Od šest signala do automatske blokade

Kontekst

Reč je o WordPress veb-aplikaciji u deljenom hosting okruženju koje Aegis štiti. Klijent i tačan domen su anonimizovani — svi brojevi, tehnike i vremenski sled u ovoj studiji dolaze direktno iz zapisa incidenta (WORM ledger), bez ulepšavanja.

Napad nije bio jedan „glasan" događaj nego niz naizgled nepovezanih signala razbacanih kroz WAF, SIEM i mrežni sloj. Pojedinačno, svaki se lako izgubi u šumu. Vrednost SOC-a je upravo u tome da ih spoji u jednu priču — i da na nju reaguje dok napad još traje.

Šta se dogodilo

Za nešto manje od deset minuta, isti izvor (31.45.239.xxx) redom je prošao kroz pet faza:

• 1 · Skeniranje veb-aplikacije T1595 · Active Scanning

  Automatizovani skener mapira strukturu sajta, traži poznate putanje i izložene datoteke. Prvi, tihi signal — sam po sebi nije napad, ali je uvod.

• 2 · Proba administratorskog interfejsa T1190 · Exploit Public-Facing App

  Ciljani zahtevi prema /wp-admin i prijavnim putanjama — napadač proverava da li je interfejs otvoren.

• 3 · Pokušaj WordPress eksploita (WAF) T1190

  WAF hvata pokušaj iskorišćavanja poznate WordPress ranjivosti — payload je blokiran na aplikativnom sloju, ali napadač ne odustaje.

• 4 · Naval prijava (credential stuffing) T1110.003 · Password Spraying

  Serija POST zahteva na prijavu — pokušaj probijanja lozinke velikim brojem kombinacija u kratkom vremenu.

• 5 · L7 iscrpljivanje (slowloris) T1499 · Endpoint DoS

  Kad direktan proboj ne uspe, napadač prelazi na iscrpljivanje resursa — sporo držanje konekcija otvorenim da zaguši server.

Kako je Aegis reagovao

Svaka od tih faza podigla je sopstveni alarm — ukupno šest, iz tri različita sloja odbrane (WAF, SIEM za autentikaciju, mrežna detekcija). Ključni trenutak nije bila nijedna pojedinačna detekcija, nego korelacija:

• Aegis korelacioni motor prepoznao je da svih šest alarma deli isti izvorišni IP i da se nižu u napadačkom sledu — od izviđanja ka aktivnom proboju.
• Kombinacija tehnika prešla je prag pouzdanosti: ovo više nije „skener koji luta internetom", nego usmeren, višefazni napad na konkretnu metu.
• Aegis je automatski izdao nalog za blokadu izvora na perimetru — bez čekanja na analitičara.

Dokazni trag

Automatska reakcija nije kraj priče — svaka odluka ostavlja trag koji se može revidirati:

• Šest izvornih alarma i njihova korelacija zabeleženi su u nepromenljivom (WORM) zapisu incidenta.
• Svaki od 188 zlonamernih zahteva vezan je za tehniku i vremensku oznaku.
• Sama blokada — ko ju je izdao (automatika), na osnovu čega i kada — deo je istog dokaznog paketa.

To je razlika između „sistem je nešto blokirao" i „možemo tačno pokazati šta se dogodilo, zašto i kojim redosledom" — bilo za internu reviziju, bilo za NIS2 evidenciju.