BrunoGaoandClaude
3bb08fdd65
- 新增配置文件备份 configs/splunk-es-alert-preprocessing.yaml.backup - 添加新的测试告警数据 test-data/splunk_es_alert_new.json 🤖 Generated with [Claude Code](https://claude.ai/code) Co-Authored-By: Claude <noreply@anthropic.com>
AI SOC 分析师 - 测试数据
本目录包含用于测试 AI SOC 分析师应用的样本数据文件。
文件说明
sample-alerts.json
完整的 JSON 格式告警数据，包含以下攻击场景：
-
钓鱼邮件恶意软件执行 (
phishing.malware_execution)- 时间: 2025-07-19T10:05:23Z
- 严重程度: 高
- 攻击阶段: 初始访问 → 执行
- 涉及实体: WIN-01-7A3B, ming.zhang@company.com, 103.216.154.99
-
云凭据窃取与外泄 (
credential_access.aksk_exfil)- 时间: 2025-07-19T10:17:58Z
- 严重程度: 高
- 攻击阶段: 凭据访问 → 数据渗出
- 目标: 阿里云 AK/SK 凭据
-
云资源侦察 (
cloud.discovery.describe)- 时间: 2025-07-19T10:22:15Z
- 严重程度: 中
- 攻击阶段: 发现
- 行为: ECS 实例枚举
-
后门用户创建 (
cloud.persistence.backdoor_user)- 时间: 2025-07-19T10:35:47Z
- 严重程度: 高
- 攻击阶段: 持久化
- 创建用户: backdoor_admin
-
Kubernetes 配置下载 (
cloud.privilege_abuse.kubeconfig_download)- 时间: 2025-07-19T10:52:31Z
- 严重程度: 高
- 攻击阶段: 凭据访问 → 横向移动
-
容器命令执行 (
k8s.exec.remote_control)- 时间: 2025-07-19T11:15:00Z
- 严重程度: 严重
- 攻击阶段: 执行
- 目标: 生产环境 Pod
sample-alerts.csv
简化的 CSV 格式告警数据，包含相同的攻击时间线，适用于表格化数据处理。
攻击时间线概览
这组测试数据展现了一个完整的多阶段网络攻击：
10:05 - 钓鱼邮件 → 恶意软件执行 → C2 连接
10:17 - 云凭据窃取 → 数据外泄
10:22 - 云环境侦察 → 资源枚举
10:35 - 后门用户创建 → 持久化访问
10:52 - K8s 配置下载 → 权限提升
11:15 - 容器命令执行 → 生产环境控制
使用方法
在应用中测试
- 启动 AI SOC 分析师应用:
npm run dev - 访问 http://localhost:5173
- 上传
sample-alerts.json或sample-alerts.csv文件 - 查看分析结果和威胁报告
预期结果
- 高风险告警: 5 个
- 中风险告警: 1 个
- 潜在攻击链: 1 个完整的多阶段攻击
- 涉及实体: ming.zhang@company.com, backdoor_admin, WIN-01-7A3B, 103.216.154.99
- 攻击技术: 钓鱼、恶意软件、凭据窃取、横向移动、持久化、容器逃逸
威胁情报标签
应该检测到以下威胁指标：
- APT 攻击模式
- 云环境渗透
- Kubernetes 安全威胁
- 多阶段攻击链
- 内部横向移动