设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [16723] 2021-04-28_如何使用Columbo识别受攻击数据库中 ...
返回列表 发新帖
查看: 0|回复: 0

[16723] 2021-04-28_如何使用Columbo识别受攻击数据库中的特定模式

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-04-28_如何使用Columbo识别受攻击数据库中的特定模式 如 何 使 用 C o l u m b o 识 别 受 攻 击 数 据 库 中 的 特 定 模 式 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 4 - 2 8 关 于 关 于 C o l u m b o C o l u m b o 是 一 款 计 算 机 信 息 取 证 与 安 全 分 析 工 具 ， 可 以 帮 助 广 大 研 究 人 员 识 别 受 攻 击 数 据 库 中 的 特 定 模 式 。 该 工 具 可 以 将 数 据 拆 分 成 很 小 的 数 据 区 块 ， 并 使 用 模 式 识 别 和 机 器 学 习 模 型 来 识 别 攻 击 者 的 入 侵 行 为 以 及 在 受 感 染 W i n d o w s 平 台 中 的 感 染 位 置 ， 然 后 给 出 建 议 表 格 。 需 要 注 意 的 是 ， 当 前 版 本 的 C o l u m b o 仅 支 持 在 W i n d o w s 操 作 系 统 平 台 上 执 行 任 务 。 依 赖 组 件 依 赖 组 件 & 高 级 架 构 高 级 架 构 C o l u m b o 依 赖 于 v o l a t i l i t y   3 、 a u t o r u n s c . e x e 和 s i g c h e c k . e x e 实 现 其 数 据 提 取 功 能 。 因 此 ， 广 大 用 户 在 使 用 C o l u m b o 之 前 必 须 下 载 这 些 依 赖 工 具 ， 并 将 它 们 存 放 在 C o l u m b o b i n 目 录 下 。 这 些 工 具 所 生 成 的 输 出 数 据 将 会 通 过 管 道 自 动 传 输 到 C o l u m b o 的 主 引 擎 中 。 接 下 来 ， C o l u m b o 会 将 传 入 的 数 据 进 行 拆 分 ， 并 对 其 进 行 预 处 理 ， 然 后 使 用 机 器 学 习 模 型 对 受 感 染 系 统 的 路 径 位 置 、 可 执 行 文 件 和 其 他 攻 击 行 为 进 行 分 类 。 视 频 资 料 视 频 资 料 1 、 在 你 开 始 使 用 C o l u m b o 之 前 ， 请 先 观 看 视 频 （ 点 击 底 部 【 阅 读 原 文 】 观 看 ） 。 2 、 使 用 【 C o l u m b o   M e m o r y - f o r e n s i c s 】 进 行 内 存 取 证 分 析 。 工 具 安 装 与 配 置 工 具 安 装 与 配 置 1 、 下 载 并 安 装 P y t h o n   3 . 7 或 3 . 8 （ 未 测 试 3 . 9 ） ， 确 保 你 已 经 在 安 装 过 程 中 将 p y t h o n . e x e 添 加 到 了 P A T H 环 境 变 量 中 。 2 、 访 问 项 目 的 g i t h u b 下 载 最 新 的 C o l u m b o 源 码 。 3 、 下 载 下 列 组 件 ， 然 后 将 它 们 存 储 至 C o l u m b o b i n 中 ： V o l a t i l i t y   3 源 码 、 a u t o r u n s c . e x e 和 s i g c h e c k . e x e 。 为 了 避 免 报 错 ， 目 录 结 构 必 须 为 C o l u m b o b i n v o l a t i l i t y 3 - m a s t e r 、 C o l u m b o b i n a u t o r u n s c . e x e   和 C o l u m b o b i n s i g c h e c k . e x e 。 4 、 最 后 ， 双 击 C o l u m b o 目 录 中 的 “ e x e ” 即 可 启 动 C o l u m b o 。
C o l u m b o 与 机 器 学 习 与 机 器 学 习 C o l u m b o 使 用 数 据 预 处 理 技 术 来 组 织 数 据 和 机 器 学 习 模 型 来 识 别 可 疑 行 为 。 它 的 输 出 要 么 是 1 （ 可 疑 的 ） ， 要 么 是 0 （ 正 常 的 ） ， 它 会 以 一 种 建 议 的 形 式 帮 助 网 络 安 全 与 计 算 机 取 证 人 员 进 行 决 策 分 析 。 我 们 使 用 了 不 同 的 测 试 用 例 来 训 练 该 模 型 ， 并 以 最 大 限 度 提 升 了 输 出 数 据 的 准 确 性 ， 以 及 减 少 误 报 的 出 现 。 但 是 ， 工 具 输 出 的 假 阳 性 依 然 会 存 在 ， 因 此 我 们 目 前 仍 在 定 期 更 新 模 型 。 假 阳 性 假 阳 性 减 少 误 报 其 实 并 不 容 易 ， 尤 其 是 涉 及 到 机 器 学 习 的 时 候 。 机 器 学 习 模 型 产 生 的 输 出 假 阳 性 高 或 低 ， 这 取 决 于 用 于 训 练 模 型 的 数 据 的 质 量 。 但 是 ， 为 了 协 助 网 络 安 全 与 计 算 机 取 证 人 员 进 行 调 查 ， C o l u m b o 会 为 其 输 出 提 供 相 应 的 准 确 百 分 比 系 数 （ 1 - 可 疑 的 ， 0 - 正 常 的 ） ， 这 种 方 法 有 助 于 研 究 人 员 选 择 需 要 进 行 分 析 的 可 疑 路 径 、 命 令 或 进 程 。 操 作 选 项 操 作 选 项
实 时 分 析 实 时 分 析 - 文 件 和 进 程 跟 踪 文 件 和 进 程 跟 踪 此 选 项 将 分 析 正 在 运 行 的 W i n d o w s 进 程 以 识 别 正 在 运 行 的 恶 意 活 动 （ 如 果 有 的 话 ） 。 C o l u m b o 会 使 用 a u t o r u n s c . e x e 从 目 标 设 备 中 提 取 数 据 ， 并 输 出 通 过 管 道 传 输 到 机 器 学 习 模 型 和 模 式 识 别 引 擎 ， 对 可 疑 活 动 进 行 分 类 。 接 下 来 ， 输 出 将 以 E x c e l 文 件 的 形 式 保 存 在 C o l u m b o M L S t e p - 2 - r e s u l t s 下 ， 以 供 进 一 步 分 析 。 此 外 ， C o l u m b o 还 为 用 户 提 供 了 检 查 正 在 运 行 进 程 的 选 项 。 结 果 将 包 含 诸 如 进 程 跟 踪 、 与 每 个 进 程 相 关 联 的 命 令 （ 如 果 适 用 ） 以 及 进 程 是 否 负 责 执 行 新 进 程 等 信 息 。 扫 描 和 分 析 硬 盘 镜 像 文 件 （ 扫 描 和 分 析 硬 盘 镜 像 文 件 （ . v h d x ） ） 该 选 项 可 以 获 取 已 挂 载 的 W i n d o w s 硬 盘 镜 像 路 径 ， 它 将 使 用 s i g c h e c k . e x e 从 目 标 文 件 系 统 中 提 取 数 据 。 然 后 将 结 果 导 入 机 器 学 习 模 型 ， 对 可 疑 活 动 进 行 分 类 。 输 出 将 以 E x c e l 文 件 的 形 式 保 存 在 C o l u m b o M L S t e p - 3 - r e s u l t s 下 。 内 存 信 息 取 证 内 存 信 息 取 证 使 用 该 选 项 时 ， C o l u m b o 会 选 择 内 存 镜 像 的 路 径 ， 并 生 成 以 下 选 项 供 用 户 选 择 。 内 存 信 息 ： 使 用 V o l a t i l i t y   3 提 取 关 于 镜 像 的 信 息 。 进 程 扫 描 ： 使 用 V o l a t i l i t y   3 提 取 进 程 和 每 个 进 程 给 相 关 的 D L L 以 及 处 理 信 息 。 接 下 来 ， C o l u m b o 会 使 用 分 组 和 聚 类 机 制 ， 根 据 每 个 进 程 的 上 级 进 程 对 它 们 进 行 分 组 。 此 选 项 稍 后 会 由 异 常 检 测 下 的 进 程 跟 踪 选 项 使 用 。 进 程 树 ： 使 用 V o l a t i l i t y   3 提 取 进 程 的 进 程 树 。 异 常 检 测 和 进 程 跟 踪 ： 使 用 V o l a t i l i t y   3 提 取 异 常 检 测 进 程 的 列 表 。 但 是 ， C o l u m b o 提 供 了 一 个 名 为 “ 进 程 跟 踪 ” 的 选 项 来 分 别 检 查 每 个 进 程 ， 并 生 成 以 下 信 息 ： 可 执 行 文 件 和 相 关 命 令 的 路 径 、 利 用 机 器 学 习 模 型 确 定 所 识 别 进 程 的 合 法 性 、 将 每 个 进 程 一 直 追 溯 到 其 根 进 程 （ 完 整 路 径 ） 及 其 执 行 日 期 和 时 间 、 确 定 进 程 是 否 负 责 执 行 其 他 进 程 、 收 集 整 理 每 个 进 程 的 上 述 信 息 并 提 供 给 用 户 。 许 可 证 协 议 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 M I T 开 源 许 可 证 协 议 。 项 目 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:22 , Processed in 0.399378 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表