场景：2026年10月，某头部券商SOC遭遇EDR告警风暴：单日3.2万条告警，其中98%为误报。安全团队必须在噪声中锁定一条真实攻击链——攻击者正利用合法工具向核心交易区渗透。
攻击 / 事件时间线
初始访问：钓鱼投递
攻击者向运维部投递伪装成“季度巡检通知”的LNK文件，利用certutil从伪装成CDN的域名下载Cobalt Strike Beacon。Beacon以rundll32加载，进程链伪装为合法服务。此时EDR仅触发“可疑LNK”低危告警，被淹没在当日大量软件更新告警中。
Cobalt StrikecertutilLNK
告警风暴爆发
Beacon上线后，攻击者通过scheduled task每5分钟执行一次powershell -enc心跳。同时，内部IT推送的补丁脚本也大量调用PowerShell，EDR在30分钟内产生1.1万条“可疑PowerShell”告警。SOC值班员开始疲劳，误报标记率飙升。
PowerShellScheduled TaskEDR
横向移动与提权
攻击者利用Impacket的wmiexec横向至跳板机，再通过Mimikatz抓取域管哈希，登录核心交易区。为规避检测，使用Rubeus进行Kerberoasting，并利用SharpHound收集域内路径。所有操作均在合法管理工具掩护下完成。
ImpacketMimikatzRubeusSharpHound
数据窃取与真凶暴露
攻击者将交易区数据库备份文件分卷压缩，通过rclone上传至境外云盘。此时EDR触发“异常进程访问数据库文件”高危告警，但被同时段大量“文件备份”误报覆盖。直到蓝队启用Sysmon日志关联分析，发现该进程父链异常，才锁定真凶。
rcloneSysmonEDR
蓝队视角 · 发现与处置
SOC值班员在告警风暴中启用“降噪三原则”：1）按进程链深度过滤，仅保留父进程非系统目录的告警；2）对同一主机5分钟内重复告警聚合；3）启用Sysmon Event ID 1/3/11关联分析。最终从3.2万条告警中筛出17条高置信度事件，锁定跳板机。蓝队立即隔离该主机，重置域管密码，并阻断C2域名。通过内存取证提取Beacon配置，确认攻击者未触及核心交易库。
涉及关键技术 / 工具
Sysmon日志关联分析（Event ID 1/3/11）EDR告警降噪三原则Cobalt Strike Beacon内存取证
防护经验总结
- 部署Sysmon并配置进程创建、网络连接、文件创建三类日志，与EDR告警做关联分析，将误报率降低80%以上。
- 对PowerShell、WMI、计划任务等合法工具建立基线，非基线时段或非基线父进程的调用直接升级为高危告警。
- 每周开展一次“告警风暴”模拟演练，训练SOC值班员在高压下按进程链、时间窗、主机维度快速降噪。
#EDR告警风暴#SOC实战#误报过滤