SBOM 比对：哪些业务使用了该组件
- 后门行为验证：沙箱运行：确认后门激活条件，网络行为：C2 通信协议和目标
- 攻击时间窗口确认：后门版本何时引入，受影响系统的部署时间线
- 紧急程度评估：后门是否已激活？数据是否已泄露？是否正在被利用？
确认：后门已激活 → C2 通信已建立 → 生产环境被控
受影响系统排查
- SBOM 全量比对：扫描所有生产系统依赖清单
- 镜像 / 制品哈希校验：比对生产镜像与已知安全版本
- 网络连接审计：生产服务器外联记录
- 供应商通道审查：供应商 VPN / 堡垒机账户审计
响应决策
- 是否立即切断供应商通道？
- 是否需要业务紧急切换？
- 是否需要通知其他关联方？
- 后门激活程度？（仅驻留 / 已横向移动 / 已数据外泄）