设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [21179] 2020-08-05_安全分析--追踪溯源的找人思路 ...
返回列表 发新帖
查看: 0|回复: 0

[21179] 2020-08-05_安全分析--追踪溯源的找人思路

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-08-05_安全分析--追踪溯源的找人思路 安 全 分 析 - - 追 踪 溯 源 的 找 人 思 路 L e m o n S e c   2 0 2 0 - 0 8 - 0 5 零 、 绪 论 ： 零 、 绪 论 ： 　 　 一 旦 发 生 攻 击 行 为 ， 确 定 攻 击 者 或 者 说 是 责 任 人 一 般 是 定 损 止 损 快 速 恢 复 业 务 之 后 的 第 二 反 应 。 谁 要 为 事 件 负 责 ？ 谁 该 承 担 责 任 变 成 了 进 一 步 追 查 的 目 标 。 可 是 在 网 络 攻 击 行 为 中 能 够 查 到 人 或 者 组 织 谈 何 容 易 ， 一 般 能 够 抓 到 攻 击 者 或 者 攻 击 组 织 的 大 约 能 到 3 0 % 就 很 不 错 了 。 但 是 呢 下 面 还 是 从 几 个 维 度 谈 谈 如 何 找 人 。 一 、 公 司 或 组 织 内 部 的 异 常 操 作 者 一 、 公 司 或 组 织 内 部 的 异 常 操 作 者         一 般 异 常 操 作 者 ， 这 里 我 们 指 误 操 作 者 ， 不 是 有 意 进 行 的 攻 击 行 为 ， 所 以 不 会 进 行 诸 如 I P 隐 藏 、 日 志 删 除 等 等 行 为 。         1 、 从 内 部 监 控 设 备 或 者 受 攻 击 设 备 上 面 调 取 日 志 ， 查 询 到 I P 、 根 据 资 产 登 记 情 况 追 溯 到 个 人 就 可 以 了 。       2 、 一 般 异 常 操 作 者 ， 可 追 查 到 I P 但 是 资 产 没 有 归 属 登 记 的 。 可 以 根 据 内 部 相 关 信 息 查 询 。 第 一 观 察 此 I P 访 问 的 邮 箱 、 Q Q 号 等 互 联 网 账 号 的 相 关 情 况 ， 如 果 有 可 以 关 联 到 内 部 人 员 。       3 、 查 看 主 机 名 （ 与 域 控 通 信 中 一 般 会 有 相 关 信 息 ） ， 或 者 系 统 指 纹 等 等 ， 然 后 根 据 域 控 信 息 查 询 到 姓 名 或 者 手 机 号 或 者 工 号 ， 可 以 完 成 对 应 。     4 、 内 网 服 务 器 ， 没 有 域 控 的 ， 可 以 查 看 那 个 I P 登 录 了 相 关 联 的 2 1 、 2 2 、 2 3 、 3 3 8 9 等 端 口 ， 查 到 源 I P ， 根 据 源 I P 进 行 上 述 查 询 。 二 、 公 司 内 部 的 攻 击 者 二 、 公 司 内 部 的 攻 击 者     如 果 是 公 司 内 部 的 攻 击 者 ， 尤 其 是 熟 悉 内 部 网 络 架 构 的 攻 击 者 ， 对 于 追 溯 攻 击 来 源 是 一 种 挑 战 。 因 为 他 可 能 是 熟 悉 安 全 攻 防 的 专 家 ， 又 了 解 内 部 网 络 架 构 ， 可 以 抹 除 痕 迹 ， 避 开 监 控 等 等 ， 但 是 总 有 蛛 丝 马 迹 留 存 。         1 、 收 集 相 关 信 息 ， 能 有 多 少 收 集 多 少 ， 根 据 一 中 的 方 法 进 行 查 询 。     2 、 判 断 攻 击 方 式 和 手 法 ， 例 如 W E B 攻 击 一 般 来 源 于 熟 悉 W E B 安 全 攻 防 的 团 队 人 员 ， 恶 意 样 本 攻 击 很 可 能 来 自 二 进 制 或 者 系 统 安 全 人 员 的 攻 击 。 然 后 结 合 攻 击 手 法 是 否 是 熟 悉 的 特 征 并 结 合 1 中 的 一 些 信 息 综 合 判 断 。 （ 备 注 ： 其 实 每 个 人 都 有 其 独 特 的 攻 击 特 征 ， 现 在 广 泛 的 要 求 建 立 攻 击 者 画 像 就 是 可 以 做 这 个 内 容 ） 。 三 、 公 司 外 部 的 攻 击 者 三 、 公 司 外 部 的 攻 击 者               这 里 一 般 分 为 两 种 人 ：             1 、 一 般 白 帽 子 和 脚 本 小 子 ：         这 一 类 攻 击 者 ， 对 自 身 的 防 护 也 不 是 很 强 ， 触 发 报 警 或 者 被 日 志 审 计 是 很 正 常 的 ， 根 据 I P 追 踪 地 理 位 置 ； 如 果 是 白 帽 子 结 合 公 司 S R C 的 白 帽 子 数 据 库 可 以 基 本 确 定 ， 如 果 是 脚 本 小 子 ， 可 以 追 查 到 I P 或 者 地 理 位 置 就 很 不 容 易 了 。 脚 本 小 子 群 体 数 量 庞 大 ， 没 有 明 显 的 极 具 特 征 的 标 识 ， 有 时 候 可 以 通 过 测 试 用 的 I D 来 搜 索 一 些 论 坛 。 社 交 平 台 从 而 发 现 攻 击 者 。 一 般 而 言 这 类 攻 击 者 造 成 的 损 失 不 会 太 大 。
          2 、 针 对 性 攻 击 者 ：       这 一 类 攻 击 者 最 为 麻 烦 ， 一 般 包 括 专 业 间 谍 、 竞 争 对 手 的 攻 击 团 队 、 专 业 的 攻 击 组 织 ， 例 如 一 些 A P T 组 织 。 出 名 的 海 莲 花 啊 等 等 。 这 一 类 攻 击 者 的 特 点 ：     （ 1 ） 攻 击 手 段 多 样 ： 包 括 鱼 叉 钓 鱼 、 恶 意 样 本 （ P D F 或 者 D O C 类 文 档 ） 、 木 马 后 门 、 暴 力 破 解 、 水 坑 攻 击 、 D D O S 、 网 络 以 及 应 用 层 多 重 攻 击 手 段 、 社 会 工 程 学 攻 击 等 等 。     （ 2 ） 隐 蔽 性 强 ： 懂 得 绕 开 监 控 （ 使 用 不 触 发 报 警 的 攻 击 方 式 和 p a y l o a d ） ， 注 意 隐 蔽 自 己 （ 一 般 都 有 跳 板 肉 鸡 或 者 挂 着 V P N ） 、 具 备 恶 意 程 序 开 发 能 力 （ 开 发 过 杀 软 的 或 者 隐 藏 自 身 进 程 r o o t k i t 且 可 以 不 断 迭 代 更 新 对 抗 分 析 ， 或 许 还 具 备 沙 箱 、 虚 拟 机 环 境 识 别 能 力 ） ， 注 意 清 除 痕 迹 （ 清 除 、 替 换 日 志 、 替 换 一 些 命 令 等 等 ）     （ 3 ） 反 侦 查 能 力 强 ： 例 如 不 断 变 换 I P 连 接 后 门 ， 使 用 多 种 不 同 的 方 式 特 征 来 进 行 等 等 。           针 对 这 类 攻 击 者 ：       1 、 收 集 到 所 有 能 收 集 的 信 息 ， 尤 其 是 域 名 、 I P 、 w h o i s 、 i p w h o i s 、 u r l   样 本 h a s h 等 等 基 础 设 施 信 息 。     （ 1 ） 域 名 ： 可 以 通 过 域 名 注 册 信 息 来 定 位 人 员 或 者 组 织 （ 结 合 w h o i s ） ， 像 海 莲 花 特 有 域 名 、 w a n n e c r y 也 有 自 己 的 所 谓 的 开 关 域 名 ， D G A 域 名 可 以 结 合 D G A 算 法 和 字 符 串 来 定 位 攻 击 者 或 者 组 织 。     （ 2 ） I P ： 攻 击 攻 击 者 具 有 自 己 的 大 量 的 I P 基 础 设 施 ， 很 多 威 胁 情 报 厂 商 都 会 提 供 类 似 的 I P 恶 意 信 息 库 。     （ 3 ） U R L 和 样 本 h a s h 同 理 ， 未 知 样 本 h a s h 还 可 以 使 用 s e e p 比 较 样 本 相 似 度 来 确 定 或 者 定 位 。       2 、 组 织 专 家 分 析 攻 击 特 征 和 手 段 ， 例 如 是 使 用 的 是 鱼 叉 钓 鱼 针 对 公 司 内 部 敏 感 人 员 的 ， 可 以 主 要 排 查 竞 争 对 手 。 如 果 没 有 明 显 目 标 的 ， 主 要 是 针 对 服 务 器 进 行 攻 击 的 可 能 考 虑 高 级 白 帽 子 ， 主 要 针 对 整 个 公 司 生 产 环 境 做 全 面 攻 击 ， 那 么 就 怀 疑 A P T 组 织 。     说 实 话 针 对 A P T 组 织 还 有 可 能 通 过 威 胁 情 报 定 位 一 些 攻 击 者 信 息 ， 但 也 不 能 确 定 ， 因 为 样 本 泛 滥 ， 很 多 人 都 可 以 拿 到 、 修 改 、 投 放 、 进 行 攻 击 。 至 于 特 定 攻 击 者 ， 还 需 要 依 靠 多 种 手 段 去 定 位 。 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 转 载 于 : h t t p s : / / w w w . c n b l o g s . c o m / K e v i n G e o r g e / p / 8 4 0 2 1 9 0 . h t m l
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:38 , Processed in 0.226865 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表