第4章：威胁情报与攻击链分析案例

问题：请描述一个典型的日常威胁情报运营流程。

面试官考察点：流程完整性、自动化水平、降噪能力与反馈闭环。

回答框架：采集 -> 清洗 -> 研判 -> 赋能 -> 反馈。

示例回答：每日通过 MISP 聚合外部情报源，利用模糊哈希算法去重降噪，结合资产信息筛选高优情报。生成情报摘要后自动同步至 WAF 及 EDR 策略，并通过日报形式触达运营团队，最后基于告警命中率持续优化情报质量。

可能追问：如何处理情报误报？如何评价情报源质量？

避坑提醒：不要只谈消费，不谈生产、反馈和持续优化闭环。

问题：如何将威胁情报关联应用到 Cyber Kill Chain 或 ATT&CK 框架？

面试官考察点：攻击链理解、TTPs 映射能力、从 IOC 提升到 IOA 的视角。

回答框架：事件拆解 -> 行为特征提取 -> ATT&CK 映射 -> 阶段推断 -> 战术响应。

示例回答：分析告警日志，提炼攻击行为（如利用 SMB 漏洞横向移动），映射到 ATT&CK T1570。根据行为发生阶段判断攻击者在网络内部已站稳脚跟，处于横向移动阶段。应针对性地在网络域控和终端开启全量日志和链路阻断策略。

可能追问：如何对一个未知攻击进行 ATT&CK 映射？如何区分实战场次？

避坑提醒：避免死记硬背战术 ID，要体现映射分析和上下文推断逻辑，体现实战思维。

问题：给定一个 APT 攻击样本的 PCAP 文件，如何处理并进行攻击溯源？

面试官考察点：实战溯源码能力（流量分析、样本提取、关联分析）。

回答框架：流量分析 -> 可疑样本提取 -> 样本逆向/沙箱 -> 同源关联 -> 时间线重建。

示例回答：Wireshark 分析 PCAP，提取 HTTP 会话和 DNS 记录，筛选可疑 IP。导出 PE 样本，通过沙箱分析其 C2 通信行为、注册表修改、注入等行为。根据 C2 域名、PDB 路径、证书等静态特征关联威胁平台，追溯相同家族或组织的历史活动，还原攻击时间线。

可能追问：样本无 C2 域如何处理？如何做 IT/OT 跨场景溯源？

避坑提醒：不要只依赖自动化工具，要体现手动流量分析与样本逆向逻辑结合，突出 IOC 与 IOA 融合。