搜索

[11750] 2017-09-05_谈谈鱼叉式网络钓鱼黑箱粉碎机

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-09-05_谈谈鱼叉式网络钓鱼黑箱粉碎机 谈 谈 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 a p a t h y   F r e e B u f   2 0 1 7 - 0 9 - 0 5 * 本 文 原 创 作 者 ： a p a t h y ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 美 国 加 州 大 学 伯 克 利 分 校 和 劳 伦 斯 伯 克 利 国 家 实 验 室 （ 美 国 加 州 大 学 伯 克 利 分 校 和 劳 伦 斯 伯 克 利 国 家 实 验 室 （ L B N L ） 的 几 位 安 全 研 究 人 员 开 发 了 鱼 叉 式 网 络 钓 鱼 黑 ） 的 几 位 安 全 研 究 人 员 开 发 了 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 ， 通 过 分 析 鱼 叉 式 网 络 钓 鱼 攻 击 的 根 本 特 点 设 计 了 一 组 新 的 信 誉 特 征 。 该 组 特 征 对 应 于 鱼 叉 式 网 络 钓 箱 粉 碎 机 ， 通 过 分 析 鱼 叉 式 网 络 钓 鱼 攻 击 的 根 本 特 点 设 计 了 一 组 新 的 信 誉 特 征 。 该 组 特 征 对 应 于 鱼 叉 式 网 络 钓 鱼 攻 击 的 两 个 关 键 阶 段 ， 随 后 引 入 新 的 异 常 检 测 技 术 （ 鱼 攻 击 的 两 个 关 键 阶 段 ， 随 后 引 入 新 的 异 常 检 测 技 术 （ D A S ） ， 以 非 参 数 的 方 式 运 行 ， 不 需 要 任 何 标 记 的 训 练 ） ， 以 非 参 数 的 方 式 运 行 ， 不 需 要 任 何 标 记 的 训 练 数 据 ， 利 用 信 誉 特 征 来 检 测 攻 击 。 研 究 人 员 与 数 据 ， 利 用 信 誉 特 征 来 检 测 攻 击 。 研 究 人 员 与 L B N L 的 安 全 团 队 进 行 合 作 ， 评 估 了 近 的 安 全 团 队 进 行 合 作 ， 评 估 了 近 4 年 的 电 子 邮 件 数 据 （ 约 年 的 电 子 邮 件 数 据 （ 约 3 . 7 亿 个 电 子 邮 件 ） 以 及 相 关 的 亿 个 电 子 邮 件 ） 以 及 相 关 的 H T T P 日 志 ， 验 证 其 具 有 检 测 凭 证 鱼 叉 式 网 络 钓 鱼 攻 击 的 功 能 。 强 势 围 观 后 来 谈 日 志 ， 验 证 其 具 有 检 测 凭 证 鱼 叉 式 网 络 钓 鱼 攻 击 的 功 能 。 强 势 围 观 后 来 谈 谈 这 一 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 强 大 功 能 。 谈 这 一 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 强 大 功 能 。 什 么 是 鱼 叉 式 网 络 钓 鱼 ？ 什 么 是 鱼 叉 式 网 络 钓 鱼 ？ 网 络 钓 鱼 是 “ 社 会 工 程 攻 击 ” 的 一 种 形 式 ， 攻 击 者 向 用 户 发 送 貌 似 来 自 合 法 企 业 或 机 构 的 欺 骗 性 电 子 邮 件 ， 引 诱 用 户 回 复 个 人 身 份 数 据 或 财 务 账 户 凭 证 ， 或 单 击 电 子 邮 件 中 的 链 接 访 问 伪 造 的 网 站 、 下 载 恶 意 软 件 ， 属 于 犯 罪 欺 诈 行 为 。 鱼 叉 式 网 络 钓 鱼 不 同 于 其 他 的 广 撒 网 式 的 网 络 钓 鱼 ， 攻 击 者 发 送 有 针 对 性 的 欺 骗 性 电 子 邮 件 ， 欺 骗 受 害 者 执 行 危 险 操 作 。 从 攻 击 者 的 角 度 来 看 ， 鱼 叉 式 网 络 钓 鱼 需 要 很 少 的 技 术 复 杂 性 ， 不 依 赖 于 任 何 特 定 的 漏 洞 ， 躲 开 了 技 术 防 御 ， 并 且 常 常 成 功 ； 从 防 守 者 的 角 度 来 看 ， 由 于 电 子 邮 件 为 受 害 者 “ 量 身 定 做 ” ， 受 害 者 容 易 受 到 欺 骗 ， 而 攻 击 者 有 意 地 将 他 们 的 攻 击 邮 件 做 成 合 法 的 手 段 ， 传 统 信 誉 和 垃 圾 邮 件 过 滤 往 往 检 测 不 出 其 中 包 含 的 恶 意 内 容 ， 所 以 鱼 叉 式 网 络 钓 鱼 很 难 抵 挡 。 鱼 叉 式 网 络 钓 鱼 攻 击 有 几 种 形 式 ： 1 .   试 图 欺 骗 收 件 人 打 开 恶 意 附 件 ， 但 是 在 论 文 中 的 实 验 环 境 （ L B N L ） 下 实 现 成 功 攻 击 的 很 少 ； 2 .   凭 证 鱼 叉 式 网 络 钓 鱼 ， 通 过 恶 意 电 子 邮 件 诱 导 收 件 人 点 击 链 接 ， 然 后 在 生 成 的 网 页 上 输 入 凭 证 。 凭 证 窃 取 为 研 究 人 员 的 研 究 重 点 ， 因 为 这 一 攻 击 相 对 漏 洞 利 用 类 攻 击 要 容 易 。 如 果 涉 及 恶 意 软 件 ， 即 便 目 标 已 经 中 招 ， 积 极 修 复 和 其 他 安 全 机 制 会 提 供 防 护 ， 而 一 旦 凭 证 被 找 到 ， 就 只 需 诱 使 目 标 暴 露 出 数 据 。
鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 原 理 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 原 理 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 是 研 究 人 员 在 企 业 环 境 中 提 出 缓 解 鱼 叉 式 网 络 钓 鱼 风 险 的 新 方 法 ， 利 用 网 络 流 量 日 志 和 机 器 学 习 的 一 套 系 统 ， 可 以 在 用 户 点 击 嵌 入 电 子 邮 件 中 的 可 疑 U R L 时 ， 实 时 触 发 警 报 。 鱼 叉 式 网 络 钓 鱼 的 攻 击 对 象 不 同 于 常 规 网 络 钓 鱼 的 任 意 用 户 ， 而 是 专 门 针 对 拥 有 某 种 特 权 访 问 或 能 力 的 用 户 。 根 据 这 种 选 择 性 的 目 标 和 动 机 研 究 人 员 提 出 了 一 种 分 类 法 ， 在 两 个 维 度 上 表 征 鱼 叉 式 网 络 钓 鱼 攻 击 ， 这 两 个 维 度 也 对 应 于 攻 击 的 两 个 关 键 阶 段 ： 1 . 诱 惑 阶 段 （ l u r e ） ， 攻 击 者 冒 充 受 信 任 的 身 份 发 送 电 子 邮 件 来 说 服 收 信 人 的 阶 段 ； 2 . 利 用 阶 段 （ e x p l o i t ） ， 攻 击 者 获 得 信 任 后 ， 利 用 这 种 信 任 诱 导 收 信 人 执 行 危 险 操 作 的 阶 段 。 诱 惑 阶 段 攻 击 者 的 攻 击 方 式 有 四 种 ： 1 .   冒 用 电 子 邮 件 地 址 （ a d d r e s s   s p o o f e r ） ， 利 用 受 信 任 个 人 的 电 子 邮 件 地 址 作 为 攻 击 电 子 邮 件 的 “ 发 件 人 ” ； 2 .   冒 用 电 邮 名 称 字 段 （ n a m e   s p o o f e r ） ， 伪 造 看 起 来 可 信 的 名 称 而 不 伪 造 电 子 邮 件 地 址 ， 这 种 方 式 规 避 了 D K I M 和 D M A R C ； 3 .   未 知 攻 击 者 （ p r e v i o u s l y   u n s e e n   a t t a c k e r ） ， 伪 造 名 称 和 电 子 邮 件 地 址 ， 看 起 来 类 似 于 真 实 用 户 和 真 实 地 址 ； 4 .   横 向 攻 击 者 （ l a t e r a l   a t t a c k e r ） ， 从 被 黑 受 信 账 户 向 其 他 用 户 发 送 钓 鱼 邮 件 。 第 一 种 攻 击 方 式 研 究 人 员 不 予 考 虑 ， 因 为 域 名 密 钥 识 别 邮 件 标 准 ( D K I M ) 和 域 名 消 息 验 证 报 告 一 致 性 协 议 ( D M A R C ) 之 类 的 电 子 邮 件 安 全 机 制 会 处 理 ， 剩 下 的 三 种 攻 击 方 式 为 研 究 重 点 。 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 对 网 络 钓 鱼 攻 击 的 两 个 关 键 阶 段 制 定 了 两 类 特 征 ： 1 .   发 信 人 信 誉 特 征 （ d o m a i n   r e p u t a t i o n   f e a t u r e s ） ， 描 述 了 该 电 子 邮 件 的 发 送 者 是 否 属 于 上 述 攻 击 方 式 之 一 ， 反 映 了 发 信 人 的 可 信 程 度 ， 可 以 利 用 该 特 征 捕 获 诱 惑 阶 段 （ l u r e ） 的 特 征 向 量 ； 2 .   域 名 信 誉 特 征 （ d o m a i n   r e p u t a t i o n   f e a t u r e s ） ， 描 述 了 用 户 根 据 域 名 访 问 该 U R L 的 可 能 性 ， 反 映 了 域 名 的 可 信 程 度 ， 可 以 利 用 该 特 征 捕 获 利 用 阶 段 （ e x p l o i t ） 的 特 征 向 量 。 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 利 用 的 数 据 为 网 络 流 量 日 志 ， 包 括 L B N L 的 S M T P 日 志 、 N I D S 日 志 和 L D A P 日 志 ， 其 中 ， S M T P 日 志 记 录 L B N L 有 关 组 织 员 工 （ 包 括 两 名 员 工 之 间 的 电 子 邮 件 ） 发 送 的 所 有 电 子 邮 件 的 信 息 ； N I D S 日 志 记 录 有 关 H T T P   G E T 和 P O S T 请 求 的 信 息 ， 包 括 访 问 的 完 整 U R L ； L D A P 日 志 记 录 用 户 在 公 司 的 电 子 邮 件 地 址 ， 登 录 时 间 以 及 用 户 进 行 身 份 验 证 的 I P 地 址 。 因 为 攻 击 者 采 用 不 同 的 攻 击 方 式 ， 发 信 人 的 信 誉 特 征 也 不 同 ， 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 根 据 三 种 攻 击 方 式 采 用 三 个 子 探 测 器 （ s u b - d e t e c t o r ） ， 每 个 子 检 测 器 使 用 包 含 四 个 标 量 值 （ 两 个 用 于 域 名 信 誉 ， 两 个 用 于 发 信 人 信 誉 ） 的 一 个 特 征 向 量 。 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 引 入 了 定 向 异 常 评 分 （ D A S ， D i r e c t e d   A n o m a l y   S c o r i n g ） 技 术 ， 用 于 从 未 标 记 的 数 据 集 中 自 动 选 择 最 可 疑 的 事 件 ， D A S 按 照 事 件 的 可 疑 性 来 对 事 件 进 行 评 分 ， 再 按 照 评 分 进 行 排 序 ， 所 有 的 事 件 排 序 完 成 后 ， D A S 只 选 择 N 个 最 可 疑 （ 排 名 最 高 的 ） 的 事 件 ， 其 中 N 是 安 全 团 队 的 警 报 预 算 （ 即 能 接 受 的 预 计 警 报 数 ） 。 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 总 设 计 如 图 1 ， 分 为 三 个 部 分 ： 1 .   特 征 提 取 部 分 （ f e a t u r e   e x t r a c t i o n   s t a g e ） ， 利 用 来 自 L B N L 的 S M T P 日 志 、 N I D S 日 志 和 L D A P 日 志 为 邮 件 中 的 每 个 U R L 提 取 和 保 存 三 个 特 征 向 量 （ F V , f e a t u r e   v e c t o r s ） （ 每 个 子 探 测 器 有 一 个 F V ） ， 使 用 网 络 流
量 日 志 ， 记 录 在 电 子 邮 件 中 的 U R L 上 的 所 有 点 击 。 2 .   夜 间 评 分 （ n i g h t l y   s c o r i n g   s t a g e ） ， 每 天 晚 上 ， 收 集 每 个 子 探 测 器 过 去 一 个 月 的 点 击 U R L 事 件 ， 并 对 其 特 征 向 量 F V 进 行 异 常 评 分 （ D A S ） ， 将 该 月 份 最 可 疑 F V 存 储 在 C o m p a r i s o n S e t 集 合 中 ； 3 .   实 时 报 警 生 成 （ r e a l - t i m e a l e r t   g e n e r a t i o n   s t a g e ） ， 观 察 实 时 网 络 流 量 ， 查 看 点 击 的 电 子 邮 件 U R L ， 将 每 个 子 探 测 器 的 实 时 点 击 特 征 向 量 F V 与 C o m p a r i s o n S e t 进 行 比 较 ， 并 根 据 需 要 为 安 全 团 队 生 成 警 报 。 图 1   鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 设 计 图 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 应 用 情 况 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 的 应 用 情 况 鱼 叉 式 网 络 钓 鱼 检 测 的 难 点 ， 在 于 此 类 攻 击 比 较 少 见 ， 在 研 究 人 员 的 实 验 环 境 下 ， 企 业 数 据 集 包 含 3 . 7 亿 电 子 邮 件 — — 约 4 年 的 量 ， 但 只 有 1 0 例 已 知 的 鱼 叉 式 网 络 钓 鱼 案 例 。 鱼 叉 式 网 络 钓 鱼 样 本 的 相 对 稀 少 性 ， 也 使 机 器 学 习 技 术 缺 少 了 创 建 可 靠 训 练 模 型 所 需 的 大 量 数 据 。 研 究 人 员 在 L B N L 中 应 用 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 时 ， 配 置 警 报 预 算 为 1 0 个 ， 从 L B N L 的 3 . 7 亿 个 电 子 邮 件 数 据 集 中 对 其 进 行 了 评 估 ， 成 功 识 别 了 1 9 个 钓 鱼 活 动 中 的 1 7 个 ， 占 8 9 % ， 平 均 假 阳 性 率 （ f a l s e   p o s i t i v e   r a t e ） 为 0 . 0 0 4 ％ 。 在 应 用 的 过 程 中 ， 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 具 有 一 定 局 限 性 ， 对 于 攻 击 者 在 高 信 誉 网 站 上 托 管 钓 鱼 网 页 和 超 出 网 络 监 视 器 的 可 见 性 这 两 种 情 况 无 法 检 测 到 ， 但 是 在 手 动 分 析 子 检 测 器 检 测 到 的 F V 可 以 发 现 其 中 存 在 矛 盾 。 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 与 传 统 检 测 方 法 的 对 比 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 与 传 统 检 测 方 法 的 对 比 对 于 网 络 钓 鱼 攻 击 的 传 统 检 测 方 法 有 如 下 几 种 ： 1 . 手 动 阈 值 （ M a n u a l   T h r e s h o l d ） ， 手 动 设 置 每 个 特 征 的 阈 值 ， 如 果 所 有 特 征 值 都 低 于 阈 值 ， 则 生 成 警 报 ； 2 .   有 监 督 学 习 （ S u p e r v i s e d   L e a r n i n g ） ， 基 于 大 量 关 于 攻 击 检 测 的 文 献 ， 或 从 垃 圾 邮 件 分 类 得 到 先 前 的 鱼 叉 式 网 络 攻 击 ， 需 要 一 个 标 记 的 训 练 数 据 集 ； 3 .   标 准 异 常 检 测 （ S t a n d a r d   A n o m a l y   D e t e c t i o n ） ， 包 括 密 度 估 计 技 术 ， 如 高 斯 混 合 模 型 （ G M M ） ； 聚 类 和 基 于 距 离 的 技 术 ， 如 k - 最 近 邻 （ k N N ） 分 类 算 法 的 。 传 统 检 测 方 法 有 以 下 局 限 性 ： 1 . 对 于 鱼 叉 式 网 络 钓 鱼 攻 击 的 特 征 值 的 真 实 分 布 情 况 并 不 能 确 定 ， 参 数 的 选 择 也 具 有 盲 目 性 ， 手 动 设 置 特 征 阈 值 会 导 致 错 过 攻 击 ； 2 .   鱼 叉 式 网 络 钓 鱼 样 本 的 相 对 稀 少 ， 很 难 集 合 成 一 个 足 够 大 的 训 练 集 ， 并 且 在 恶 意 样 本 和 良 性 样 本 的 分 类 上 高 度 不 平 衡 ， 不 利 于 有 监 督 学 习 ； 3 .   在 许 多 安 全 设 置 中 ， 标 量 特 征 通 常 具 有 其 数 值 的 方 向 性 ， 例 如 ， 一 个 域 的 访 问 次 数 越 少 ， 越 是 可 疑 ， 而 标 准 异 常 检 测 技 术 不 能 将 不 对 称 或 方 向 性 的 概 念 纳 入 其 计 算 ； 4 .   事 件 即 使 只 有 一 个 或 几 个 的 特 征 是 统 计 学 异 常 的 ， 标 准 异 常 检 测 技 术 就 将 该 事 件 视 为 攻 击 ， 造 成 警 报 预 算
的 浪 费 。 局 限 性 和 发 展 方 向 局 限 性 和 发 展 方 向 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 可 以 检 测 已 知 的 和 以 前 未 被 发 现 的 远 程 攻 击 ， 但 对 于 对 手 可 能 会 采 取 限 制 和 逃 避 策 略 具 有 局 限 性 ， 体 现 在 如 下 方 面 ： 1 . 有 限 的 可 见 性 ， 在 L B N L 网 络 边 界 之 外 进 行 的 电 子 邮 件 和 网 络 活 动 不 会 记 录 在 N I D S 日 志 中 ， L B N L 不 通 过 H T T P S 提 供 的 中 间 人 流 量 ， 导 致 错 过 电 子 邮 件 链 接 到 H T T P S 网 站 的 攻 击 ； 2 . 有 限 的 报 警 预 算 ， 设 置 的 报 警 预 算 尝 试 满 足 产 生 的 警 报 数 量 的 上 限 ， 但 是 如 果 攻 击 在 一 天 内 爆 发 ， 可 能 受 报 警 预 算 限 制 而 错 过 一 些 攻 击 ； 3 .   逃 避 策 略 ， 攻 击 者 可 能 通 过 说 服 高 访 问 量 的 网 站 ， 并 利 用 其 来 托 管 钓 鱼 网 站 从 而 提 高 链 接 的 域 名 声 誉 特 征 ， 这 种 情 况 只 能 发 现 矛 盾 ， 不 能 产 生 报 警 ； 4 .   历 史 数 据 限 制 ， 随 着 历 史 日 志 数 据 的 减 少 ， 鱼 叉 式 网 络 钓 鱼 黑 箱 粉 碎 机 质 量 可 能 降 低 ， 当 只 有 1 个 月 的 历 史 数 据 时 ， 无 法 检 测 到 任 何 攻 击 ； 5 .   未 来 的 工 作 可 以 探 索 如 何 设 计 有 效 的 预 警 机 制 ， 作 为 预 防 性 防 御 的 一 部 分 。 * 本 文 原 创 作 者 ： a p a t h y ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理