implementing-attack-path-analysis-with-xm-cyber

使用 XM Cyber 实施攻击路径分析

概述

XM Cyber 是一个持续暴露管理平台，它使用攻击图分析来识别对手如何将各种暴露——漏洞、错误配置、身份风险和凭据弱点——串联起来，以触及关键业务资产。根据 XM Cyber 2024 年针对 1,150 万个实体中超过 4,000 万个暴露的研究，组织通常拥有约 15,000 个可利用暴露，但传统 CVE 占总暴露的比例不到 1%。该平台发现，只有 2% 的暴露位于汇聚攻击路径的"阻塞点"上，使安全团队能够专注于以最少的工作消除最大风险的修复措施。

何时使用

• 在您的环境中部署或配置使用 xm cyber 实施攻击路径分析能力时
• 在建立与合规要求一致的安全控制时
• 在为该领域构建或改进安全架构时
• 在执行需要此实施的安全评估时

前提条件

• XM Cyber 平台许可证和租户访问权限
• 到受监控环境（本地、云、混合）的网络连接
• 用于 Agent 部署或无 Agent 集成的管理访问权限
• 用于云攻击路径分析的云提供商 API 访问权限（AWS、Azure、GCP）
• 用于基于身份的攻击路径建模的 Active Directory 读取访问权限
• 定义关键业务资产的 CMDB 或资产清单

核心概念

攻击图分析

与时间点漏洞扫描不同，XM Cyber 持续建模整个环境中所有可能的攻击路径：

传统扫描	XM Cyber 攻击路径分析
列出单个漏洞	映射串联的攻击路径
按 CVSS 严重性评分	按到关键资产的可达性评分
时间点评估	持续实时建模
无横向移动上下文	建模完整的横向移动链
独立对待每个漏洞	展示漏洞如何串联在一起

XM Cyber 研究的关键指标（2024 年）

发现	统计数据
每个组织的平均暴露数	约 15,000
基于 CVE 的暴露	占总数的 < 1%
基于错误配置的暴露	占总数的约 80%
关键阻塞点上的暴露	2%
攻击者可从本地转向云的组织	70%
可在 2 跳内攻陷的云关键资产	93%
云平台中的关键资产暴露	56%

阻塞点概念

阻塞点是位于通往关键资产的多条攻击路径交叉处的单一实体（主机、身份、凭据、错误配置）。修复阻塞点可同时消除许多攻击路径，从而在每次修复工作中实现最大风险削减。

Attack Path 1:  Web Server -> SQL Injection -> DB Admin Creds
                                                    \
Attack Path 2:  VPN -> Stolen Creds -> File Server   -> Domain Controller
                                                    /     (Critical Asset)
Attack Path 3:  Workstation -> Mimikatz -> Cached Creds
                                    ^
                              CHOKE POINT
                     (Cached Domain Admin credential)

暴露类别

类别	暴露占比	示例
身份与凭据	40%	缓存凭据、特权过高的账户、可 Kerberoast 的 SPN
错误配置	38%	开放共享、弱权限、缺少加固
网络暴露	12%	开放端口、扁平网络、缺少分段
软件漏洞	8%	未修补的 CVE、过时软件
云暴露	2%	IAM 错误配置、公共存储、权限过宽的角色

工作流

第 1 步：定义关键资产（业务上下文）

Critical Asset Definition:
    Tier 1 - Crown Jewels:
        - Domain Controllers (Active Directory)
        - Database servers with PII/financial data
        - ERP systems (SAP, Oracle)
        - Certificate Authority servers
        - Backup infrastructure (Veeam, Commvault)

    Tier 2 - High Value:
        - Email servers (Exchange)
        - File servers with IP/trade secrets
        - CI/CD pipeline servers
        - Jump servers / PAM vaults

    Tier 3 - Supporting Infrastructure:
        - DNS/DHCP servers
        - Monitoring systems
        - Logging infrastructure

第 2 步：部署 XM Cyber 传感器

Deployment Architecture:
    On-Premises:
        - Install XM Cyber sensor on management server
        - Configure AD integration (read-only service account)
        - Enable network discovery protocols
        - Set scanning scope (IP ranges, AD OUs)

    Cloud (AWS):
        - Deploy XM Cyber CloudConnect via CloudFormation
        - Configure IAM role with read-only permissions
        - Enable cross-account scanning for multi-account orgs

    Cloud (Azure):
        - Deploy via Azure Marketplace
        - Configure Entra ID (Azure AD) integration
        - Grant Reader role on subscriptions

    Hybrid:
        - Configure cross-environment path analysis
        - Map on-premises to cloud trust relationships
        - Enable identity correlation across environments

第 3 步：配置攻击场景

Scenario 1: External Attacker to Domain Admin
    Starting Point:  Internet-facing assets
    Target:          Domain Admin privileges
    Attack Techniques: Exploit public CVEs, credential theft,
                      lateral movement, privilege escalation

Scenario 2: Insider Threat to Financial Data
    Starting Point:  Any corporate workstation
    Target:          Financial database servers
    Attack Techniques: Credential harvesting, share enumeration,
                      privilege escalation, data access

Scenario 3: Cloud Account Takeover
    Starting Point:  Compromised cloud IAM user
    Target:          Production cloud infrastructure
    Attack Techniques: IAM privilege escalation, cross-account
                      pivot, storage access, compute compromise

Scenario 4: Ransomware Propagation
    Starting Point:  Phished workstation
    Target:          Maximum host compromise (lateral spread)
    Attack Techniques: Credential reuse, SMB exploitation,
                      PsExec/WMI lateral movement

第 4 步：分析攻击路径结果

# Interpreting XM Cyber attack path analysis results
def analyze_choke_points(attack_graph_results):
    """Analyze attack graph results for priority remediation."""

    choke_points = []
    for entity in attack_graph_results.get("entities", []):
        if entity.get("is_choke_point"):
            choke_points.append({
                "entity_name": entity["name"],
                "entity_type": entity["type"],
                "attack_paths_blocked": entity["paths_through"],
                "critical_assets_protected": entity["protects_assets"],
                "remediation_complexity": entity["fix_complexity"],
                "exposure_type": entity["exposure_category"],
            })

    # Sort by impact (paths blocked * assets protected)
    choke_points.sort(
        key=lambda x: x["attack_paths_blocked"] * len(x["critical_assets_protected"]),
        reverse=True
    )

    print(f"Total choke points identified: {len(choke_points)}")
    print(f"\nTop 10 choke points for maximum risk reduction:")
    for i, cp in enumerate(choke_points[:10], 1):
        print(f"  {i}. {cp['entity_name']} ({cp['entity_type']})")
        print(f"     Paths blocked: {cp['attack_paths_blocked']}")
        print(f"     Assets protected: {len(cp['critical_assets_protected'])}")
        print(f"     Exposure type: {cp['exposure_type']}")
        print(f"     Fix complexity: {cp['remediation_complexity']}")

    return choke_points

第 5 步：按影响确定修复优先级

Remediation Priority Matrix:

Priority 1 (Immediate - 48h):
    - Choke points on paths to Tier 1 assets
    - Identity exposures (cached Domain Admin creds)
    - Internet-facing vulnerabilities with attack paths

Priority 2 (Urgent - 7 days):
    - Choke points on paths to Tier 2 assets
    - Cloud IAM misconfigurations with privilege escalation
    - Network segmentation gaps enabling lateral movement

Priority 3 (Important - 30 days):
    - Remaining choke points
    - Misconfigurations reducing defense depth
    - Non-critical software vulnerabilities on attack paths

Priority 4 (Standard - 90 days):
    - Exposures NOT on any attack path to critical assets
    - Informational findings
    - Hardening recommendations

最佳实践

1. 在部署平台之前先定义关键资产；没有目标上下文的攻击路径毫无意义
2. 优先修复咽喉点；修复 2% 的暴露面即可消除大部分风险
3. 利用攻击路径上下文向 IT 团队说明修复的紧迫性（展示链路，而不仅仅是漏洞）
4. 每次修复后重新运行攻击路径分析，以验证路径确实已被消除
5. 将云环境纳入分析；56% 的关键资产暴露存在于云平台中
6. 监控由基础设施变更（新服务器、权限变更）产生的新攻击路径
7. 将发现结果与工单系统集成，实现自动化的修复跟踪

常见陷阱

• 只关注 CVE，而 80% 的暴露来自错误配置
• 未定义关键资产，导致攻击路径分析缺乏重点
• 对所有暴露一视同仁，而不是聚焦于咽喉点
• 忽视基于身份的攻击路径（缓存的凭据、可 Kerberoast 的账户）
• 在混合环境中未关联本地与云端的攻击路径
• 只运行一次分析，而不是持续运行

相关技能

• implementing-continuous-security-validation-with-bas
• performing-asset-criticality-scoring-for-vulns
• detecting-lateral-movement-in-network
• exploiting-active-directory-with-bloodhound