# IT智能服务台 — 威胁检测方案报告

> **编制日期**: 2026-07-14
> **版本**: v2.0 (修订版)
> **角色**: 威胁检测工程师
> **目标**: 建立威胁监控体系，及时发现和应对安全攻击

---

## 1. 认证机制与威胁模型更新

### 1.1 当前认证方式

| 登录方式 | 状态 | 暴力破解可行性 |
|----------|------|----------------|
| 企微OAuth2 | ✅ 使用中 | ❌ 企微保障 |
| 企微扫码 | ✅ 使用中 | ❌ 企微保障 |
| 账号密码登录 | ❌ 已废弃 | 不适用 |

**结论**: 由于没有密码入口，暴力破解检测不适用于本系统。攻击者需先攻克企微才能访问本系统。

### 1.2 真实威胁向量

| 威胁 | ATT&CK | 描述 | 优先级 |
|------|---------|------|--------|
| **T1078** | 有效账户滥用 | 员工Token/账号被窃取后在非授权环境使用 | P0 |
| **T1552** | 非安全凭据访问 | Token泄露、被复用 | P0 |
| **T1068** | 越权访问 | 低权限用户访问高权限资源 | P1 |
| **T1041** | 数据外传 | 批量导出敏感数据 | P1 |
| **内部威胁** | 权限滥用 | 管理员非工作时间敏感操作 | P1 |

---

## 2. MITRE ATT&CK 覆盖评估

### 2.1 当前检测能力

| 覆盖等级 | 定义 | 占比 |
|----------|------|------|
| **Level 0** | 无覆盖 | 80% |
| **Level 1** | 日志记录 (已实现) | 15% |
| **Level 2** | 告警检测 | 5% |
| **Level 3** | 威胁狩猎 | 0% |

### 2.2 重点检测方向

基于真实威胁向量，优先覆盖：

| 技术ID | 技术名称 | 检测策略 |
|--------|----------|----------|
| T1078 | 有效账户 | Token异常使用检测 |
| T1552 | 非安全凭据 | Token多IP使用检测 |
| T1068 | 越权访问 | RBAC拒绝日志分析 |
| T1041 | 数据外传 | 批量导出监控 |
| T1056 | 权限滥用 | 管理员异常操作 |

---

## 3. 检测方案设计

### 3.1 架构

```
┌─────────────────────────────────────────────────────────────┐
│                      数据采集层                               │
│  ┌─────────┐ ┌─────────┐ ┌─────────┐ ┌─────────┐        │
│  │审计日志  │ │登录日志  │ │RBAC日志 │ │API日志   │        │
│  └────┬────┘ └────┬────┘ └────┬────┘ └────┬────┘        │
└───────┼───────────┼───────────┼───────────┼────────────────┘
        │           │           │           │
        ▼           ▼           ▼           ▼
┌─────────────────────────────────────────────────────────────┐
│                      规则检测层                             │
│  ┌──────────────┐ ┌──────────────┐ ┌──────────────┐    │
│  │Token异常检测  │ │越权访问检测  │ │数据导出监控  │    │
│  │(T1078/T1552)│ │(T1068)      │ │(T1041)      │    │
│  └──────────────┘ └──────────────┘ └──────────────┘    │
└─────────────────────────────────────────────────────────────┘
        │
        ▼
┌─────────────────────────────────────────────────────────────┐
│                      响应处置层                             │
│  ┌──────────────┐ ┌──────────────┐ ┌──────────────┐      │
│  │告警通知      │ │会话封禁     │ │工单创建     │      │
│  │(企微机器人)  │ │(Redis)     │ │(ITSM)      │      │
│  └──────────────┘ └──────────────┘ └──────────────┘      │
└─────────────────────────────────────────────────────────────┘
```

### 3.2 核心检测规则

#### 规则1: Token异常使用 (T1078/T1552)

```yaml
id: itdesk-T1078-001
title: 凭证异常 - Token多IP使用
level: high
description: |
  检测同一Token在短时间内被多个不同IP使用，可能是Token泄露或中间人攻击。
mitre: T1078, T1552
condition: |
  同一 token_hash
  不同 ip_address >= 3
  时间窗口: 1小时
action: |
  1. 标记为可疑
  2. 发送企微告警
  3. 可选: 自动 invalidate token
```

#### 规则2: 越权访问检测 (T1068)

```yaml
id: itdesk-T1068-001
title: 权限提升 - 越权访问
level: critical
description: |
  检测低权限用户尝试访问高权限资源，可能是权限提升攻击。
mitre: T1068
condition: |
  RBAC拒绝事件
  同一用户 >= 3次/10分钟
action: |
  1. 标记为可疑
  2. 发送企微告警
  3. 暂停用户账户
```

#### 规则3: 批量数据导出 (T1041)

```yaml
id: itdesk-T1041-001
title: 数据泄露 - 批量导出
level: high
description: |
  检测大量数据导出操作，可能是数据外传前兆。
mitre: T1041
condition: |
  action = 'data_export'
  导出记录数 > 1000 或 导出大小 > 100MB
action: |
  1. 标记为可疑
  2. 发送企微告警
  3. 需要MFA二次确认
```

#### 规则4: 管理员异常操作 (内部威胁)

```yaml
id: itdesk-insider-001
title: 内部威胁 - 管理员异常操作
level: high
description: |
  检测管理员在非工作时间执行敏感操作。
mitre: T1056
condition: |
  管理员角色
  敏感操作 (role_change/config_change/account_disable)
  时间不在 08:00-22:00
action: |
  1. 发送企微告警
  2. 记录详细审计日志
  3. 需要OTP二次确认
```

#### 规则5: 外部API滥用 (T1071)

```yaml
id: itdesk-T1071-001
title: 外部服务异常 - Dify API高错误率
level: medium
description: |
  检测Dify AI服务的异常调用模式。
mitre: T1071
condition: |
  Dify API
  错误率 > 30% 或 响应时间 > 30秒
action: |
  1. 切换备用通道
  2. 发送告警
```

---

## 4. 数据源清单

| 数据源 | 表/日志 | 检测用途 |
|--------|---------|----------|
| 审计日志 | audit_logs | 管理员操作、权限变更 |
| 登录日志 | login_logs | 登录来源分析 |
| RBAC日志 | access_denied事件 | 越权访问 |
| 应用日志 | JSON logs | API调用统计 |
| Redis | token相关 | Token实时监控 |

---

## 5. 实施路线图

### 阶段1: 核心检测 (2周)

| 任务 | 产出 |
|------|------|
| Token多IP检测 | 告警 + 自动封禁 |
| 越权访问检测 | 实时告警 |
| 批量导出监控 | 告警 + 审批流程 |

### 阶段2: 增强检测 (4周)

| 任务 | 产出 |
|------|------|
| 管理员异常行为 | 非工作时间告警 |
| 外部API监控 | Dify/企微API健康度 |
| 告警渠道 | 企微机器人webhook |

### 阶段3: 高级能力 (持续)

| 任务 | 产出 |
|------|------|
| 用户行为基线 | 异常行为检测 |
| 威胁情报 | IOC匹配 |
| SOAR剧本 | 自动响应 |

---

## 6. 快速部署方案

### 6.1 立即可执行

基于现有 `audit_logs` 表，增加定时分析任务：

```python
# 每日管理员操作分析
async def analyze_admin_operations():
    """检测非工作时间敏感操作"""
    query = """
        SELECT employee_id, action, ip_address, created_at
        FROM audit_logs
        WHERE action IN ('role_change', 'config_change', 'account_disable')
        AND EXTRACT(HOUR FROM created_at) NOT BETWEEN 8 AND 22
    """
    # 发送报告给安全管理员
```

### 6.2 Token监控

在 `token_service.py` 中增加埋点：

```python
async def on_token_used(token_hash: str, ip: str):
    """记录Token使用IP，用于异常检测"""
    redis = await get_redis()
    key = f"token_ip:{token_hash}"

    # 记录使用的IP集合
    await redis.sadd(key, ip)
    await redis.expire(key, 3600)  # 1小时窗口

    # 检查是否多IP使用
    ip_count = await redis.scard(key)
    if ip_count >= 3:
        await send_alert(f"Token异常: {token_hash} 使用了 {ip_count} 个IP")
```

---

## 8. 实施进度 (2026-07-14)

### ✅ 已完成

| 任务 | 完成时间 | 状态 |
|------|----------|------|
| Token IP记录功能 | 2026-07-14 | ✅ 已实现 |
| Token异常检测定时任务 | 2026-07-14 | ✅ 已实现 |
| get_current_user IP记录集成 | 2026-07-14 | ✅ 已实现 |
| 单元测试 | 2026-07-14 | ✅ 7/7 通过 |

### 📝 产出物

| 文件 | 路径 |
|------|------|
| 检测任务 | `backend/app/tasks/token_anomaly_detection.py` |
| Token服务扩展 | `backend/app/services/token_service.py` (新增方法) |
| 认证集成 | `backend/app/dependencies/__init__.py` (IP记录) |
| 单元测试 | `backend/tests/test_token_anomaly.py` |

### 📋 待完成

| 任务 | 优先级 | 备注 |
|------|--------|------|
| 集成测试 | P2 | 需要测试环境 |
| 生产部署 | P1 | 需配置webhook |
| 告警阈值调优 | P2 | 根据实际告警调整 |

---

## 7. 总结

### 7.1 核心结论

| 维度 | 评分 |
|------|------|
| 身份认证 | ⭐⭐⭐⭐ 企微OAuth + OTP |
| 访问控制 | ⭐⭐⭐⭐ RBAC |
| **威胁检测** | ⭐⭐ **建设中** |

### 7.2 优先行动

1. **已完成**: Token多IP使用检测 ✅
2. **1周内**: 批量导出监控
3. **2周内**: 管理员异常操作告警

---

## 附录

### A. 现有安全组件

| 组件 | 位置 |
|------|------|
| 审计日志 | app/models/audit_log.py |
| 登录日志 | app/models/login_log.py |
| MFA服务 | app/services/mfa_service.py |
| IP白名单 | app/middleware/admin_ip_whitelist.py |
| 速率限制 | app/main.py (slowapi) |

### B. 告警级别定义

| 级别 | 触发条件 | 响应时间 |
|------|----------|----------|
| P0 | 越权访问 / 批量导出 | < 5分钟 |
| P1 | Token异常 / 管理员异常 | < 15分钟 |
| P2 | API异常 / 非敏感操作 | < 1小时 |

---

> **编制人**: 威胁检测工程师
> **审核人**: 待定
> **下次评估**: 2026-10-14