前言 攻击者可能发送带有恶意附件的钓鱼邮件,诱导受害者点击从而获取对方的系统控制权限 期间会借助 Atomic 工具完成攻击复现,再对具体的过程细节进行分析取证,然后深入研究.剖析其行为特征 最后输出检测规则或者 dashboard,作为本次威胁狩猎活动的产出 PS:注意,这里只是提供一种检测思路,测试过程均在实验环境下完成,并不代表实际工作效果 分析取证 在对特定攻击活动做数字取证(Digital Forensics)的过程中,通常我会采用漏斗状的思维模型,一步步缩小观测范围,聚焦目标行为特征