风险治理

引言：被低估的脚本攻击面 在企业纵深防御安全体系中，终端威胁正在发生范式转变。传统恶意软件检测依靠特征码、启发式分析，重点针对PE可执行文件。但攻击者越来越多地采用 Living off the Land（LotL）就地取材战术，直接调用操作系统自带合法工具完成恶意动作，不投放独立恶意二进制文件。Windows批处理.bat/.cmd、VBScript.vbs成为高频攻击载体。 批处理与VBScript成为LotL攻击优选，源于其技术特性：属于系统原生组件，无需额外安装；可直接调用系统API、WMI、COM对象，实现文件操作、注册表修改、网络通信、进程管理；本身为纯文本，没有PE文件头，传统特征杀毒检测效果有限。攻击者通过钓鱼邮件诱使用户双击脚本，或者Office宏嵌入恶意VBS代码，即可实现持久化驻留、窃取敏感数据、内网横向移动。 与此同时挖矿程序、勒索软件、APT后门等恶意进程持续带来威胁，恶意进程运行行为和正常业务程序存在可识别差异。如何在脚本执行入口建立拦截屏障，如何对运行态恶意进程做实时检测处置，是终端安全两大核心技术命题。 本文从内核‑用户态协同视角，讲解脚本管控与风险进程治理实现方案，结合互成软件终端安全治理框架介绍企业落地工程价值。 一、脚本执行管控：从引擎层到进程链的多维拦截 1.1 Windows脚本执行的技术架构 Windows脚本存在多条执行路径，对应不同解释器引擎： 批处理Batch：由cmd.exe解析执行，读取.bat/.cmd文本命令，调用内置命令或外部程序。 VBScript：依托WSH Windows脚本宿主，分为cscript.exe命令行、wscript.exe图形界面，加载vbscript.dll，编译字节码执行，借助COM对象访问文件、注册表、网络。 PowerShell（本文不作展开）：.ps1脚本，通过powershell.exe/pwsh.exe执行，也是LotL重要攻击载体。 1.2 脚本执行的多层拦截机制 互成软件脚本管控构建内核层进程监控 + 用户态API过滤 + 命令行语义解析三层防御体系： 内核层进程创建监控：通过PsSetCreateProcessNotifyRoutineEx注册回调，捕获cmd.exe、cscript.exe、wscript.exe等宿主进程创建。驱动读取映像路径、父进程ID、PEB中的命令行参数，识别命令行内.bat/.cmd/.vbs脚本文件参数。 ShellExecute API Hook：用户双击脚本文件会调用ShellExecute/ShellExecuteEx。Agent Hook该接口，执行前提取文件路径与操作类型，匹配安全策略。 WSH引擎层拦截：Hookvbscript.dll内部IActiveScript::ParseScriptText接口。可以捕获HTA、内存内嵌脚本，攻击者不落地脚本文件也能够被检测。 命令行语义解析：针对cmd /c、cmd /k场景，深度解析命令行，识别powershell -enc、certutil -urlcache、regsvr32等典型LotL攻击命令，执行前判定风险等级。 1.3 例外程序配置：调用链溯源与白名单 全盘禁止脚本会干扰运维自动化、业务插件、宏流程等合法场景。系统依靠调用链溯源实现精准放行： 父进程识别：回调获取脚本宿主的父进程PID，如果父进程属于预先配置例外程序，则允许脚本运行。 调用链递归校验：针对多层代理启动脚本的攻击手法，递归回溯整条进程链，整条链路全部可信才放行脚本。 例外多维校验：不只依靠进程名，同时校验文件路径、SHA‑256哈希、数字签名、版本，防止同名恶意程序绕过。例如仅放行企业目录下企业证书签名的运维工具。 动态一次性令牌：IT运维排障等临时场景，管理平台下发绑定终端、脚本的限时令牌，实现限次限时放行。 1.4 静默阻断与审计模式 两种策略执行模式可按终端、用户、脚本类型、时间窗口差异化配置： 静默阻断模式：内核回调直接返回STATUS_ACCESS_DENIED，脚本进程完全不运行。无弹窗、不写本地日志，高密级终端使用，避免攻击者感知安全防护存在。 审计模式：允许脚本执行，完整记录进程链、命令行、脚本路径、账号时间，日志上报平台。用于基线调研、策略调优阶段。 二、风险进程检测与响应：运行时威胁的实时收敛 2.1 终端风险进程的技术特征 除脚本威胁外，漏洞植入、供应链投毒、脚本下载释放的恶意二进制同样需要处置。风险进程检测不依赖静态特征码，基于运行时行为分析，检测维度： 进程行为画像：建立进程行为基线，包含文件访问、网络连接、注册表操作、子进程创建。行为明显偏离基线标记异常。 内存特征扫描：内核态映射或者ReadProcessMemory读取进程内存，查找C2域名、钱包地址、Shellcode、反射DLL注入痕迹。 文件熵值分析：监控进程新建修改文件，计算香农熵，加壳加密恶意文件熵值接近8，标记可疑。 网络异常检测：识别恶意IP域名通信、异常端口出站、DNS隧道行为。 2.2 风险检测的终端实现 内核与用户态Agent协同完成检测响应： 内核层监控：PsSetCreateProcessNotifyRoutineEx、PsSetLoadImageNotifyRoutine监控进程创建、模块加载，维护进程状态表保存基础信息。 用户态行为分析引擎：SYSTEM权限Agent订阅Windows ETW事件，采集文件、网络、注册表行为。结合威胁情报IOC库、机器学习模型计算风险评分。 实时响应动作（风险分超阈值触发） 客户端告警弹窗，展示威胁信息； 调用NtTerminateProcess终止风险进程及子进程树，保护关键系统进程防止蓝屏； 终端网络隔离，阻断外联，阻止数据窃取、下载后续载荷； 可选内存转储加密保存，用于事后取证。 2.3 技术日志的结构化记录 所有检测处置事件输出标准化取证日志，关键字段： 进程标识：PID、进程名、映像路径、命令行、父子进程信息 时间线：进程创建、风险检出、响应执行时间 风险指标：命中规则ID、风险评分、匹配IOC 响应结果：告警/终止/隔离/内存转储以及执行状态 系统上下文：终端机器GUID、登录用户SID、系统启动时间 取证信息：转储路径、大小、哈希 日志加密上报管理平台，支持多维度检索关联分析，时间线完整还原攻击链路：脚本执行‑恶意进程启动‑数据外泄尝试。 ...