jhatchi/nexacorp-dfir-inc-2026-001DFIR 调查 + 7 条针对模拟 NexaCorp 入侵的 Suricata 规则（vsftpd 2.3.4 CVE-2011-2523 + MITRE Caldera C2）。为期 4 天的单人任务（BeCode Brussels Mission 01）。54 页报告、10 项发现、7/7 条规则均通过 PCAP 重放验证。
针对 NexaCorp 基础设施模拟入侵的 DFIR 调查与检测工程。作为为期 4 天的单人项目（BeCode Brussels 蓝队与红队训练营，任务 01）开展。交付物为一份 54 页的调查结果报告（PDF）以及 7 条经过验证的 Suricata 规则，可在 PCAP 重放中捕获该入侵事件。
本仓库记录了作为 BeCode 网络安全训练营（2025-2026 届）一部分执行的 SOC 分析师项目。它从网络和日志证据重建了一次完整的入侵，并交付一组经过验证的 Suricata 检测规则。这是 NexaCorp DFIR 系列中的第一起事件。
这是针对虚构基础设施的实验室项目。 NexaCorp 是一个虚构客户，用作 BeCode Brussels 任务 01 的场景。被入侵主机是一台 Metasploitable 2 虚拟机，专为安全培训而故意存在漏洞；Caldera Sandcat 植入体是实验室的一部分，用于让分析师了解真实入侵者的信标流量是什么样。未攻击任何真实组织、网络或人员。
本报告中发布的所有 IP 地址、主机名和入侵指标（172.16.50.10、192.168.10.10、10.40.0.200、blue11、mesdec 等）均为仅限实验室的工件，而非真实世界威胁情报。请勿将其作为 IOC 输入 SIEM。
发布已获授权：BeCode 实验室教练（Thomas B.）于 2026-05-17 批准。完整的保密声明见调查结果报告（"分发与分类"部分）。
| 项目元数据 | 值 |
|---|---|
| 参考编号 | BCC-2026 / INC-2026-001 |
| 时长 | 4 天（单人） |
| 阶段 | DFIR（取证）+ 检测工程 |
| 交付日期 | 2026-05-15 |
| 状态 | 已完成（阶段 1 + 阶段 2） |
| 调查产出 | 值 |
|---|---|
| 调查结果 | 10 项（3 严重、3 高危、2 中危、2 低危） |
| 映射的 MITRE ATT&CK 技术 | 14 |
| 分析的网络捕获 | 5,194 个数据包，时长 5h31m（943 KB PCAP） |
| 关联的 Wazuh 事件 | 来自代理 020 的 397 条 |
| 编写的 Suricata 规则 | 7 条（SID 9000001-9000007） |
| 通过 PCAP 重放验证的规则 | 7/7（40 条 fast.log 告警，314 条 eve.json 记录） |
场景（虚构）。 NexaCorp 是一家中型企业客户，在其内部监控标记到一台内部 Linux 服务器出现异常出站流量后，联系了 BeCode Corp 的蓝队。他们的防火墙记录了该流量，但未触发任何可操作的告警。董事会在决定披露和监管通报之前，需要先做出判断。
任务。 调查可疑的事件窗口，刻画攻击者的入侵路径和利用后活动，评估现有检测栈捕获到了什么（以及遗漏了什么），并交付一份按优先级排序的修复计划。第二阶段增加了检测工程：交付可直接部署的网络 IDS 规则，以便在再次发生时实时捕获。
从客户处接收的证据包。
| 工件 | 覆盖范围 | 备注 |
|---|---|---|
| 网络捕获（PCAP） | 2026-05-09 20:08 至 2026-05-10 01:39 UTC（5h31m，5,194 个数据包） | 自事件中段开始：植入体在帧 1 中已在进行信标通信 |
| 主机认证日志 | 2026-05-10 06:47 UTC 起 | 仅事件后（PCAP 结束后约 5 小时空白） |
| 主机 syslog | 2026-05-10 06:37 UTC 起 | 首条记录为 syslogd restart，提示 VM 已重启 |
| SIEM 告警导出（Wazuh） | 不适用 | 文件实际是 HTTP 404 响应，并非数据。后来通过直接仪表盘查询恢复了 397 条事件 |
教学背景。 本次项目在 BeCode Brussels 蓝队与红队训练营（2025 年 11 月至 2026 年 9 月） 期间作为任务 01 交付：一项单人、限时的调查，模拟真实的 DFIR 咨询项目。实验室基础设施、NexaCorp 身份和 IOC 值均为刻意虚构。方法论、工具和报告格式遵循真实世界标准（NIST SP 800-61r2、SANS PICERL、MITRE ATT&CK）。
📄 完整的 54 页调查结果报告是规范交付物。 下载 PDF（215 KB）或浏览 Markdown 源文件以进行 grep/引用。
2026-05-09 22:53 UTC 当晚，一名外部攻击者（172.16.50.10）通过利用 CVE-2011-2523（vsftpd 2.3.4 中存在的后门，该版本自 2011 年 7 月起就已被公开记录为受损）入侵了 NexaCorp 的一台内部服务器（192.168.10.10）。一个以 :) 结尾的 FTP USER 请求触发了 TCP/6200 上的未认证 root 绑定 shell。攻击者在 20 秒的会话中运行了 8 条侦察命令（无持久化、无数据外泄、未通过此访问向量进行横向移动），然后断开连接。
与此同时，发现同一主机上运行着一个预先存在的 MITRE Caldera "Sandcat" 代理，位于 /opt/caldera/sandcat（root，守护进程化），在整个捕获窗口内每 40-50 秒以明文 HTTP 向 10.40.0.200:8888 发送信标。这正是客户最初标记的"异常出站连接"，表明存在证据包中未体现的先前入侵（植入体在第一个 PCAP 帧中就已活跃）。
现有的 Wazuh SIEM 从目标主机收集了 397 条事件，但仅产生了 4 条高危告警（占总数的 1.0%），全部归类为通用暴力破解（MITRE T1110）。没有任何一条识别出 CVE-2011-2523 漏洞利用载荷、TCP/6200 上的绑定 shell 或 Caldera C2 信道：漏洞利用字节（USER baduser:)）本身不会被 vsftpd 记录，而 SIEM 没有网络遥测来看不到其余部分。第二阶段交付的 7 条 Suricata 规则填补了全部三个缺口。
重点 IOC（仅限实验室，请勿输入真实 SIEM）：
| 类型 | 值 | 上下文 |
|---|---|---|
| 源 IP（攻击者） | 172.16.50.10 | vsftpd 漏洞利用、多协议侦察、SSH 暴力破解 |
| 目标 IP | 192.168.10.10 | 被入侵的内部服务器（Metasploitable 2） |
| C2 IP | 10.40.0.200:8888 | Caldera Sandcat 命令与控制 |
| 后门端口 | 6200/tcp | CVE-2011-2523 root 绑定 shell |
| 漏洞利用载荷 | 以 :) 结尾的 FTP USER | 后门触发模式 |
所捕获的事件包含两条不同的线索，由 PCAP 重建：
vsftpd 2.3.4，一个带有公开记录后门（CVE-2011-2523）的版本，可在内部网络上访问（调查结果 I1）。:) 结尾的 FTP USER 请求触发了后门（调查结果 I3）。10.40.0.200:8888 发送信标，表明存在证据包中未体现的先前入侵（调查结果 I5）。本仓库的组织方式让您可以根据自身角色选择合适深度来阅读：
| 如果您是... | 从这里开始 | 时间 |
|---|---|---|
| 招聘人员或招聘经理 | 本 README + 快速浏览 PDF 执行摘要 | 5 分钟 |
| 评估契合度的 SOC 分析师 | PDF 第 5 节（检测缺口）和第 8 节（检测工程） + detection/lab.rules | 20 分钟 |
| DFIR 从业人员 | 完整 PDF + notes/journal.md 以查看调查轨迹 | 60 分钟 |
| 检测工程师 | detection/lab.rules + detection/README.md 以了解部署和重放验证 | 30 分钟 |
| 任何希望 grep、引用或 diff 的人 | 报告 Markdown 源文件 | 按需 |
规范交付物： reports/ 中的 PDF。Markdown 源文件内容相同，保留在仓库中以供搜索和版本控制。
调查轨迹： notes/journal.md 是分析师的日常工作笔记本（已测试和推翻的假设、证据清单、计划状态）。它补充了正式报告，展示结论是如何得出的，而不仅仅是结论本身。
检测规则集： detection/lab.rules 包含 7 条 Suricata 规则，并在内联注释中提供了每个关键字的完整论证。detection/README.md 记录了用于确认每条规则在捕获事件上触发的部署与重放验证工作流。
本项工作遵循三个行业标准框架，分层叠加。
NIST 的 4 阶段模型（准备、检测与分析、遏制/根除/恢复、事件后活动）提供了高层结构。在本项目中，交付物的阶段 1 对应 NIST 的"检测与分析"（PCAP 取证、SIEM 关联、攻击者时间线重建）。阶段 2 对应 NIST 的"经验教训"，转化为预防性控制措施（7 条 Suricata 规则和报告第 7 节中的按优先级排序的建议清单）。
PICERL（准备、识别、遏制、根除、恢复、经验教训）是 SANS 事件响应流程。在本项目中的应用：
| PICERL 阶段 | 本项目 |
|---|---|
| 准备 | 经教练验证的实验室环境、签字确认的证据包、明确的范围（取证 + 检测工程）、4 天时限 |
| 识别 | PCAP 分类 + Wazuh 事件关联 + 假设驱动分析（7 条假设，1 条被推翻，5 条确认，1 条不确定） |
| 遏制 / 根除 / 恢复 | 记录为 P0 建议（主机隔离、移除 vsftpd、清理 Caldera 植入体），但未执行（超出范围：仅取证分析，非主动响应） |
| 经验教训 | 阶段 2 检测工程：7 条 Suricata 规则 + 调优说明 + 误报分析（报告第 8 节） |
每项调查结果都映射到一个或多个 MITRE ATT&CK 技术，以便客户将该事件与现有威胁模型关联。10 项调查结果中引用了 14 种不同的技术：
每项调查结果的完整技术表见报告第 4 节（IOC），每项调查结果的深入分析见第 3 节和第 5 节。