安星威胁检测智能体DeepHunting实战：威胁狩猎提效显著 ，30分钟全链溯源

宣布时间 2026-02-10

前言：

面临隐藏化、重大化的高级网络威胁 ，安星威胁检测智能体推出的DeepHunting功效 ，通过AI驱动 ，实现了攻击链路的自动化、全维度溯源。在某客户实战中 ，仅用30分钟即完整还原从外网SQL注入、WebShell植入到内网横向移动的全历程 ，效率较人工提升显著 ，助力企业构建自动、精准的高级威胁防御能力。


DeepHunting实战配景——告警触发 ，亟需全链溯源


某客户内网搭建完善的企业级办公与营业系统 ，对外通过统一网关提供Web服务 ，焦点营业资产承载着企业焦点数据与要害营业流转 ，一旦遭遇攻击 ，将造成不可估量的损失。为构建全方位清静防护系统 ，该客户已实网安排安星威胁检测智能体、XDR系统 ，并升级至搭载DeepHunting功效的最新版本 ，同时联动防火墙、超融合探针（CSP）、高级威胁检测装备（TAR）、全流量存储装备（NFT）等多类清静装备 ，实现多源数据融合互通 ，构建起“全域监测、协同响应”的清静防御矩阵 ，周全笼罩攻击告警全流程。


近期 ，某客户值班清静职员监测到焦点营业系统资产触发“Webshell毗连乐成”告警 ，起源判断保存恶意WebShell毗连行为 ，然而仅凭现有告警信息 ，无法还原攻击全貌、定位攻击源头与横向扩散路径 ，也难以排查潜在隐藏威胁。在此危急时刻 ，清静团队使用DeepHunting功效 ，开启了一场由AI智能体主导的自主狩猎 ，在30分钟内便完成狩猎溯源。


狩猎历程：攻击者以公网 IP 为起点 ，首先入侵焦点营业系统资产主机 ，并以此为跳板 ，向同网段两台主机A和B提倡横向攻击 ，通过多种误差使用、恶意工具植入实现周全控制 ，涉及 Web 攻击、误差使用、内网穿透等多个攻击环节。


图片1.png

狩猎拓线后攻击路径图


DeepHunting——隐秘狩猎”全流程剖析


在本次实战中 ，清静职员只需向DeepHunting剖析窗口输入简朴狩猎指令 ，便触发AI智能体的全自主探索模式 ，快速、精准地完成溯源事情。以下为本次DeepHunting实战的详细历程：


图片2.png

将狩猎指令输入到DeepHunting的剖析窗口中


第一步：入口溯源——精准锁定外网突破路径


DeepHunting启动后 ，首先对触发告警的焦点营业资产IP举行前置行为溯源。依附内置的多智能体协作架构 ，系统快速拆解攻击入口逻辑；DeepHunting的狩猎妄想组率先将“排查Webshell毗连源头”这一模糊需求 ，转化为明确的狩猎假设 ，并团结ATT&CK战术库 ，精准定位“误差使用、恶意剧本植入、隐藏控制通道搭建”三大焦点环节。


图片3.png

DeepHunting最先威胁狩猎


经自主探索 ，DeepHunting仅用15分钟便完整还原攻击者外网突破全历程 ，相较于古板人工溯源的数小时 ，效率实现质的奔腾。


1、攻击者以某公网IP为起点 ，通过SQL报错注入（GTID_SUBSET函数）探测数据库敏感信息（ATT&CK T1190） ，完成前期信息网络；

2、使用焦点营业系统的文件上传误差 ，向/upload/avatar接口上传恶意"100%" data-opacity="1" data-rotate="0">


路径一：永恒之蓝误差使用 ，快速拿下内网A主机。DeepHunting通过关联焦点营业资产（失陷主机）的后续行为日志 ，发明其对内网同网段A主机提倡的定向攻击链：首先 ，失陷主机使用Nmap、Fscan工具对内网A主机举行端口与服务探测 ，精准识别目的主机的误差短板；随后 ，攻击者使用“永恒系列”误差（EternalBlue/SMB误差） ，乐成突破A主机防御 ，获取系统高权限；为实现恒久控制 ，攻击者在A主机植入Meterpreter木马 ，再次安排venom内网穿透工具 ，买通失陷主机与A主机的双向控制隧道 ，完成对A主机的周全接受。


路径二：Redis渗透攻击 ，实现隐藏长期化控制。DeepHunting捕获针对内网B主机的Redis渗透攻击：攻击者通过失陷的焦点营业资产主机 ，使用Nmap、Fscan工具对B主机举行扫描探测 ，锁定Redis数据库的安排情形；随后 ，通过修改Redis数据库敏感设置 ，使用Redis写入SSH公钥 ，乐成实现权限提升；最终 ，依附SSH公钥认证 ，攻击者无需密码即可实现对B主机的长期化登录 ，并安排venom工具维持隐藏控制 ，形成“外网突破-横向扩散-周全控制”的完整攻击闭环。



图片4.png


第三步：全链收网——天生结构化攻击叙事报告


DeepHunting的狩猎研判组在完玉成流程探索后 ，自动完成“数据-洞察-报告”的转化 ，天生一份结构化、可视化的深度清静剖析报告。报告以“攻击叙事”的形式 ，完整还原攻击的每个时间节点、操作办法与涉及资产 ，清晰泛起“外网突破-内网横向-隐藏驻留”的全攻击链条 ，同时标注要害误差、恶意工具、攻击战术 ，为清静团队的处置惩罚事情提供精准指引。


同时 ，DeepHunting具备“多步进式狩猎循环”能力 ，在狩猎历程中自主发明证据链断点 ，自动触发新一轮探索 ，直至还原完整攻击真相。


在本次实战中 ，针对攻击者隐藏安排venom工具的行为 ，DeepHunting自动检索DNS日志、历程日志 ，定位工具安排路径与通讯特征 ，补全了“隐藏控制通道搭建”的要害证据 ，彻底突破了攻击者的规避妄想 ，展现出其“顺藤摸瓜”的高阶溯源能力。DeepHunting在30分钟内天生完整深度清静剖析报告 ，交付现场清静职员使用。


DeepHunting实战价值——早发明、早溯源、早处置惩罚


本次实网安排 ，充分验证了DeepHunting在应对重大高级威胁场景下的实战价值 ，有用解决古板威胁狩猎耗时久、效率低、太过依赖人工、溯源不完整等问题 ，实现了威胁狩猎从被动排查到自动溯源、从履历依赖到逻辑驱动、从单点告警到全链拓扑的三重范式跃迁。


针对此类多路径、隐藏性攻击 ，古板人工溯源耗时通常需6-8小时 ，而DeepHunting仅用30分钟便完玉成流程狩猎与全攻击链还原�；诒敬蜠eepHunting的溯源效果 ，该客户完成了专家履历沉淀与防护系统升级 ，后续同类攻击的狩猎时间被进一步压缩至30分钟内 ，清静剖析效率提升显著 ，真正实现了“早发明、早溯源、早处置惩罚”的清静防护目的。


作为安星威胁检测智能体的焦点能力 ，DeepHunting将AI自主探索理念与清静攻防逻辑深度融合 ，能在海量数据中精准捕获攻击痕迹、还原攻击真相 ，有用提升高级威胁应对能力 ，推动网络清静防御系统从被动防御走向自主防御 ，为客户提供了更高效、精准、可靠的高级威胁防御解决计划。