Od šest signala do automatske blokade

Kontekst

Riječ je o WordPress web-aplikaciji na dijeljenom hosting okruženju koje Aegis štiti. Klijent i točna domena su anonimizirani — sve brojke, tehnike i vremenski slijed u ovoj studiji dolaze izravno iz zapisa incidenta (WORM ledger), bez uljepšavanja.

Napad nije bio jedan „glasan" događaj nego niz naizgled nepovezanih signala razbacanih kroz WAF, SIEM i mrežni sloj. Pojedinačno, svaki od njih lako se izgubi u šumu. Vrijednost SOC-a je upravo u tome da ih spoji u jednu priču — i da na nju reagira dok napad još traje.

Što se dogodilo

Kroz nešto manje od deset minuta, isti je izvor (31.45.239.xxx) redom prošao kroz pet faza:

• 1 · Skeniranje web-aplikacije T1595 · Active Scanning

  Automatizirani skener mapira strukturu stranice, traži poznate putanje i izložene datoteke. Prvi, tihi signal — sam po sebi nije napad, ali je uvod.

• 2 · Proba administratorskog sučelja T1190 · Exploit Public-Facing App

  Ciljani zahtjevi prema /wp-admin i prijavnim putanjama — napadač provjerava je li sučelje otvoreno.

• 3 · Pokušaj WordPress exploita (WAF) T1190

  WAF hvata pokušaj iskorištavanja poznate WordPress ranjivosti — payload je blokiran na aplikacijskom sloju, ali napadač ne odustaje.

• 4 · Naval prijava (credential stuffing) T1110.003 · Password Spraying

  Serija POST zahtjeva na prijavu — pokušaj probijanja lozinke velikim brojem kombinacija u kratkom vremenu.

• 5 · L7 iscrpljivanje (slowloris) T1499 · Endpoint DoS

  Kad direktan proboj ne uspije, napadač prelazi na iscrpljivanje resursa — sporo držanje konekcija otvorenima da zaguši poslužitelj.

Kako je Aegis reagirao

Svaka od tih faza podigla je vlastiti alarm — ukupno šest, iz tri različita sloja obrane (WAF, SIEM za autentikaciju, mrežna detekcija). Ključni trenutak nije bila nijedna pojedinačna detekcija, nego korelacija:

• Aegis korelacijski stroj prepoznao je da svih šest alarma dijeli isti izvorišni IP i da se nižu u napadačkom slijedu — od izviđanja prema aktivnom proboju.
• Kombinacija tehnika prešla je prag pouzdanosti: ovo više nije „skener koji luta internetom", nego usmjeren, višefazni napad na konkretnu metu.
• Aegis je automatski izdao nalog za blokadu izvora na perimetru — bez čekanja na analitičara.

Dokazni trag

Automatska reakcija nije kraj priče — svaka odluka ostavlja trag koji se može revidirati:

• Šest izvornih alarma i njihova korelacija zabilježeni su u nepromjenjivom (WORM) zapisu incidenta.
• Svaki od 188 zlonamjernih zahtjeva vezan je uz tehniku i vremensku oznaku.
• Sama blokada — tko ju je izdao (automatika), na temelju čega i kada — dio je istog dokaznog paketa.

To je razlika između „sustav je nešto blokirao" i „možemo točno pokazati što se dogodilo, zašto i kojim redoslijedom" — bilo za internu reviziju, bilo za NIS2 evidenciju.