告警聚合-无向图的动态连通性与union-find算法

背景与问题 一次入侵事件分为多个阶段，过程中攻击者会执行很多行为，其中一部分行为会被IDS产品捕获，形成告警，我们需要对同一次入侵事件产生的告警进行聚合，还原入侵事件的原貌，从而便于后续自动化防御工作的部署。 在入侵溯源功能中，我们已经将攻击者的行为(白色节点)和触发的告警(橙色节点)进行关联分析并构成了无环图。在图中所有联通的橙色节点需要划分到同一入侵事件group中。 ... Read More

K8s渗透测试etcd的利用

ETCD etcd：k-v数据库，用于保存K8s集群数据，在配置错误/搭配SSRF利用时，访问到etcd=接管集群。位于K8s master node 对内暴露2379端口，本地127.1可免认证访问，其他地址要带--endpoint参数和cert进行认证。 文档 https://kubernetes.io/zh/docs/concepts/overview/components/ ... Read More

BTC择时波动量化策略实现

This post requires access token, contact mail:[email protected] if needed. Read More

Tradingview MACD背离+假突破自动化指标实现

// This source code is subject to the terms of the Mozilla Public License 2.0 at https://mozilla.org/MPL/2.0/ // © cdxy //@version=4 study("cdxy breakout",overlay=true) // statics backlen = ... Read More

云原生入侵检测趋势观察

什么是云原生 以下是云原生计算基金会（CNCF）对云原生的定义： Cloud native technologies empower organizations to build and run scalable applications in modern, dynamic environments such as public, private, and hybrid clouds. ... Read More

SaltStack RCE (CVE-2020-11651) 简单分析

漏洞原理比较简单，看advisory可以很快调出来，因此黑产批量利用较快。 Patch https://github.com/saltstack/salt/commit/a67d76b15615983d467ed81371b38b4a17e4f3b7#diff-81ea017b5c8f831cea8ab4e035970b92 认证 ... Read More

波动印钞机——MOVE合约交易策略

学习一下MOVE的相关知识。 什么是MOVE合约 https://help.ftx.com/hc/zh-cn/articles/360033349672-%E5%8F%8C%E5%90%91%E6%9C%9F%E6%9D%83%E5%90%88%E7%BA%A6%20(MOVE%20%E5%90%88%E7%BA%A6) ... Read More

技术分析笔记

This post requires access token, contact mail:[email protected] if needed. Read More

容器逃逸方法

容器即隔离 "The only real solution to security is to admit that bugs happen, and then mitigate them by having multiple layers, so if you have a hole in one component, the next layer will catch the ... Read More

图计算在基础安全的落点（一）

简要记录一些思想。 图与入侵检测 当下观察到的企业入侵检测发展方向： 向下做深端的采集能力，提高对抗成本。 向上提高数据分析能力，挖掘更多信息。 数据分析能力的发展过程： 第一阶段：单点日志+规则审计。 第二阶段：基于双流join的关联分析，能够连接两三种异构日志并建模。 第三阶段：利用图计算连接更多数据。 连接的数据越多，意味着特征维度越丰富，分类边界越清晰。 一个简单场景： ... Read More