📚 课程目录第4章异常样本特征

4、异常样本特征：异常样本的常见特征与分类方法

在策略升级窗口期间，Cosign 日志中出现的异常样本并非随机噪声，而是具有可识别、可归类的共性特征。本章将系统梳理异常样本的三大核心特征维度——时间异常、签名异常、频率异常，并给出基于这些特征的样本分类方法，为后续的根因定位提供结构化分析基础。

4.1 异常样本的常见特征

根据对数千例策略升级窗口期 Cosign 日志的审计，异常样本通常表现为以下三类特征中的一种或多种组合。下表给出了每类特征的定义、典型表现及对应的日志字段示例。

特征类别	定义	典型表现	Cosign 日志字段示例
时间异常	样本的提交、签名或验证时间偏离正常业务窗口或策略生效时间	凌晨批量提交、策略生效前 1 秒的签名、过期证书的验证请求	`timestamp`、`validity_start`、`validity_end`
签名异常	签名算法、证书链、密钥指纹或签名者身份与预期不符	自签名证书、未知 OID 算法、证书链断裂、签名者不在白名单	`signature_algorithm`、`issuer`、`subject`、`key_fingerprint`
频率异常	同一实体在单位时间内的签名或验证请求次数显著偏离基线	单 IP 每秒 1000+ 次签名请求、同一镜像被反复签名 50 次	`source_ip`、`image_digest`、`request_count`

4.1.1 时间异常

时间异常是策略升级窗口期最容易被忽视但最具指示性的特征。攻击者往往利用窗口期的“时间缝隙”注入恶意样本。常见的时间异常模式包括：

窗口边界攻击：样本的签名时间恰好落在策略生效前 1-5 秒，利用时钟偏差或缓存延迟绕过新策略。
非工作时间批量提交：大量样本集中在凌晨 02:00-05:00 提交，与正常开发节奏不符。
过期证书复活：使用已过期超过 30 天的证书进行签名，日志中 validity_end 字段早于当前时间。
时间戳跳跃：同一签名者的连续签名请求时间戳出现分钟级甚至小时级跳跃，而非正常的秒级递增。

分析提示：在 Cosign 日志中，重点关注 timestamp 字段与策略生效时间 policy_effective_time 的差值。当差值小于 10 秒时，应将该样本标记为“窗口边界可疑样本”，进入深度审查流程。

4.1.2 签名异常

签名异常是判断样本是否被篡改或伪造的最直接依据。Cosign 基于 Sigstore 生态，其签名链具有严格的层级结构。以下签名异常需要重点关注：

自签名证书：证书的 issuer 和 subject 字段相同，且不在受信任的根证书列表中。
算法降级：签名算法从预期的 ECDSA P-256 降级为 SHA1-RSA 或 MD5-RSA，这类算法已被证明不安全。
证书链断裂：中间证书的 issuer 无法匹配上一级证书的 subject，或证书链长度超过 5 级。
密钥指纹冲突：同一 subject 在不同时间点使用了不同的 key_fingerprint，表明密钥可能被轮换或盗用。

4.1.3 频率异常

频率异常反映了攻击者试图通过批量操作扩大攻击面或进行拒绝服务的行为。频率异常的检测通常需要建立基线模型。

频率异常类型	基线参考	告警阈值（示例）	可能意图
单源 IP 签名请求激增	平均 10 次/分钟	> 200 次/分钟	批量注入恶意镜像
同一镜像重复签名	1-2 次/天	> 10 次/小时	覆盖合法签名或进行重放攻击
新实体突发注册	0-1 个/小时	> 50 个/小时	创建大量傀儡身份
验证请求与签名请求比例失衡	验证:签名 ≈ 3:1	验证:签名 < 1:10	只签名不验证，规避审计

4.2 样本分类方法

基于上述三类特征，我们可以建立一套层次化的样本分类体系。该体系将异常样本分为 三大类 和 七子类，便于分析人员快速定位问题域。

分类原则：优先根据“签名异常”判定样本是否属于“恶意篡改类”；若签名正常，再根据“时间异常”和“频率异常”判定是“策略冲突类”还是“行为异常类”。三类之间允许重叠，重叠样本应标记为最高风险等级。

4.2.1 分类体系总览

下图展示了异常样本的完整分类体系，包括三大主类及其对应的子类、特征组合和风险等级。

4.2.2 分类流程与判定规则

在实际分析中，建议按照以下三步流程对样本进行分类。每一步都对应明确的 Cosign 日志字段检查点。

第一步：签名异常检查
- 检查 signature_algorithm 是否为预期算法（如 ECDSA_P256_SHA256）。
- 检查 cert_chain 是否完整，根证书是否在受信任列表中。
- 检查 key_fingerprint 是否与历史记录一致。
- 若任意一项异常，直接归入 A 类（恶意篡改类），并记录具体子类。
第二步：时间异常检查
- 计算 timestamp 与策略生效时间 policy_effective_time 的差值。
- 检查 validity_end 是否早于当前时间（过期证书）。
- 检查同一 source_ip 的请求时间间隔是否出现跳跃。
- 若签名正常但存在时间异常，归入 B 类（策略冲突类）。
第三步：频率异常检查
- 统计单位时间内同一 source_ip、subject 或 image_digest 的请求次数。
- 与历史基线对比，超过 3 倍标准差视为异常。
- 若签名和时间均正常但频率异常，归入 C 类（行为异常类）。

注意：分类流程并非互斥。一个样本可能同时满足 A 类和 C 类的特征（例如使用伪造证书进行批量签名）。此时应标记为“A+C 复合异常”，并优先按照 A 类的处置流程进行紧急阻断。

4.2.3 子类详细说明

下表对七个子类的判定依据、典型日志片段和推荐处置动作进行了详细说明，供分析人员在实际工作中对照使用。

子类编号	子类名称	判定依据（Cosign 日志字段）	典型日志片段	推荐处置
A1	签名伪造	`signature_algorithm` 为未知或弱算法；`key_fingerprint` 不在已知列表	`"signature_algorithm":"SHA1-RSA"`	立即阻断镜像拉取，隔离节点
A2	证书篡改	`cert_chain` 长度异常；`issuer` 与 `subject` 相同；证书链验证失败	`"issuer":"CN=self-signed"`	吊销证书，加入黑名单
B1	窗口边界	`timestamp` 与 `policy_effective_time` 差值 < 10s	`"timestamp":"2025-03-15T00:00:02Z"`	人工审核样本内容，确认策略生效状态
B2	策略回退	同一样本在策略升级前后使用不同签名策略；`policy_version` 字段回退	`"policy_version":"v1.2.0"`（当前为 v2.0.0）	检查策略分发机制，防止回滚攻击
C1	批量注入	单 `source_ip` 请求数 > 基线 5 倍；`image_digest` 批量不同	`"source_ip":"10.0.0.100"` 出现 500 次/分钟	限流该 IP，分析镜像内容
C2	重放攻击	同一 `image_digest` 被同一 `subject` 重复签名 > 5 次；`nonce` 重复	`"image_digest":"sha256:abc..."` 出现 12 次	检查 nonce 机制，更新签名协议

4.3 特征关联分析示例

为了帮助理解三类特征在实际日志中的关联方式，下面给出一个综合示例。该示例展示了如何通过特征组合快速定位根因。

案例场景：在策略升级窗口期（2025-03-15 00:00:00 UTC），Cosign 日志中出现以下异常记录：

{
  "timestamp": "2025-03-15T00:00:01Z",
  "source_ip": "192.168.1.50",
  "subject": "CN=attacker-001",
  "signature_algorithm": "ECDSA_P256_SHA256",
  "key_fingerprint": "a1:b2:c3:d4:e5:f6:...",
  "image_digest": "sha256:111111...",
  "policy_version": "v2.0.0",
  "validity_end": "2025-03-14T23:59:59Z"
}

分析过程： 1. 时间异常：timestamp 为 00:00:01，距离策略生效仅 1 秒；validity_end 为 2025-03-14 23:59:59，证书已过期 2 秒。 2. 签名异常：签名算法正常，但证书已过期，属于签名异常中的“过期证书”子类。 3. 频率异常：该 source_ip 在 00:00:00-00:01:00 期间共发起 300 次签名请求，基线为 5 次/分钟。 结论：该样本同时命中 A2（证书篡改/过期）、B1（窗口边界）、C1（批量注入）三类特征，风险等级为“严重”，需立即启动应急响应。

4.4 分类方法的工程化落地建议

将上述分类方法落地到实际日志分析平台时，建议遵循以下工程化原则：

规则引擎化：将三类特征的检测条件编写为可配置的规则，支持热加载。例如，时间异常的阈值（如 10 秒）应可通过配置文件调整。
基线自动化：频率异常的基线应基于过去 7 天的滑动窗口自动计算，避免人工设定固定阈值导致误报。
标签传播：一旦某个样本被分类为 A 类，其关联的 source_ip、subject、key_fingerprint 应自动获得相同标签，用于后续样本的预分类。
可视化看板：在分析看板中，使用不同颜色区分三类样本（红：A 类，橙：B 类，紫：C 类），并展示各类样本的占比趋势。

通过本章的特征体系与分类方法，分析人员可以在面对海量 Cosign 日志时，快速将异常样本归类到具体的风险域，为后续的根因定位和策略优化提供明确的方向。