| 将图表中的攻击步骤内容换成以下攻击步骤内容，不要采用分布的形式展示攻击步骤，在一个图表中完整展示攻击步骤，图表支持放大缩小，图表中的连线采用曲线连线，不要和节点有冲突。以攻击者为起点，每个节点为一个攻击行为，每个攻击节点点开后侧边弹窗展示具体的攻击行为内容，下方展示每个步骤触发的防护产品名称和告警信息内容。 步骤1：钓鱼邮件投递 ● 攻击行为：伪造"拥抱AI变革"通知邮件，内含带恶意木马的文件（伪造成files.zip文件） ● 触发防护：邮件安全网关 ● 告警信息：[严重] 检测到仿冒发件人邮件 | 发件人: itsupport@fakecompany[.]com → 目标: victim@corp.com | 包含恶意附件哈希(SHA256: a1b2c3...) | 判定为Emotet钓鱼模板 步骤2：木马执行 ● 攻击行为：受害者下载木马文件后触发PowerShell脚本，下载Cobalt Strike DLL并注入到合法进程 ● 触发防护：终端检测与响应（EDR） ● 告警信息：[高危] 可疑进程注入行为 | 进程: C:\Windows\System32\explorer.exe → 加载内存模块: a09xdf.dll | DLL签名无效且匹配已知Cobalt Strike特征码 步骤3：C2通道建立与横向移动 ● 攻击行为：通过CDN域名的HTTPS心跳通信（如api.cloudfront[.]com），部署反向SSH隧道至内网跳板机 ● 触发防护：网络流量分析（NTA） ● 告警信息：[紧急] 异常外联行为 | 目标IP: 54.231.1.1（归属AWS新加坡） | 协议: HTTPS | 证书指纹异常（CN=*.cloudfront[.]com但签发者匹配Let's Encrypt野生证书） 步骤4：凭据窃取与浏览器模拟 ● 攻击行为：利用Mimikatz提取Chrome浏览器Cookie并伪造User-Agent（同步受害者浏览器指纹） ● 触发防护：身份认证异常检测（UEBA） ● 告警信息:[高危] 异常浏览器会话 | 用户: Victim_Account | IP来源: 172.16.1.23 → 登录设备指纹突变（新增虚拟机特征/QEMU虚拟显卡） 步骤5：云文档渗透 ● 攻击行为：通过劫持的语雀API Token访问《生产环境运维手册》，提取内嵌的SSH私钥（Base64编码） ● 触发防护：DLP（数据防泄漏） ● 告警信息：[严重] 敏感数据访问行为 | 用户: Victim_Account | 操作: 下载文档ID: YUQUE-1234 | 内容匹配关键字: "prod_ssh_private_key" 步骤6：生产网络入侵 ● 攻击行为：通过跳板机使用SSH证书登陆MySQL数据库服务器（IP: 10.8.8.88，账号: dba_admin） ● 触发防护：HIDS（主机入侵检测） ● 告警信息：[紧急] 非常规时间SSH登录 | 账号: dba_admin | 来源IP: 10.8.8.12（测试环境跳板机） | 操作: 执行SHOW DATABASES 步骤7：数据外泄 ● 攻击行为：将压缩加密后的客户数据（文件名: taobaodata.tar.gz.enc）通过DNS隧道传输到alibaba-bas.com ● 触发防护：全流量威胁回溯 ● 告警信息：[严重] 异常数据传输 | 协议: DNS TXT记录 | 目标域: xyz.attacker[.]com | 数据量: 142MB（超阈值500%） | |
| 按顺序展示攻击步骤优化图表中的布局，不要都集中在一起 | |
| 将以下攻击步骤转化为图表的形式进行展示，在一个图表中完整按顺序展示攻击步骤，图表支持放大缩小，图表中的连线和连线不要重叠。以攻击者为起点，每个节点为一个攻击行为，每个攻击节点之间按顺序用剪头进行连接，每个攻击节点点开后侧边弹窗展示具体的攻击行为内容，图表下方展示每个步骤触发的防护产品名称和告警信息内容。步骤1：钓鱼邮件投递 ● 攻击行为：伪造"拥抱AI变革"通知邮件，内含带恶意木马的文件（伪造成files.zip文件） ● 触发防护：邮件安全网关 ● 告警信息：[严重] 检测到仿冒发件人邮件 | 发件人: itsupport@fakecompany[.]com → 目标: victim@corp.com | 包含恶意附件哈希(SHA256: a1b2c3...) | 判定为Emotet钓鱼模板 步骤2：木马执行 ● 攻击行为：受害者下载木马文件后触发PowerShell脚本，下载Cobalt Strike DLL并注入到合法进程 ● 触发防护：终端检测与响应（EDR） ● 告警信息：[高危] 可疑进程注入行为 | 进程: C:\Windows\System32\explorer.exe → 加载内存模块: a09xdf.dll | DLL签名无效且匹配已知Cobalt Strike特征码 步骤3：C2通道建立与横向移动 ● 攻击行为：通过CDN域名的HTTPS心跳通信（如api.cloudfront[.]com），部署反向SSH隧道至内网跳板机 ● 触发防护：网络流量分析（NTA） ● 告警信息：[紧急] 异常外联行为 | 目标IP: 54.231.1.1（归属AWS新加坡） | 协议: HTTPS | 证书指纹异常（CN=*.cloudfront[.]com但签发者匹配Let's Encrypt野生证书） 步骤4：凭据窃取与浏览器模拟 ● 攻击行为：利用Mimikatz提取Chrome浏览器Cookie并伪造User-Agent（同步受害者浏览器指纹） ● 触发防护：身份认证异常检测（UEBA） ● 告警信息:[高危] 异常浏览器会话 | 用户: Victim_Account | IP来源: 172.16.1.23 → 登录设备指纹突变（新增虚拟机特征/QEMU虚拟显卡） 步骤5：云文档渗透 ● 攻击行为：通过劫持的语雀API Token访问《生产环境运维手册》，提取内嵌的SSH私钥（Base64编码） ● 触发防护：DLP（数据防泄漏） ● 告警信息：[严重] 敏感数据访问行为 | 用户: Victim_Account | 操作: 下载文档ID: YUQUE-1234 | 内容匹配关键字: "prod_ssh_private_key" 步骤6：生产网络入侵 ● 攻击行为：通过跳板机使用SSH证书登陆MySQL数据库服务器（IP: 10.8.8.88，账号: dba_admin） ● 触发防护：HIDS（主机入侵检测） ● 告警信息：[紧急] 非常规时间SSH登录 | 账号: dba_admin | 来源IP: 10.8.8.12（测试环境跳板机） | 操作: 执行SHOW DATABASES 步骤7：数据外泄 ● 攻击行为：将压缩加密后的客户数据（文件名: taobaodata.tar.gz.enc）通过DNS隧道传输到alibaba-bas.com ● 触发防护：全流量威胁回溯 ● 告警信息：[严重] 异常数据传输 | 协议: DNS TXT记录 | 目标域: xyz.attacker[.]com | 数据量: 142MB（超阈值500%） | |
| 1、调整图表中的节点大小，确保图表可以完整展示全部的攻击节点 2、每个攻击节点之间按顺序用剪头进行连接 | |
| 1. 缩小每个节点的大小确保图表可以完整清晰的展示全部攻击节点和节点之间的执行顺序 | |
| 按攻击步骤顺序增加攻击节点之间的连线箭头 | |
| 优化建议 1. 图表中的连线和节点不要重叠 2. 节点和连线在图表上可以自由拖拽 3. 攻击者的节点队颜色用红色高亮展示，并将攻击者名称换为BAS AI Hacker 4. 侧边弹窗中通过颜色区分攻击者行为、防护产品、告警信息，点击图表空白处关闭弹窗 5. 全部语言换成中文 |