DEF CON 33 - Hacking Context for Auto Root Cause and Attack Flow Discovery - Ezz Tahoun

這場演講源自對當代藍隊（防禦方）兩大痛點的深度分析。首先，安全團隊經常被誤報淹沒，導致團隊士氣低落。其次，用手工編寫的相關性規則無法準確關聯分散在不同日誌源中的同一事件。演講人及其協作者提出了一個嶄新的分層思考框架，徹底改變了日誌分析的方式。

核心洞察在於認識到「相關性」本身被濫用。傳統相關性規則通常是簡單的條件語句——「如果兩個事件在同一台機器上、5分鐘內發生，則關聯」。但這種方法面臨致命問題：數據中充斥重複和冗餘。當用戶訪問網站2分鐘時，系統在網路層、端點層、防火牆層、Windows事件層等分別生成數千條日誌，描述同一活動。此外，真正的攻擊不一定按固定順序或時間間隔發展——某些戰術可能相隔數小時或數天，但仍屬同一入侵事件。規則永遠無法窮舉所有可能。

解決方案是將相關性拆分為兩個獨立的概念。第一層是分組：使用無監督機器學習（特別是聚類演算法）將所有相似的事件歸為一類。此過程不依賴手寫規則，而是檢視所有字段（IP、端口、協議、時間戳、使用者、部門等），在多維向量空間中計算距離，將最相近的事件聚在一起。這種方法自動應對上下文差異——即使時間相隔很遠、IP不同、協議不同，但如果多個字段維度都指向同一業務實體（如同一部門的同一用戶），算法會正確關聯。分組還自動實現去重，因為高度重複的日誌會被識別為同一簇。

第二層是故事構建：在分好的事件組基礎上，利用序列模型（如馬爾可夫模型）檢測是否存在因果顺序。演講人借用MITRE ATT&CK的戰術框架，指出真實攻擊遵循某種戰術進程。若檢測到初始訪問→執行→持久化→數據外洩這樣的序列，即使中間某些戰術的蹤跡缺失，演算法仍能識別這是一個有意義的攻擊故事，而非孤立誤報。

實踐上，這個方案的美妙之處在於它提前在日誌管道中執行——在數據進入昂貴的SIEM（如Splunk）之前就進行分組和去重。這不是post-processing，而是pre-processing。用Logstash等輕量轉發工具直接調用演算法，在來源就把冗餘數據壓縮至1%。成本影響是驚人的：一個組織若每天產生4TB日誌，按Splunk定價約年費$3.8M；應用70-85%去重率後降至$300K，直接節省$200M+。更重要的是，這筆成本節省不是通過刪除日誌實現——許多合規場景要求保留所有原始日誌——而是通過智能聚合。可將去重後的摘要存入快速索引供實時分析，原始日誌存入S3冷存儲以滿足合規要求。

演講人強調，這些演算法並非依賴監督學習。聚類和序列分析是無監督的，不需要標籤訓練集。NLP語言模型唯一需要有標籤的訓練數據，用於將每個日誌字符串映射到MITRE ATT&CK戰術——這花了三年時間由專家手工標注，確保一致性。但即便如此，這種模型也遠小於GPT那樣的大型語言模型，完全可解釋和可審計，不存在大型模型的「幻覺」問題。

實體豐富化是最後一層。系統可自動從Active Directory、資產管理系統等來源導入業務背景——某台機器屬於某用戶、某部門、某經理。當相同實體在多個事件中反覆聚合時，系統推斷它們相關，並更新查找表。這樣，聚類距離計算就納入了業務語境，相同部門、相同時區的用戶生成的事件更容易被聚在一起，而不同部門的異常活動會被合理區分。

##