安星威胁检测智能体DeepHunting实战：威胁狩猎提效显著，30分钟全链溯源

宣布时间 2026-02-10

前言：

面临隐藏化、重大化的高级网络威胁，安星威胁检测智能体推出的DeepHunting功效，通过AI驱动，实现了攻击链路的自动化、全维度溯源。在某客户实战中，仅用30分钟即完整还原从外网SQL注入、WebShell植入到内网横向移动的全历程，效率较人工提升显著，助力企业构建自动、精准的高级威胁防御能力。


DeepHunting实战配景——告警触发，亟需全链溯源


某客户内网搭建完善的企业级办公与营业系统，对外通过统一网关提供Web服务，焦点营业资产承载着企业焦点数据与要害营业流转，一旦遭遇攻击，将造成不可估量的损失。为构建全方位清静防护系统，该客户已实网安排安星威胁检测智能体、XDR系统，并升级至搭载DeepHunting功效的最新版本，同时联动防火墙、超融合探针（CSP）、高级威胁检测装备（TAR）、全流量存储装备（NFT）等多类清静装备，实现多源数据融合互通，构建起“全域监测、协同响应”的清静防御矩阵，周全笼罩攻击告警全流程。


近期，某客户值班清静职员监测到焦点营业系统资产触发“Webshell毗连乐成”告警，起源判断保存恶意WebShell毗连行为，然而仅凭现有告警信息，无法还原攻击全貌、定位攻击源头与横向扩散路径，也难以排查潜在隐藏威胁。在此危急时刻，清静团队使用DeepHunting功效，开启了一场由AI智能体主导的自主狩猎，在30分钟内便完成狩猎溯源。


狩猎历程：攻击者以公网 IP 为起点，首先入侵焦点营业系统资产主机，并以此为跳板，向同网段两台主机A和B提倡横向攻击，通过多种误差使用、恶意工具植入实现周全控制，涉及 Web 攻击、误差使用、内网穿透等多个攻击环节。


图片1.png

狩猎拓线后攻击路径图


DeepHunting——隐秘狩猎”全流程剖析


在本次实战中，清静职员只需向DeepHunting剖析窗口输入简朴狩猎指令，便触发AI智能体的全自主探索模式，快速、精准地完成溯源事情。以下为本次DeepHunting实战的详细历程：


图片2.png

将狩猎指令输入到DeepHunting的剖析窗口中


第一步：入口溯源——精准锁定外网突破路径


DeepHunting启动后，首先对触发告警的焦点营业资产IP举行前置行为溯源。依附内置的多智能体协作架构，系统快速拆解攻击入口逻辑 ；DeepHunting的狩猎妄想组率先将“排查Webshell毗连源头”这一模糊需求，转化为明确的狩猎假设，并团结ATT&CK战术库，精准定位“误差使用、恶意剧本植入、隐藏控制通道搭建”三大焦点环节。


图片3.png

DeepHunting最先威胁狩猎


经自主探索，DeepHunting仅用15分钟便完整还原攻击者外网突破全历程，相较于古板人工溯源的数小时，效率实现质的奔腾。


1、攻击者以某公网IP为起点，通过SQL报错注入（GTID_SUBSET函数）探测数据库敏感信息（ATT&CK T1190），完成前期信息网络 ；

2、使用焦点营业系统的文件上传误差，向/upload/avatar接口上传恶意"100%" data-opacity="1" data-rotate="0">


路径一：永恒之蓝误差使用，快速拿下内网A主机。DeepHunting通过关联焦点营业资产（失陷主机）的后续行为日志，发明其对内网同网段A主机提倡的定向攻击链：首先，失陷主机使用Nmap、Fscan工具对内网A主机举行端口与服务探测，精准识别目的主机的误差短板 ；随后，攻击者使用“永恒系列”误差（EternalBlue/SMB误差），乐成突破A主机防御，获取系统高权限 ；为实现恒久控制，攻击者在A主机植入Meterpreter木马，再次安排venom内网穿透工具，买通失陷主机与A主机的双向控制隧道，完成对A主机的周全接受。


路径二：Redis渗透攻击，实现隐藏长期化控制。DeepHunting捕获针对内网B主机的Redis渗透攻击：攻击者通过失陷的焦点营业资产主机，使用Nmap、Fscan工具对B主机举行扫描探测，锁定Redis数据库的安排情形 ；随后，通过修改Redis数据库敏感设置，使用Redis写入SSH公钥，乐成实现权限提升 ；最终，依附SSH公钥认证，攻击者无需密码即可实现对B主机的长期化登录，并安排venom工具维持隐藏控制，形成“外网突破-横向扩散-周全控制”的完整攻击闭环。



图片4.png


第三步：全链收网——天生结构化攻击叙事报告


DeepHunting的狩猎研判组在完玉成流程探索后，自动完成“数据-洞察-报告”的转化，天生一份结构化、可视化的深度清静剖析报告。报告以“攻击叙事”的形式，完整还原攻击的每个时间节点、操作办法与涉及资产，清晰泛起“外网突破-内网横向-隐藏驻留”的全攻击链条，同时标注要害误差、恶意工具、攻击战术，为清静团队的处置惩罚事情提供精准指引。


同时，DeepHunting具备“多步进式狩猎循环”能力，在狩猎历程中自主发明证据链断点，自动触发新一轮探索，直至还原完整攻击真相。


在本次实战中，针对攻击者隐藏安排venom工具的行为，DeepHunting自动检索DNS日志、历程日志，定位工具安排路径与通讯特征，补全了“隐藏控制通道搭建”的要害证据，彻底突破了攻击者的规避妄想，展现出其“顺藤摸瓜”的高阶溯源能力。DeepHunting在30分钟内天生完整深度清静剖析报告，交付现场清静职员使用。


DeepHunting实战价值——早发明、早溯源、早处置惩罚


本次实网安排，充分验证了DeepHunting在应对重大高级威胁场景下的实战价值，有用解决古板威胁狩猎耗时久、效率低、太过依赖人工、溯源不完整等问题，实现了威胁狩猎从被动排查到自动溯源、从履历依赖到逻辑驱动、从单点告警到全链拓扑的三重范式跃迁。


针对此类多路径、隐藏性攻击，古板人工溯源耗时通常需6-8小时，而DeepHunting仅用30分钟便完玉成流程狩猎与全攻击链还原� ；诒敬蜠eepHunting的溯源效果，该客户完成了专家履历沉淀与防护系统升级，后续同类攻击的狩猎时间被进一步压缩至30分钟内，清静剖析效率提升显著，真正实现了“早发明、早溯源、早处置惩罚”的清静防护目的。


作为安星威胁检测智能体的焦点能力，DeepHunting将AI自主探索理念与清静攻防逻辑深度融合，能在海量数据中精准捕获攻击痕迹、还原攻击真相，有用提升高级威胁应对能力，推动网络清静防御系统从被动防御走向自主防御，为客户提供了更高效、精准、可靠的高级威胁防御解决计划。