实战出真知 | 安星智能体赋能实战化运营，高效应对高危漏洞
发布时间 2025-06-13前言：
Apache Tomcat曝出的远程代码执行漏洞CVE-2025-24813，对基于Tomcat的应用构成严重安全威胁。该漏洞允许攻击者通过恶意序列化对象执行任意命令，获取服务器控制权，导致敏感数据泄露与系统破坏。
某客户通过部署AI驱动的安星智能体成功化解此危机。安星智能体凭借实时AI研判能力，从攻击特征、上下文关联等多维度进行快速分析与决策，精准识别出针对该漏洞的定向攻击行为，立即联动防御剧本实施阻断，并同步通知管理员修复漏洞，有效保障了客户业务系统的安全稳定运行，彰显了智能安全防护的核心价值。
事件回顾
2025年3月28日13:55，安星智能体监测到针对生产环境 Web 集群的异常攻击行为，详情如下：
• 攻击载荷：此次攻击采用Base64编码的PUT请求，内含.webindex.session文件。攻击者意图通过此方式，将恶意脚本上传至目标服务器，为后续的恶意操作做准备。
• 漏洞利用 ：攻击者利用CVE-2025-24813漏洞的核心机制，在处理特定请求时触发反序列化缺陷，并结合临时文件路径解析中的逻辑漏洞，成功在目标服务器上构造出可控的可执行文件路径。通过发送精心构造的Base64编码PUT请求，攻击者能够在未授权的情况下将恶意脚本写入服务器的可执行目录，最终实现远程代码执行，获得服务器控制权限。
• 目标资产 ：遭受攻击的是承载核心业务的Tomcat服务器，该服务器存储着大量业务数据，且直接面向客户提供服务，一旦被攻陷，会对业务的正常运转和客户信息安全造成严重威胁。
图1 捕获攻击路径和攻击概要信息
图2 捕获攻击载荷payload信息
安星智能体AI研判与响应能力
1、AI智能研判：多维度威胁识别与决策
图3 AI智能研判
• 特征识别 ：引擎具备强大的识别能力，能在十几秒内对PUT方法、异常的Content-Type、User-Agent以及payload进行多维特征匹配。通过精准识别这些关键特征，快速判断请求是否存在恶意行为。
图4 AI研判总结
• 上下文关联 ：自动关联资产数据与历史攻击行为，构建完整的攻击画像。通过分析可知，源IP（56.45.85.23）近期对目标IP进行了多次探测和攻击尝试，其Payload中包含目录遍历和Java反序列化相关特征，存在较高威胁。
图5 攻击画像和受害者画像
• 决策输出 ：基于全面的研判结果，AI 智能研判引擎给出详细且具有针对性的处置建议
图6 智能决策输出
图7 智能处置建议
2、攻击链可视化还原
平台拥有强大的全链路还原能力，能够将攻击路径可视化呈现，清晰展示攻击者从外部发起的多阶段攻击过程。通过这种直观的展示方式，安全人员可以全面了解攻击者的行动轨迹和手法，为后续的安全防护和事件分析提供有力支持。
图8 攻击链还原
3、自动化响应闭环
平台构建了完善的自动化响应体系，根据研判结果自动推荐相应的剧本。在此次事件中，针对Tomcat_PUT_Request_RCE_CVE-2025-24813攻击，系统推荐了告警封禁剧本。同时，平台还提供一键封禁功能，可根据告警ID迅速变更告警状态，并及时发送钉钉通知相关安全人员，实现对攻击的快速响应和处理。
图9 自动化响应
实战化运营提效成果
本次事件中，安星智能体显著提升了安全运营的实战化效能，主要体现在：
一是研判效率显著提升。AI智能研判引擎大幅降低了平台误报率达92%。安全人员得以从海量误报中解放，将精力集中于真实威胁，极大提升了安全运维效率。
二是运营成本有效优化。一方面节约人力成本。误报率骤降大幅减少了人力浪费。安全人员无需再频繁处理无意义的告警，将时间投入更具价值的策略优化与漏洞排等工作；另一方面降低服务依赖性。自动化响应与智能研判减少了对复杂人工干预及外部安全服务的依赖，有效控制了外部服务成本。此外，避免业务中断损失。精准的威胁检测与防御有效规避了因安全事件导致的业务中断风险，节省了潜在资金损失。
三是实战价值充分验证。在实战中，平台成功拦截针对Apache Tomcat RCE漏洞（CVE-2025-24813）的定向攻击，切实保障了业务连续性。此类攻击一旦得逞，可能导致客户信息泄露、资金被盗等严重后果。平台凭借其强大的AI能力，及时识别并阻断了攻击，有力保护了机构核心资产与客户敏感数据。
京公网安备11010802024551号