Simon
10 KiB
10 KiB
IT智能服务台 — 威胁检测方案报告
编制日期: 2026-07-14 版本: v2.0 (修订版) 角色: 威胁检测工程师 目标: 建立威胁监控体系，及时发现和应对安全攻击
1. 认证机制与威胁模型更新
1.1 当前认证方式
| 登录方式 | 状态 | 暴力破解可行性 |
|---|---|---|
| 企微OAuth2 | ✅ 使用中 | ❌ 企微保障 |
| 企微扫码 | ✅ 使用中 | ❌ 企微保障 |
| 账号密码登录 | ❌ 已废弃 | 不适用 |
结论: 由于没有密码入口，暴力破解检测不适用于本系统。攻击者需先攻克企微才能访问本系统。
1.2 真实威胁向量
| 威胁 | ATT&CK | 描述 | 优先级 |
|---|---|---|---|
| T1078 | 有效账户滥用 | 员工Token/账号被窃取后在非授权环境使用 | P0 |
| T1552 | 非安全凭据访问 | Token泄露、被复用 | P0 |
| T1068 | 越权访问 | 低权限用户访问高权限资源 | P1 |
| T1041 | 数据外传 | 批量导出敏感数据 | P1 |
| 内部威胁 | 权限滥用 | 管理员非工作时间敏感操作 | P1 |
2. MITRE ATT&CK 覆盖评估
2.1 当前检测能力
| 覆盖等级 | 定义 | 占比 |
|---|---|---|
| Level 0 | 无覆盖 | 80% |
| Level 1 | 日志记录 (已实现) | 15% |
| Level 2 | 告警检测 | 5% |
| Level 3 | 威胁狩猎 | 0% |
2.2 重点检测方向
基于真实威胁向量，优先覆盖：
| 技术ID | 技术名称 | 检测策略 |
|---|---|---|
| T1078 | 有效账户 | Token异常使用检测 |
| T1552 | 非安全凭据 | Token多IP使用检测 |
| T1068 | 越权访问 | RBAC拒绝日志分析 |
| T1041 | 数据外传 | 批量导出监控 |
| T1056 | 权限滥用 | 管理员异常操作 |
3. 检测方案设计
3.1 架构
┌─────────────────────────────────────────────────────────────┐
│ 数据采集层 │
│ ┌─────────┐ ┌─────────┐ ┌─────────┐ ┌─────────┐ │
│ │审计日志 │ │登录日志 │ │RBAC日志 │ │API日志 │ │
│ └────┬────┘ └────┬────┘ └────┬────┘ └────┬────┘ │
└───────┼───────────┼───────────┼───────────┼────────────────┘
│ │ │ │
▼ ▼ ▼ ▼
┌─────────────────────────────────────────────────────────────┐
│ 规则检测层 │
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │Token异常检测 │ │越权访问检测 │ │数据导出监控 │ │
│ │(T1078/T1552)│ │(T1068) │ │(T1041) │ │
│ └──────────────┘ └──────────────┘ └──────────────┘ │
└─────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────┐
│ 响应处置层 │
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │告警通知 │ │会话封禁 │ │工单创建 │ │
│ │(企微机器人) │ │(Redis) │ │(ITSM) │ │
│ └──────────────┘ └──────────────┘ └──────────────┘ │
└─────────────────────────────────────────────────────────────┘
3.2 核心检测规则
规则1: Token异常使用 (T1078/T1552)
id: itdesk-T1078-001
title: 凭证异常 - Token多IP使用
level: high
description: |
检测同一Token在短时间内被多个不同IP使用，可能是Token泄露或中间人攻击。
mitre: T1078, T1552
condition: |
同一 token_hash
不同 ip_address >= 3
时间窗口: 1小时
action: |
1. 标记为可疑
2. 发送企微告警
3. 可选: 自动 invalidate token
规则2: 越权访问检测 (T1068)
id: itdesk-T1068-001
title: 权限提升 - 越权访问
level: critical
description: |
检测低权限用户尝试访问高权限资源，可能是权限提升攻击。
mitre: T1068
condition: |
RBAC拒绝事件
同一用户 >= 3次/10分钟
action: |
1. 标记为可疑
2. 发送企微告警
3. 暂停用户账户
规则3: 批量数据导出 (T1041)
id: itdesk-T1041-001
title: 数据泄露 - 批量导出
level: high
description: |
检测大量数据导出操作，可能是数据外传前兆。
mitre: T1041
condition: |
action = 'data_export'
导出记录数 > 1000 或 导出大小 > 100MB
action: |
1. 标记为可疑
2. 发送企微告警
3. 需要MFA二次确认
规则4: 管理员异常操作 (内部威胁)
id: itdesk-insider-001
title: 内部威胁 - 管理员异常操作
level: high
description: |
检测管理员在非工作时间执行敏感操作。
mitre: T1056
condition: |
管理员角色
敏感操作 (role_change/config_change/account_disable)
时间不在 08:00-22:00
action: |
1. 发送企微告警
2. 记录详细审计日志
3. 需要OTP二次确认
规则5: 外部API滥用 (T1071)
id: itdesk-T1071-001
title: 外部服务异常 - Dify API高错误率
level: medium
description: |
检测Dify AI服务的异常调用模式。
mitre: T1071
condition: |
Dify API
错误率 > 30% 或 响应时间 > 30秒
action: |
1. 切换备用通道
2. 发送告警
4. 数据源清单
| 数据源 | 表/日志 | 检测用途 |
|---|---|---|
| 审计日志 | audit_logs | 管理员操作、权限变更 |
| 登录日志 | login_logs | 登录来源分析 |
| RBAC日志 | access_denied事件 | 越权访问 |
| 应用日志 | JSON logs | API调用统计 |
| Redis | token相关 | Token实时监控 |
5. 实施路线图
阶段1: 核心检测 (2周)
| 任务 | 产出 |
|---|---|
| Token多IP检测 | 告警 + 自动封禁 |
| 越权访问检测 | 实时告警 |
| 批量导出监控 | 告警 + 审批流程 |
阶段2: 增强检测 (4周)
| 任务 | 产出 |
|---|---|
| 管理员异常行为 | 非工作时间告警 |
| 外部API监控 | Dify/企微API健康度 |
| 告警渠道 | 企微机器人webhook |
阶段3: 高级能力 (持续)
| 任务 | 产出 |
|---|---|
| 用户行为基线 | 异常行为检测 |
| 威胁情报 | IOC匹配 |
| SOAR剧本 | 自动响应 |
6. 快速部署方案
6.1 立即可执行
基于现有 audit_logs 表，增加定时分析任务：
# 每日管理员操作分析
async def analyze_admin_operations():
"""检测非工作时间敏感操作"""
query = """
SELECT employee_id, action, ip_address, created_at
FROM audit_logs
WHERE action IN ('role_change', 'config_change', 'account_disable')
AND EXTRACT(HOUR FROM created_at) NOT BETWEEN 8 AND 22
"""
# 发送报告给安全管理员
6.2 Token监控
在 token_service.py 中增加埋点：
async def on_token_used(token_hash: str, ip: str):
"""记录Token使用IP，用于异常检测"""
redis = await get_redis()
key = f"token_ip:{token_hash}"
# 记录使用的IP集合
await redis.sadd(key, ip)
await redis.expire(key, 3600) # 1小时窗口
# 检查是否多IP使用
ip_count = await redis.scard(key)
if ip_count >= 3:
await send_alert(f"Token异常: {token_hash} 使用了 {ip_count} 个IP")
8. 实施进度 (2026-07-14)
✅ 已完成
| 任务 | 完成时间 | 状态 |
|---|---|---|
| Token IP记录功能 | 2026-07-14 | ✅ 已实现 |
| Token异常检测定时任务 | 2026-07-14 | ✅ 已实现 |
| get_current_user IP记录集成 | 2026-07-14 | ✅ 已实现 |
| 单元测试 | 2026-07-14 | ✅ 7/7 通过 |
📝 产出物
| 文件 | 路径 |
|---|---|
| 检测任务 | backend/app/tasks/token_anomaly_detection.py |
| Token服务扩展 | backend/app/services/token_service.py (新增方法) |
| 认证集成 | backend/app/dependencies/__init__.py (IP记录) |
| 单元测试 | backend/tests/test_token_anomaly.py |
📋 待完成
| 任务 | 优先级 | 备注 |
|---|---|---|
| 集成测试 | P2 | 需要测试环境 |
| 生产部署 | P1 | 需配置webhook |
| 告警阈值调优 | P2 | 根据实际告警调整 |
7. 总结
7.1 核心结论
| 维度 | 评分 |
|---|---|
| 身份认证 | ⭐⭐⭐⭐ 企微OAuth + OTP |
| 访问控制 | ⭐⭐⭐⭐ RBAC |
| 威胁检测 | ⭐⭐ 建设中 |
7.2 优先行动
- 已完成: Token多IP使用检测 ✅
- 1周内: 批量导出监控
- 2周内: 管理员异常操作告警
附录
A. 现有安全组件
| 组件 | 位置 |
|---|---|
| 审计日志 | app/models/audit_log.py |
| 登录日志 | app/models/login_log.py |
| MFA服务 | app/services/mfa_service.py |
| IP白名单 | app/middleware/admin_ip_whitelist.py |
| 速率限制 | app/main.py (slowapi) |
B. 告警级别定义
| 级别 | 触发条件 | 响应时间 |
|---|---|---|
| P0 | 越权访问 / 批量导出 | < 5分钟 |
| P1 | Token异常 / 管理员异常 | < 15分钟 |
| P2 | API异常 / 非敏感操作 | < 1小时 |
编制人: 威胁检测工程师 审核人: 待定 下次评估: 2026-10-14