# ============================================================ # MeshSafe 全局检测策略 # 说明：所有裁决逻辑集中在此文件，调整策略无需改动代码。 # 修改后调用 POST /api/v1/policies/reload 或重启服务生效。 # ============================================================ version: "2026.10.2" description: "MeshSafe 默认全局策略（麒麟桌面/UOS x86 + WPS 目标终端）" # ---------- 全局阈值 ---------- global: # 风险分 ≥ 该值直接拒绝 block_score: 70 # 风险分落在该区间转人工复核 review_score: [30, 70] # 引擎不可用时的降级策略：fail_closed（拒绝）/ fail_open（放行） # 生产环境应为 fail_closed，满足等保"安全优先"要求 engine_failure_mode: fail_closed # 单文件大小上限（字节）—— 与 ClamAV MaxFileSize=1G 对齐，留余量给其他 5 引擎 max_file_size: 1610612736 # 1.5 GB # 同步模式的最大文件大小，超过转异步 sync_max_size: 536870912 # 512 MB（超过转异步扫描，避免请求超时） # 是否允许加密压缩包 allow_encrypted_archive: false # 是否允许加密文档（Office 加密） allow_encrypted_document: false # ================================================================ # 零容忍规则集（独立于评分模型，优先级最高） # 命中即 reject，不走评分累加。与 §7.2 步骤 0 对应。 # ================================================================ zero_tolerance_rules: # ---- 跨平台通用载体 ---- - PdfJavaScript # PDF 打开即执行脚本 - PdfLaunchAction # PDF 打开即启动程序 - PdfOpenAction # PDF 打开即执行动作 - PathTraversal # 解包路径穿越 - IsoWithExecutable # ISO 挂载后内部含可执行 - MacroObfuscated # 宏代码混淆/加密（意图不可知） - AttachedTemplate # Office 外部模板注入 # ---- 宏相关（WPS on Linux 生效）---- - VBAAutoExec # VBA 宏 AutoOpen 自动执行入口 - VBAAutoExecShell # VBA 宏自动执行 + Shell/CreateObject 调用 - MRaptorAutoExec # mraptor 判定为自动执行宏 - MRaptorAutoExecSuspicious # mraptor 判定为可疑自动执行宏 - DDEAutoExecution # DDE/DDEAUTO 自动执行字段 - EmbeddedExecutable # 文档内嵌可执行对象 # ---- Linux 专属载体 ---- - LinuxExecutable # ELF 原生二进制 - DesktopFileAutoExec # .desktop 文件 Exec= 字段含危险命令 - ShellScriptDangerous # Shell/Python/Perl/Ruby 脚本含危险函数 - LinuxPortableExecutable # AppImage/Flatpak/Snap 便携包 - ArchiveContainsLinuxExec # 压缩包内混有 .sh/.deb/.run/.bin # ---- Windows 专属载体（纵深防御）---- - LnkWithAutoExec # LNK 快捷方式（Linux 不识别，保持检测） - ChmWithScript # CHM 帮助文件（Linux 默认不自动执行） # ---- ClamAV 引擎检测 ---- - Eicar-Test-Signature # EICAR 测试病毒（等保要求：检测到即阻断） # ---- L3 高危关键词（白名单优先，剩余命中即阻断）---- - ReverseShellNetcat # 反弹 Shell (nc/ncat//dev/tcp/bash -i) - ReverseShellPowershell # PowerShell 反弹 Shell (-enc) - CredentialStealer # 凭据窃取工具 (mimikatz/sekurlsa/wce/...) - CredentialExport # 凭据导出命令 (reg save/reg export/...) # ---------- 文件类型白名单 ---------- # 只允许这些类型通过。空列表表示不限制（不推荐生产使用）。 allowed_extensions: # --- Office 文档 --- - .doc - .docx - .docm - .xls - .xlsx - .xlsm - .ppt - .pptx - .pptm - .rtf - .pdf - .wps # WPS 文字 - .et # WPS 表格 - .dps # WPS 演示 # --- 文本与图像 --- - .txt - .csv - .json - .xml - .yaml - .yml - .html - .htm - .md # Markdown（飞书/Notion 导出） - .markdown - .jpg - .jpeg - .png - .gif - .bmp - .tiff - .svg - .webp # --- 音视频 --- - .mp4 - .mov - .avi - .mkv - .wmv - .flv - .webm - .mp3 - .wav - .flac - .m4a # --- 脑图/设计 --- - .xmind - .drawio - .vsdx - .bpmn - .epub # --- 邮件 --- - .eml - .msg # --- 归档（允许进入后递归扫描）--- - .zip - .rar - .7z - .tar # --- 业务源码/脚本/数据（业务开发/运维合法上传）--- - .java - .py - .js - .ts - .go - .c - .cpp - .cs - .sql - .sh - .log # 运维日志 - .ini - .cfg - .conf - .properties # --- 专业文档/素材 --- - .odt - .ods - .odp - .ttf # 字体文件 - .otf - .dwg # CAD 图纸 - .dxf - .stl - .fbx - .step - .iges - .gz - .bz2 - .xz - .iso # --- 可执行与脚本（零容忍规则拦截，此处允许进入裁决流程）--- # 两层防御：零容忍（步骤 0）先拦截，扩展名白名单（步骤 3）作为兜底 # 这样策略中临时禁用某个零容忍规则时，文件仍可进入评分裁决 - .exe - .dll - .msi - .scr - .com - .elf - .so - .desktop - .appimage - .deb - .rpm - .run - .bin - .snap - .sh - .bash - .zsh - .py - .pl - .rb - .js - .vbs - .bat - .cmd - .ps1 - .hta - .lnk - .chm # ---------- 需要强制深检的类型 ---------- # 一期无沙箱，此配置预留。命中这些类型自动转异步。 sandbox_required_extensions: - .exe - .msi - .iso # ---------- 特定规则的处置覆盖 ---------- # 仅针对未进入零容忍集的规则。零容忍规则已在上方处理，此处不再覆盖。 # rule_name: [action, reason_override] # action 取值：pass / pass_with_flag / manual_review / reject / reject_and_notify rule_overrides: # 光闸口径：EXE/DLL/脚本一律不自动放行，最低人工复核。 # 用 override 而不是靠 weight=30 恰好等于 review_score 下界来维持—— # 数值巧合意味着把下界调到 >35 或把权重降一点，干净可执行文件就会静默放行。 DangerousExecutableExtension: action: manual_review reason: "可执行/脚本类型文件，按光闸口径最低转人工复核" VBAShellInvocation: action: manual_review reason: "宏调用 Shell 但无自动执行入口，需人工复核" ArchiveContainsExecutable: action: manual_review reason: "压缩包内含 Windows 可执行文件，转人工确认（Linux 不识别）" ArchiveBombSuspect: action: reject reason: "压缩比异常，疑似压缩炸弹" ExtensionMismatch: action: reject reason: "声明扩展名与真实类型不一致，疑似伪装" DoubleExtension: action: reject reason: "双扩展名伪装，高风险" # ---- 邮件相关 ---- EmailAttachmentDangerous: action: manual_review reason: "邮件附件为高风险类型，需人工确认是否为钓鱼/恶意附件" EmailAttachmentDisguised: action: reject reason: "邮件附件存在双扩展名伪装，高风险钓鱼特征" EmailPhishingKeyword: action: manual_review reason: "邮件正文/Subject 命中钓鱼特征，需人工确认" # ---- 加密 ---- OfficeEncrypted: action: reject reason: "Office 文档已加密，策略禁止加密文档进入内网" # ---------- 通知设置 ---------- notification: # 拒绝时是否返回详细原因给调用方（便于摆渡系统向用户提示） include_reason: true # 拒绝原因的最大长度 max_reason_length: 500 # ---------- YARA 规则权重映射 ---------- # 档位权重与 rules/*.yar 的 meta.risk_level 一一对应（由 binary.py 读取 meta 得到 # 默认严重度，再用本表覆盖为固定权重，保证规则文件与策略只有一处真相）。 # critical=85（单独命中即 reject）/ high=60 / medium=30 / low=10 # 只有 critical 一档可以独立越过 block_score=70；其余档位需与其他信号叠加。 # 不在本表的规则：沿用 meta.risk_level 推导出的默认权重。 yara_rule_weights: critical: # weight=85 - C1_PE_ProcessInjection - C1_PE_RAT_CommandControl - C3_JSP_Webshell_Deserialization - C3_JSP_Webshell_RuntimeExec - C3_PHP_Webshell_Oneliner - C3_Webshell_Behinder - C3_Webshell_CommandExecutionEcho - C3_Webshell_Godzilla - C7_Linux_ReverseShell_Bash - C7_Linux_ReverseShell_NC - C7_Linux_Rootkit_KernelModule - C8_Ransomware_BlackCat - C8_Ransomware_Conti - C8_Ransomware_Encryption - C8_Ransomware_LockBit high: # weight=60 - C1_PE_DLLHijacking - C1_PE_Downloader_Loader - C1_PE_LOLBin_Usage - C3_JSP_Webshell_MemoryShell - C3_PHP_Webshell_Obfuscated - C3_PHP_Webshell_VariableDeformation - C3_Webshell_ASP_Classic - C3_Webshell_ASPNET - C3_Webshell_AntSword - C7_Linux_Persistence_AuthorizedKeys - C7_Linux_Persistence_Crontab - C7_Linux_Persistence_LD_PRELOAD - C7_Linux_Persistence_SystemD - C7_Linux_ReverseShell_Perl - C7_Linux_ReverseShell_Python - C7_Linux_ReverseShell_Socat - C8_Mining_Monero - C8_Ransomware_Ryuk_Pseudo - C8_Ransomware_VolumeShadow medium: # weight=30 - C1_PE_EntropyHighNetwork - C1_PE_Mutex_Persistence - C7_Linux_Miner_Generic - C7_Linux_ReverseShell_Misc - C7_Misc_Ruby_Lua_ReverseShell - C7_Network_Tools_Malicious - C8_Ransomware_Note_Filename - C9_Packer_Themida_VMP low: # weight=10 - C8_Ransomware_Extension_Blacklist - C9_Packer_UPX # ---------- 内网特征词表引擎（P1）---------- # 规则为数据驱动：在 policy.yaml 中声明，引擎从 PolicyStore 加载。 # 控制台 P2 可实时修改并热重载。 # 每条规则字段： # name: 规则名（Finding.rule） # match: contains | regex | any_of # pattern: contains/regex 模式的匹配串 # keywords: any_of 模式的关键词列表 # weight: 评分权重（默认 30） # severity: low | medium | high | critical（默认 medium） # ignore_case: 正则模式是否忽略大小写 keyword_rules: # ---- 内网合规特征（辅助判断，不进零容忍）---- - name: ClassifiedLevelMarkers match: any_of keywords: ["绝密", "机密", "秘密", "内部文件", "内部资料", "禁止外传"] weight: 25 severity: low - name: InternalDocumentPatterns match: regex pattern: "(?:国家机密|涉密|密级[：:]\\s*[一二三四五])" ignore_case: true weight: 30 severity: medium # ================================================================ # 恶意行为特征词表（覆盖 CSV L3 全部 25 条用例） # ================================================================ # ---- 远程下载即执行（要有完整动作链，裸词不算；README 里的安装命令进复核而非直接拒）---- # cross_line：命令换行/续行是本类特征最常见的绕过（curl \ + 下一行 | sh）， # 拼接后仍要求"下载工具 + 执行动作"同框，散文里的多行文本不会凑出这条链。 - name: RemoteDownloadExec match: regex pattern: "(?:\\b(?:curl|wget)\\b[^\\n]{0,120}\\|\\s*(?:ba|z|k|da)?sh\\b|\\b(?:curl|wget)\\b[^\\n]{0,120}(?:&&|;)\\s*(?:chmod\\s+\\+x|\\./)|(?:^|[^\\w$-])(?:iex|invoke-expression)\\b[^\\n]{0,60}(?:\\biwr\\b|invoke\\s*[-_]?\\s*web\\s*[-_]?\\s*request|invoke\\s*[-_]?\\s*rest\\s*[-_]?\\s*method|downloadstring)|\\b(?:iwr|invoke\\s*[-_]?\\s*web\\s*[-_]?\\s*request|invoke\\s*[-_]?\\s*rest\\s*[-_]?\\s*method)\\b[^\\n]{0,120}\\|\\s*(?:iex|invoke-expression)\\b|certutil\\s+[-/]urlcache[^\\n]{0,60}\\.exe\\b|mkfifo[^\\n]{0,60}(?:\\bnc\\s|\\bnetcat\\b))" ignore_case: true cross_line: true weight: 40 severity: critical # ---- 下载并落地成可执行文件（dropper 行为，比"下载即执行"弱一档但仍高危）---- - name: PayloadDropToDisk match: regex pattern: "(?:\\b(?:curl|wget)\\b[^\\n]{0,120}(?:-o|-O|--output)\\s+\\S*\\.(?:exe|dll|ps1|bat|cmd|vbs|jar|msi|so|bin)\\b|\\b(?:i\\s*[-_]?\\s*wr|invoke\\s*[-_]?\\s*web\\s*[-_]?\\s*request|invoke\\s*[-_]?\\s*rest\\s*[-_]?\\s*method)\\b[^\\n]{0,120}-o(?:utfile)?\\s+\\S*\\.(?:exe|dll|ps1|bat|cmd|vbs)\\b|\\b(?:new-object|activexobject)\\s+system\\.net\\.webclient[^\\n]{0,80}downloadfile)" ignore_case: true cross_line: true weight: 45 severity: critical # ---- 外部下载动作（cmdlet/API + 无执行链）：计分进复核，不再零容忍 ---- # cmdlet 名（Invoke-WebRequest/Invoke-RestMethod/BitsAdmin）是 PowerShell 专有写法， # 单独出现即进复核。.NET/Win32 的方法名（DownloadString/DownloadFile）不一样—— # 它们存在于所有托管程序的标识符表里，裸匹配实测把 nvidiaInspector.exe 的 # `add_DownloadFileCompleted`、`DownloadFileAsync` 各算一次命中，白送 30 分， # 把 45 分的人工复核顶成 75 分拒绝。所以方法名必须与 URL/IP 同框才算下载。 - name: RemoteDownloadPowerShell match: regex pattern: "(?:\\b(?:Invoke-WebRequest|Invoke-RestMethod|Start-BitsTransfer|BitsAdmin)\\b|\\bDownload(?:String|File)\\b[^\\n]{0,40}(?:https?://|\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3})|(?:https?://|\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3})[^\\n]{0,40}\\bDownload(?:String|File)\\b)" ignore_case: true weight: 30 severity: medium # ---- 下载工具 + 明确地址：只认"工具与 URL/IP 同框"，裸 -o 参数不算 ---- # 旧写法里的 `curl|wget -O/-o 任意值` 会命中任何写成两段的安装文档，去掉。 - name: RemoteDownloadUnix match: regex pattern: "(?:\\b(?:curl|wget|certutil)\\b[^\\n]{0,80}(?:https?://|\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}))" ignore_case: true weight: 30 severity: medium # ---- 反弹 Shell ---- - name: ReverseShellNetcat match: regex # 只认「执行原语」形态：nc/ncat/netcat 带 -e/-c（把 shell 交给连接）， # 或 /dev/tcp、bash -i >& 这类内核级反连。裸 nc / nc -l / nc -z 是运维常用， # 出现在速查文档和二进制字符串表里必然误报，不计分。 pattern: "(\\b(?:nc|ncat|netcat)\\s+(?:[^\\n]{0,60}\\s)?-[ec]\\w*\\s*(?:/bin/|/usr/|cmd\\.exe\\b|\\S*sh\\b)|/dev/tcp/|bash\\s+-i\\s+>&|sh\\s+-i\\s+>&)" ignore_case: true weight: 40 severity: critical - name: ReverseShellPowershell match: regex pattern: "(powershell\\s+-enc|powershell\\s+-w\\s+hidden\\s+-enc|powershell\\s+-ExecutionPolicy\\s+Bypass\\s+-enc)" ignore_case: true weight: 35 severity: critical # ---- 凭据窃取工具 ---- - name: CredentialStealer match: regex # 全部加 \b 词边界, wce 要求后跟 .exe / 空格 / / (二进制随机字节里的 WCE 不会触发) pattern: "(\\bmimikatz\\b|\\bsekurlsa\\b|\\bwce(\\.exe\\b|\\s|\\/)|\\bgsecdump\\b|\\bfgdump\\b|\\blsadump\\b|\\bdcsync\\b|\\bdcsyncer\\b|\\brubeus\\b)" ignore_case: true weight: 45 severity: critical # ---- 凭据导出命令 ---- - name: CredentialExport match: regex pattern: "(reg\\s+save\\s+HKLM\\\\SYSTEM|reg\\s+save\\s+HKLM\\\\SAM|reg\\s+export\\s+SAM|reg\\s+export\\s+SYSTEM|hxdump|secretsdump)" ignore_case: true weight: 45 severity: critical # ---- 远程会话劫持 ---- - name: RemoteSessionHijack match: regex pattern: "(\\btscon\\b|\\brdpclip\\b|\\brdp_shadow\\b|\\bshadow\\s+[0-9]+\\b|CreateRemoteThread)" ignore_case: true weight: 35 severity: high # ---- 命令执行混淆 ---- - name: CommandExecutionObfuscated match: regex pattern: "(cmd\\s+/c|cmd\\s+/d|certutil\\s+-decode|certutil\\s+-urlcache|\\bmshta\\b|\\bregsvr32\\s+\\/s)" ignore_case: true weight: 25 severity: medium # ---- WMI/LDAP 攻击 ---- - name: WMILdapAttack match: regex pattern: "(wmic\\s+path|wmic\\s+process\\s+call\\s+create|ldapsearch\\s+-x|ldapwhoami)" ignore_case: true weight: 30 severity: high # ---------- 白名单（规则命中后二次放宽） ---------- # 优先级：白名单 > 关键词规则 > YARA 规则 > 评分累加 # 命中白名单的规则会从 findings 中过滤，不再进入裁决 keyword_whitelist: # ---- 内网合法运维地址/域名（白名单放行 curl/wget 下载）---- - rule: RemoteDownloadUnix # curl/wget 下载特征 allowed_keywords: - "192.168." - "10." - "172.16." - "172.17." - "172.18." - "172.19." - "172.2" - "172.3" - ".senmesh.com" - "repo.internal" - "mirror.internal" - rule: RemoteDownloadExec # 下载即执行：内网源站安装脚本按白名单放行 allowed_keywords: - "192.168." - "10." - "172.16." - "172.17." - "172.18." - "172.19." - "172.2" - "172.3" - ".senmesh.com" - "repo.internal" - "mirror.internal" - rule: PayloadDropToDisk # 下载落地可执行文件：内网源站安装包放行 allowed_keywords: - "192.168." - "10." - "172.16." - "172.17." - "172.18." - "172.19." - "172.2" - "172.3" - ".senmesh.com" - "repo.internal" - "mirror.internal" - rule: RemoteDownloadPowerShell # Invoke-WebRequest/BitsAdmin allowed_keywords: - "192.168." - "10." - ".senmesh.com" yara_hash_whitelist: # YARA 命中后，文件 MD5 在此列表 → 跳过告警 # 典型场景：已知安全的开源工具被 YARA 误匹配 - md5: "00000000000000000000000000000000" note: "示例：占位，生产按需补充" # ---------- 审计 ---------- audit: # 记录扫描结果明细到审计日志 log_findings: true # 是否记录提取到的子文件路径 log_extracted_paths: true