soc平台告警分析思路及chrome插件
前提：您需要了解前端html 与 js相关知识
整体思路
利用chrome插件 实现js代码分析soc平台告警记录数据
具体实现步骤
- 创建chrome插件demo
- 手工提取soc平台表格信息点，如ip url 攻击类型 攻击时间
- 聚合以上信息点，找出针对性的关联项
- ai生成 信息点提取->聚合分析->创建前端遮罩层table展示（可关闭）
额外的：可使用ai 对popup.html进行美化与多按钮布局实现不同功能分区
伪案例
- 聚合IP 统计每个IP触发次数 触发url 触发类型
- 聚合url 统计该url有多少个ip访问
- 聚合一切你觉得可以关联的东西
Chrome插件demo
在文件夹中创建以下三个文件，chrome加载文件夹即可
popup.html
<!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <style> button{width:120px;padding:6px;cursor:pointer} </style> </head> <body style="width:140px;padding:10px;margin:0"> <button id="runJsBtn">在当前页执行JS</button> <script src="main.js"></script> </body> </html>main.js
const btn = document.getElementById('runJsBtn'); btn.onclick = async () => { // 获取当前激活标签 const [tab] = await chrome.tabs.query({active: true, currentWindow: true}); // 向页面注入执行代码 await chrome.scripting.executeScript({ target: {tabId: tab.id}, func: () => { // 页面内要运行的JS alert('从popup按钮触发脚本'); document.body.style.background='#a8f0ff'; console.log('页面脚本执行完毕'); } }); // 关闭弹窗（可选） window.close(); };manifest.json
{ "manifest_version": 3, "name": "弹窗按钮执行JS", "version": "1.0", "permissions": ["activeTab", "scripting"], "action": { "default_popup": "popup.html" } }伪落地
四个功能区
分析 通知 选择 ip
——
分析
均弹出table遮罩层辅助分析
按访问次数排序
次数 攻击者ip 被攻击url 攻击时间 操作（跳转）
按ip排序
聚合ip 总次数 告警条数 详情【展开每一条记录】（攻击时间 次数 url 操作（跳转））
按url排序
聚合url 总次数 告警条数 详情（攻击时间 次数 url 操作）
——
通知
监控当前页面告警条数，并记录为a，每秒钟读取页面告警条数为b，若a<b则出现新告警，发送chrome通知与播放铃声（播放铃声使用ai生成代码铃声）
——
选择
目的为在一堆告警中筛选出自己关注的类型
提取页面告警类型或提取告警类型筛选控件中的值
"
ip
在上述分析的ip聚合中，增加一项内外部ip过滤，并在遮罩层分类展示，快速找到外部攻击