使用SOF-ELK进行对手狩猎

在当今不对称的网络安全战场中，蓝队防御者和红队攻击者每日面对海量数据，其中隐藏着关键威胁信息。SOF-ELK作为SANS Forensics社区的一部分，由Phil Hagen开发，是一款强大的网络取证分析工具（NFAT），帮助安全团队高效狩猎对手。

SOF-ELK简介与部署

SOF-ELK提供预配置的虚拟机，支持VMWare等平台，无需复杂设置即可快速上手。数据摄入点包括：

• /logstash/syslog/：用于syslog格式数据
• /logstash/nfarch/：用于归档的NetFlow输出
• /logstash/httpd/：用于Apache日志
• /logstash/passivedns/：用于passivedns工具日志
• /logstash/plaso/：用于log2timeline
• /logstash/bro/：用于Bro日志

实战分析：HTTPD日志狩猎

通过HTTPD日志仪表板，可可视化事件计数、源ASN、访问源地图、HTTP动词和响应代码。例如：

• 检测到4个PUT请求，来自IP 204.12.194.234（美国）和119.23.233.9（中国），尝试上传dbhvf99151.txt和htjfx99555.txt文件。
• IP 119.23.233.9被列入实时恶意软件嫌疑列表，204.12.194.234在AbuseIPDB中标记为Cknife Webshell攻击。
• 深入查询发现该IP还尝试PHP注入攻击，如请求/plus/mytag_js.php。

Syslog日志与代理分析

在Syslog仪表板中，Squid代理日志显示主机条目占主导（6778条，57.95%）。通过关键词malware搜索，发现IP 10.3.59.53的恶意活动：

• 访问datingukrainewomen.com、anastasiadate.com等可疑域名。
• 通过DNS查询发现随机生成的.cc域（如DGA模式），并下载taxdocs.exe（疑似恶意软件）。
• 该模式与Petya等勒索软件的IOC相似，强调供应链攻击威胁。

结论与推荐

SOF-ELK通过交互式仪表板和强大查询功能，使威胁狩猎变得直观高效。无论是分析HTTPD日志、Syslog还是代理数据，都能快速挖掘IOC并构建攻击者画像。下载SOF-ELK虚拟机，开始您的数字牧羊犬之旅！