搜索

[12111] 2017-12-10_浅谈情报信息收集方式

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-12-10_浅谈情报信息收集方式 浅 谈 情 报 信 息 收 集 方 式 k n i g h t x   F r e e B u f   2 0 1 7 - 1 2 - 1 0 情 报 收 集 是 情 报 机 构 获 取 可 靠 、 高 价 值 信 息 资 源 的 一 种 重 要 方 式 。 本 文 介 绍 情 报 信 息 收 集 的 主 要 分 类 ， 重 点 介 情 报 收 集 是 情 报 机 构 获 取 可 靠 、 高 价 值 信 息 资 源 的 一 种 重 要 方 式 。 本 文 介 绍 情 报 信 息 收 集 的 主 要 分 类 ， 重 点 介 绍 国 外 情 报 机 构 常 用 的 第 四 方 收 集 是 什 么 及 其 细 节 描 述 。 绍 国 外 情 报 机 构 常 用 的 第 四 方 收 集 是 什 么 及 其 细 节 描 述 。 据 卡 巴 斯 基 资 深 安 全 专 家 J u a n   A n d r é s G u e r r e r o - S a a d 在 于   2 0 1 7 年 1 0 月 在 V i r u s   B u l l e t i n 会 议 上 发 表 的 论 文 《 W A L K I N G I N   Y O U R   E N E M Y ’ S   S H A D O W :   W H E N   F O U R T H - P A R T Y C O L L E C T I O N   B E C O M E S   A T T R I B U T I O N   H E L L 》 [ 1 ] 中 指 出 ， 依 据 执 行 信 息 收 集 行 为 的 主 体 与 对 象 的 不 同 、 以 及 生 成 方 式 的 不 同 ， 大 致 可 以 分 为 以 下 五 类 ： 1 ． 第 一 方 收 集 （ ． 第 一 方 收 集 （ F i r s t - p a r t y   c o l l e c t i o n ） ）   –   机 构 A 通 过 主 动 或 被 动 的 方 式 进 行 信 息 收 集 。 2 ． 第 二 方 收 集 （ ． 第 二 方 收 集 （ S e c o n d - p a r t y   c o l l e c t i o n ） ）   –   由 机 构 A 的 合 作 伙 伴   P   （ 情 报 机 构 ） 共 享 获 得 的 信 息 ， 需 要 注 意 的 是 ： 机 构 P 的 数 据 来 源 并 不 一 定 要 求 是 合 作 伙 伴   P   的 第 一 方 收 集 。 3 ． 第 三 方 收 集 （ ． 第 三 方 收 集 （ T h i r d - p a r t y   c o l l e c t i o n ） ）   –   机 构 A 通 过 无 论 是 有 意 的 、 自 愿 的 还 是 其 他 方 式 访 问 一 些 战 略 组 织 所 获 取 的 信 息 ， 这 些 战 略 组 织 可 以 包 括 互 联 网 服 务 商 、 电 信 服 务 商 、 社 交 媒 体 、 以 及 其 他 生 成 并 获 取 大 量 目 标 数 据 的 公 司 等 。 机 构   A 可 以 通 过 收 集 这 些 看 上 去 无 关 痛 痒 的 数 据 ， 为 最 终 的 情 报 目 标 服 务 。 4 ． 第 四 方 收 集 （ ． 第 四 方 收 集 （ F o u r t h - p a r t y   c o l l e c t i o n ） ）   –   它 包 括 从 外 部 情 报 机 构 截 获 所 有 可 能 配 置 的 “ 计 算 机 网 络 攻 击 （   C N E ： C o m p u t e r   N e t w o r k   E x p l o i t a t i o n ）   ”   行 为 ， 它 还 可 以 分 为 两 种 收 集 方 式 ： 主 动 方 式 和 被 动 方 式 。 主 动 方 式 是 指 ： 利 用 各 种 各 样 的 网 络 攻 击 行 动 能 力 来 进 行 信 息 收 集 、 替 换 、 甚 至 破 坏 对 手 网 络 攻 击 行 动 的 方 式 。 被 动 方 式 是 指 ： 在 对 手 的 基 础 设 施 网 络 中 进 行 监 听 ， 这 主 要 依 靠 的 是 数 据 在 互 联 网 中 传 输 的 可 见 性 ， 以 此 获 取 受 害 主 机 到 远 程 控 制 服 务 器 C & C 的 数 据 传 输 。 5 ． 第 五 方 收 集 （ ． 第 五 方 收 集 （ F i f t h - p a r t y   c o l l e c t i o n ） ）   –   这 种 收 集 方 式 又 称 “ 独 角 兽 情 报 收 集   ”   （ u n i c o r n   o f   i n t e l l i g e n c e c o l l e c t i o n ） ， 它 主 要 指 机 构 在 进 行 情 报 收 集 时 并 非 故 意 获 得 的 意 外 发 现 信 息 。 举 个 栗 子 ， 机 构   A   成 功 以 第 四 方 收 集 了 机 构 B 的 信 息 ， 而 此 时 在 数 据 中 又 意 外 收 集 到 了 机 构   C   的 信 息 。 机 构   C 的 这 部 分 信 息 就 是 第 五 方 收 集 。 在 上 述 五 种 情 报 信 息 收 集 方 式 中 ， 第 四 方 数 据 收 集 被 国 外 著 名 情 报 机 构 使 用 ， 尤 其 在 网 络 安 全 对 抗 中 的 情 报 收 集 中 使 用 更 加 广 泛 。 第 四 方 收 集 是 一 个 有 趣 的 、 不 间 断 的 行 动 ， 对 网 络 间 谍 活 动 具 有 显 著 的 影 响 力 （ F o u r t h - p a r t y   c o l l e c t i o n i s   a n   i n t e r e s t i n g   a n d   o n g o i n g   p r a c t i c e w i t h   a   p a l p a b l e   i m p a c t   o n   c y b e r   e s p i o n a g e   o p e r a t i o n s   ） [ 1 ] 。 斯 诺 登 曝 光 的 文 档   [ 3 ] 也 曾 说 明 了   N S A 是 如 何 利 用 第 四 方 收 集 在 非 合 作 伙 伴 的 网 络 攻 击 中 进 行 信 息 收 集 的 。 通 过 了 解 第 四 方 收 集 ， 我 们 能 够 学 习 到 国 外 先 进 的 情 报 机 构 是 如 何 收 集 情 报 的 ， 尤 其 是 在 网 络 安 全 对 抗 中 。 根 据 斯 诺 登 曝 光 文 档 [ 2 ] 的 阐 述 ， 第 四 方 收 集 可 以 包 括 以 下 四 种 方 式 ： 1 .   被 动 获 取 ； 2 . 主 动 获 取 ；   3 .   受 害 主 机 共 享   / 窃 取 ； 4 .   目 标 重 定 位 。 1 . 被 动 收 集 被 动 收 集 被 动 获 取 是 在 情 报 信 息 收 集 方 在 其 他 网 络 攻 击 组 织 的 真 实 C & C 与 攻 击 中 间 节 点 （ 攻 击 基 础 设 施 ） ， 以 及 中 间 节 点 到 被 攻 陷 主 机 间 的 通 信 链 路 上 进 行 信 息 收 集 和 监 听 的 方 式 。 这 种 收 集 方 式 通 常 需 要 情 报 收 集 方 对 所 捕 获 的 数 据 进 行 解 密 、 解 码 、 解 混 淆 等 操 作 ， 以 此 还 原 数 据 的 真 实 内 容 。 如 下 图 所 示 ， 国 家 A 利 用 属 于 U S   、 国 家 X 、 国 家 Y   的 主 机 作 为 攻 击 基 础 设 施 ， 对 国 家   V 的 主 机 进 行 网 络 攻 击 ， 而 被 攻 陷 主 机 的 泄 露 数 据 也 将 依 次 通 过 受 害 主 机 到 中 间 跳 板 的 链 路 、 以 及 中 间 跳 板 到 国 家   A   的   C & C 的 链 路 进 行 数 据 回 传 ，
第 四 方 收 集 的 被 动 方 式 就 是 在 这 回 传 的 链 路 上 进 行 信 息 数 据 的 收 集 。 （ 图 中 紫 色 标 注 的 位 置 ） 2 . 主 动 收 集 主 动 收 集 主 动 收 集 与 被 动 收 集 相 似 ， 但 其 收 集 数 据 的 未 知 来 源 在 国 家 A 所 掌 握 的 攻 击 行 动 基 础 设 施 上 进 行 ， 甚 至 包 括 国 家 A   掌 握 的 真 实 C & C ； 换 句 话 说 ， 这 种 收 集 方 式 就 是 信 息 收 集 方 主 动 出 击 ， 攻 陷 其 他 攻 击 组 织 发 动 攻 击 行 动 的 基 础 设 施 或 真 实   C & C   ， 从 主 机 上 收 集 需 要 的 数 据 ， 这 样 便 不 用 想 被 动 收 集 那 样 对 数 据 进 行 解 码 等 操 作 。 如 下 图 所 示 ， 情 报 收 集 方 通 过 拿 下 攻 击 组 织 位 于 U S   、 国 家   X   、 Y 的 行 动 基 础 设 施 以 及 国 家   A   的   C & C ， 从 这 些 主 机 上 收 集 需 要 的 情 报 数 据 。
3 . 受 害 主 机 的 共 享 受 害 主 机 的 共 享 / 窃 取 窃 取 受 害 主 机 共 享 / 窃 取 的 情 报 收 集 方 式 ， 是 利 用 外 部 攻 击 行 动 组 织 行 动 时 所 植 入 恶 意 代 码 或 C & C   系 统 的 漏 洞 来 获 取 到 受 害 主 机 的 访 问 权 限 、 或 接 管 植 入 的 恶 意 代 码 （ 将 反 弹 连 接 的 域 名 或 I P 接 管 ） 、 或 替 换 为 自 己 的 恶 意 代 码 。 也 就 是 说 情 报 收 集 方 可 以 共 享 、 接 管 、 替 换 已 被 其 他 组 织 攻 陷 的 受 害 主 机 的 访 问 权 限 ， 来 获 得 受 害 主 机 的 数 据 ， 甚 至 可 以 监 控 其 他 攻 击 组 织 的 行 动 。 如 下 图 所 示 ， 通 过 信 息 收 集 方 通 过 接 管 或 共 享 其 他 攻 击 组 织 掌 握 的 国 家   X 的 行 动 基 础 设 施 主 机 以 及 C o u n t r y   V 的 被 攻 陷 主 机 来 进 行 情 报 收 集 。
4 . 目 标 重 定 向 目 标 重 定 向 目 标 重 定 向 的 收 集 方 式 ， 是 利 用 捕 获 的 其 他 攻 击 组 织 所 使 用 的 网 络 入 侵 组 件 （ 植 入 代 码 、 漏 洞 利 用 等 ） 来 缩 短 自 己 网 络 入 侵 攻 击 的 开 发 周 期 ， 也 就 是 将 别 人 的 攻 击 代 码 为 我 所 用 。 信 息 收 集 方 可 以 直 接 利 用 捕 获 的 恶 意 代 码 工 具 等 ， 将 受 害 主 机 ” 一 锅 端   “ ， 也 就 是 ” 黑 吃 黑   “   。 如 下 图 所 示 ， 信 息 收 集 方 可 以 直 接 将 国 家 V 的 所 有 被 攻 陷 主 机 重 定 向 到 自 己 希 望 的   C & C   或 行 动 基 础 设 施 上 来 。 结 尾 语 ： 结 尾 语 ： 第 四 方 收 集 是 一 种 难 度 高 ， 但 却 高 效 的 信 息 收 集 方 式 ， 早 已 被 国 外 高 级 情 报 机 构 使 用 ， 在 斯 诺 登 所 公 布 的 一
批 泄 露 的 文 档 中 ， 我 们 可 以 看 到 已 经 有 许 多 成 功 的 案 例 了 。 对 于 网 络 攻 击 的 情 报 机 构 而 言 ， 第 四 方 收 集 具 备 快 速 、 投 入 小 、 效 益 高 的 特 点 ， 以 最 小 的 代 价 获 取 最 大 的 效 益 ， 而 且 在 国 家 级 网 络 对 抗 、 信 息 情 报 获 取 中 更 具 意 义 。 第 四 方 收 集 也 具 备 很 强 的 隐 藏 性 和 潜 伏 性 ， 毕 竟 这 种 收 集 方 式 不 能 让 被 收 集 方 （ 攻 击 组 织 ） 所 察 觉 ， 因 而 曝 光 度 低 。 从 前 段 时 间 美 国 起 诉 俄 罗 斯   A P T - 2 8 （ F a n c y   B e a r ）   的 案 例 来 看 ， 美 国 借 助 其 “ 长 臂 管 辖 ” 的 法 律 途 径 ， 在 本 国 法 庭 判 决 由 美 国 微 软 公 司 接 管   A P T - 2 8 组 织 掌 握 的 部 分 涉 及 侵 权 微 软 公 司 的 域 名 ， 也 就 是 将 访 问 这 些 域 名 的 流 量 重 定 向 到 微 软 ， 这 与 第 四 方 收 集 方 式 中 的 目 标 重 定 向 具 有 异 曲 同 工 之 妙 ， 其 中 的 意 味 大 家 细 细 品 吧 。 * 本 文 作 者 ： k n i g h t x ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理