Cisco 如何帮助客户应对 AI 加速的 PHP2Shell 威胁

Cisco 在博客中说明其针对 PHP2Shell 漏洞的防护布局：客户在漏洞披露之前就已获得针对利用尝试的检测覆盖，披露当天即具备签名，并可在 Splunk 中通过高级检测观察攻击活动。Cisco 强调，AI 正在加速漏洞发现并压缩响应窗口，安全团队往往来不及打补丁和规划升级就要面对新威胁。 在漏洞披露后不到 24 小时，SnortML 在客户防火墙遥测中捕获了一次新型利用尝试。除披露当天可用的 PHP 漏洞签名外，SnortML 还能识别其从其他攻击中学到的新型攻击载荷模式，并在线识别和阻断远程代码执行尝试，在团队推进补丁的同时弥补防御缺口。 运行 10.1 版本软件的 Cisco Firewall 客户自动具备 SnortML。该能力内置于入侵防御引擎，可实时发现攻击模式并阻断利用尝试，包括此前未见过的新攻击；Snort 签名与机器学习共同为防火墙客户提供防护。Cisco 注明，使用 10.1 版本并采用 security over connectivity 策略的客户默认启用 SnortML。 Cisco 与 Splunk 研究人员将 Snort IPS/IDS 规则与 Splunk 检测关联，使 Splunk 能把单条防火墙告警拼接起来，判断是否匹配更大范围的已知可疑活动。客户目前可使用超过 10 项 Splunk 检测防御 PHP2Shell 后利用活动，其中包含针对 Cisco Firewall 的专项检测：防火墙阻断恶意 PHP2Shell 攻击流量，Splunk 则为 SOC 团队提供后利用活动的可见性。 Cisco 同时给出配套资源：Talos 威胁公告博客作为持续更新与降低风险的参考来源；拥有有效威胁订阅的 Cisco Firewall 客户可下载 IPS 签名 67359、67360 和 67375，也可通过开源 Snort Community Ruleset 免费获取；此外还有 SnortML 介绍博客、入门视频，以及 Enterprise Security Content Update 中已可用的 Splunk 检测。