搜索

[10706] 2016-11-11_微步在线ThreatBook威胁情报产品分析【WitAwards2016“年度安全产品”参评巡礼】

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-11-11_微步在线ThreatBook威胁情报产品分析【WitAwards2016“年度安全产品”参评巡礼】 微 步 在 线 T h r e a t B o o k 威 胁 情 报 产 品 分 析 【 W i t A w a r d s   2 0 1 6   “ 年 度 安 全 产 品 ” 参 评 巡 礼 】 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 1 1 - 1 1 *   本 文 属 “ W i t A w a r d s   2 0 1 6 年 度 安 全 评 选 ” 专 题 报 道 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 威 胁 情 报 作 为 当 前 安 全 行 业 的 一 个 热 议 话 题 ， 在 国 内 的 发 展 实 际 上 还 比 较 初 级 。 这 次 我 们 要 谈 到 的 这 家 微 步 在 线 是 国 内 第 威 胁 情 报 作 为 当 前 安 全 行 业 的 一 个 热 议 话 题 ， 在 国 内 的 发 展 实 际 上 还 比 较 初 级 。 这 次 我 们 要 谈 到 的 这 家 微 步 在 线 是 国 内 第 一 家 在 做 安 全 威 胁 情 报 的 公 司 。 一 家 在 做 安 全 威 胁 情 报 的 公 司 。 先 前 著 名 的 A P T 攻 击 D a r k H o t e l 安 全 事 件 中 ， 微 步 在 线 就 抢 先 一 步 发 布 了 战 略 情 报 分 析 报 告 ， 还 有 针 对 去 年 著 名 的 X c o d e G h o s t ， 可 算 当 时 国 内 唯 一 一 份 基 于 威 胁 情 报 的 追 踪 溯 源 分 析 报 告 。 这 家 公 司 在 产 品 布 局 上 主 要 包 括 了 威 胁 分 析 平 台 和 威 胁 情 报 中 心 两 大 块 。 这 次 恰 借 用 对 其 威 胁 情 报 产 品 分 析 的 机 会 ， 我 们 来 大 致 谈 一 谈 威 胁 情 报 本 身 的 一 些 特 性 。 1 . 背 景 背 景 1 . 1   何 谓 威 胁 情 报 何 谓 威 胁 情 报 在 此 可 作 简 单 类 比 ： 若 将 网 络 基 建 比 作 银 行 — — 银 行 每 天 都 有 客 户 进 出 ， 客 户 进 出 的 这 片 区 域 就 是 D M Z ； 银 行 还 有 一 些 区 域 是 只 让 银 行 职 员 进 出 的 ， 这 就 是 内 部 网 络 。 为 了 保 护 银 行 安 全 ， 还 需 要 有 保 安 （ 防 火 墙 ） 、 监 控 摄 像 头 （ I P S / I D S ） ； 在 此 ， 保 护 的 就 是 银 行 里 的 钱 （ 企 业 资 产 ） ； 银 行 还 需 要 有 个 安 全 管 理 员 ， 他 负 责 协 调 整 个 安 全 团 队 ， 并 且 还 能 从 保 安 、 监 控 摄 像 头 等 处 获 取 到 安 全 事 件 更 新 。 这 里 的 安 全 管 理 员 实 际 上 就 是 S I E M ， 前 两 天 我 们 才 报 道 过 G a r t n e r 发 布 今 年 的 S I E M 魔 力 象 限 。 S I E M 的 全 称 是 安 全 信 息 和 事 件 管 理 ， 其 本 质 是 从 各 种 安 全 设 备 获 取 日 志 、 事 件 等 数 据 ， 进 行 关 联 分 析 ， 以 此 来 检 测 安 全 威 胁 和 反 常 活 动 模 式 ； 并 且 还 可 以 将 这 些 信 息 储 存 起 来 ， 供 以 后 分 析 使 用 ， 比 如 进 行 行 为 画 像 等 。 到 这 里 ， 银 行 算 是 有 了 基 础 的 防 御 措 施 和 设 备 ， 可 以 开 张 运 营 了 。 但 要 运 营 起 来 就 会 产 生 数 据 和 人 员 交 互 。
那 么 如 何 从 每 日 进 进 出 出 的 人 流 中 识 别 出 可 疑 的 人 员 、 涉 嫌 洗 钱 的 人 员 ， 甚 至 是 来 踩 点 的 嫌 疑 人 ， 以 及 内 部 人 员 是 否 有 与 外 部 可 疑 的 联 系 和 通 讯 ？ 在 某 些 情 况 下 ， 这 可 以 依 靠 其 他 银 行 或 者 这 些 银 行 共 享 的 信 息 和 上 下 文 背 景 ， 这 些 银 行 提 供 的 信 息 可 以 包 含 其 近 期 发 生 的 安 全 事 件 ， 包 括 他 们 是 如 何 被 攻 击 的 ， 攻 击 波 及 到 了 哪 些 银 行 ， 被 利 用 的 弱 点 在 哪 里 ， 银 行 是 怎 么 处 理 的 等 等 。 不 严 谨 地 说 ， 上 面 这 些 就 是 威 胁 情 报 。 银 行 的 安 全 管 理 员 在 获 得 这 样 的 威 胁 情 报 后 ， 就 能 即 时 做 出 调 整 ， 并 通 知 所 有 银 行 职 员 和 安 全 团 队 成 员 ， 还 可 以 上 报 给 银 行 更 高 级 管 理 层 ， 甚 至 让 董 事 会 做 出 相 应 决 策 。 G a r t n e r 为 威 胁 情 报 所 下 的 定 义 比 较 让 人 费 解 ， 在 此 我 们 采 用 2 0 1 5 年 《 D e f i n i t i v e   G u i d e   t o   C y b e r   T h r e a t   I n t e l l i g e n c e 》 （ 作 者 J o n   F r i e d m a n   &   M a r k   B o u c h a r d   ） 白 皮 书 中 对 威 胁 情 报 所 下 的 定 义 ： “ 对 敌 方 的 情 报 ， 及 其 动 机 、 企 图 和 方 法 进 行 收 集 、 分 析 和 传 播 ， 帮 助 各 个 层 面 的 安 全 和 业 务 成 员 保 护 企 业 关 键 资 产 。 ” 威 胁 情 报 的 目 的 是 要 减 少 运 营 风 险 ， 维 持 或 增 加 企 业 营 收 。 将 威 胁 情 报 融 合 到 安 全 的 整 个 部 署 中 ， 也 就 能 够 增 强 安 全 等 级 ， 维 持 业 务 的 连 续 性 。 1 . 2   威 胁 情 报 是 如 何 部 署 的 威 胁 情 报 是 如 何 部 署 的 针 对 攻 击 方 的 威 胁 情 报 应 该 包 含 的 要 点 包 括 了 ： -   攻 击 者 身 份 ： 威 胁 情 报 需 要 能 够 帮 助 企 业 将 攻 击 / 恶 意 活 动 最 终 溯 源 至 相 应 组 织 （ 网 络 犯 罪 团 体 、 黑 客 、 政 府 / 国 家 机 构 等 ） ； -   攻 击 的 原 因 ： 了 解 地 方 动 机 ， 以 及 他 们 会 在 攻 击 中 投 入 多 少 精 力 （ A P T 或 仅 是 投 机 型 攻 击 ） ， 及 其 针 对 性 有 多 强 等 ； -   攻 击 目 的 ： 了 解 攻 击 者 的 目 的 ， 对 于 企 业 和 组 织 基 于 资 产 重 要 性 调 整 响 应 优 先 级 也 是 有 意 义 的 ； -   具 体 是 怎 么 做 的 ： 也 就 是 所 谓 的 T T P （ T a t i c s 策 略 、 T e c h n i q u e 技 术 和 P r o c e d u r e 程 序 ） ， 这 其 中 也 包 含 了 攻 击 者 所 用 的 工 具 、 基 础 设 施 等 ； -   攻 击 者 的 位 置 ： 结 合 地 方 所 在 国 家 ， 以 及 其 地 缘 政 治 状 况 ， 自 然 能 够 帮 助 企 业 和 组 织 更 好 地 理 解 地 方 情 况 ； -   如 何 组 织 情 报 ： 包 括 I O C 一 类 的 技 术 指 标 （ 比 如 I P 地 址 、 哈 希 值 等 ） 提 供 的 信 息 可 用 来 更 准 确 地 检 测 和 标 记 恶 意 行 为 ； -   如 何 缓 解 攻 击 ： 企 业 可 用 以 保 护 自 身 的 信 息 。 上 面 这 些 信 息 实 际 上 是 彼 此 关 联 的 ， 通 过 S I E M 解 决 方 案 对 外 部 提 供 的 威 胁 情 报 和 内 部 信 息 相 关 联 ， 企 业 或 组 织 对 于 攻 击 会 有 更 清 晰 的 认 识 ， 也 能 够 对 威 胁 进 行 事 先 防 御 。 那 么 这 些 威 胁 情 报 究 竟 具 体 是 怎 么 应 用 到 安 全 策 略 中 的 呢 ？
一 般 来 说 ， 基 于 受 众 的 差 异 ， 威 胁 情 报 包 含 两 个 不 同 的 层 面 。 第 一 种 威 胁 情 报 是 “ 战 略 层 面 ” 的 ， 也 就 是 供 人 阅 读 的 。 这 类 威 胁 情 报 不 需 要 非 常 技 术 ， 主 要 为 各 类 C 字 头 高 管 准 备 （ 如 C E O 、 C O O 、 C T O 等 ） ， 让 他 们 能 够 了 解 威 胁 对 于 业 务 连 续 性 的 影 响 ， 帮 助 他 们 做 出 正 确 的 决 策 。 这 类 威 胁 情 报 的 典 型 呈 现 方 式 就 是 报 告 ， 比 如 微 步 在 线 《 D a r k H o t e l   O p e r a t i o n   8 6 5 1 》 威 胁 情 报 报 告 。 另 一 类 是 “ 可 操 作 层 面 ” 的 ， 或 者 说 是 可 机 读 的 数 据 — — 安 全 设 备 能 够 利 用 这 些 数 据 来 加 固 安 全 性 ， 比 如 上 面 提 到 S I E M 和 威 胁 情 报 的 配 合 。 这 些 数 据 很 多 是 X M L 格 式 化 过 的 ， 易 于 处 理 。 所 以 说 威 胁 情 报 本 身 对 于 企 业 内 部 各 个 层 面 的 人 而 言 都 是 有 意 义 的 ， 包 括 S O C （ 安 全 运 营 中 心 ） 分 析 师 、 事 件 响 应 团 队 ， 甚 至 到 做 出 决 策 的 董 事 会 。 针 对 上 述 第 二 类 可 机 读 的 威 胁 情 报 ， S A N S   I n s t i t u t e 先 前 对 各 行 各 业 、 各 类 规 模 的 3 2 6 家 企 业 组 织 进 行 了 调 查 ， 发 现 其 中 5 5 % 将 威 胁 情 报 应 用 在 S I E M 平 台 ， 这 实 际 上 也 是 威 胁 情 报 一 词 总 与 S I E M 联 系 在 一 起 的 重 要 原 因 — — 而 且 实 际 上 ， 许 多 提 供 S I E M 解 决 方 案 的 企
业 本 身 就 做 威 胁 情 报 。 不 过 I P S 和 其 他 安 全 分 析 平 台 在 其 中 也 占 到 了 较 大 的 比 重 。 先 前 微 步 在 线 C E O 薛 峰 在 接 受 我 们 采 访 时 ， 还 提 到 了 另 一 种 威 胁 情 报 的 分 析 平 台 应 用 ， “ 它 是 一 种 数 据 的 平 台 ， 帮 助 你 的 分 析 师 去 做 一 些 搜 索 、 关 联 、 分 析 部 分 的 工 作 。 这 种 产 品 和 服 务 的 形 态 就 是 一 个 平 台 化 的 ， 而 不 是 终 端 化 的 产 品 方 式 。 ” 这 说 的 应 该 就 是 微 步 在 线 的 威 胁 情 报 分 析 平 台 ， 下 文 中 也 会 详 细 提 到 。 1 . 3   威 胁 情 报 有 哪 些 格 式 威 胁 情 报 有 哪 些 格 式 G a r t n e r 在 针 对 威 胁 情 报 的 专 门 文 章 中 ， 对 威 胁 情 报 主 要 做 了 如 下 归 类 ： 互 联 网 ： w e b 分 级 、 w e b 信 誉 、 I P 信 誉 、 反 钓 鱼 文 件 ： 文 件 信 誉 （ 可 执 行 文 件 ， 潜 在 恶 意 程 序 ） 移 动 ： 应 用 信 誉 ， 移 动 安 全 具 体 拿 一 些 进 行 解 读 ， 这 里 的 w e b 分 级 实 际 上 是 针 对 数 十 亿 百 亿 网 页 进 行 内 容 分 级 ， 让 用 户 不 会 受 到 相 应 威 胁 ； w e b 信 誉 则 在 于 预 测 网 站 访 问 的 安 全 风 险 ， 让 管 理 员 能 够 调 整 安 全 设 定 ； I P 信 誉 主 要 是 高 风 险 I P 地 址 的 动 态 情 报 。 文 件 信 誉 很 容 易 理 解 ， 提 供 的 是 已 知 恶 意 和 白 名 单 文 件 的 动 态 文 件 信 誉 情 报 ， 阻 止 恶 意 程 序 的 部 署 ； 移 动 应 用 信 誉 — — 情 况 亦 然 ， 针 对 这 一 点 移 动 技 术 合 作 伙 伴 可 将 移 动 安 全 S D K 融 合 到 解 决 方 案 中 。 如 果 要 说 威 胁 情 报 的 标 准 ， 则 S T I X / T A X I I 相 对 通 用 。 S T I X 是 用 以 描 述 网 络 威 胁 信 息 的 标 准 化 、 结 构 化 语 言 。 T A X I I 就 是 以 S T I X 格 式 抓 取 的 网 络 威 胁 信 息 的 可 信 、 自 动 化 交 换 。 微 步 在 线 在 接 受 我 们 的 采 访 时 提 到 了 S T I X 和 O p e n I O C ， 不 过 他 们 同 时 补 充 说 ， 以 国 内 的 实 战 经 验 来 看 ， 使 用 J S O N 格 式 的 最 多 。 1 . 4   如 何 评 估 威 胁 情 报 的 质 量 如 何 评 估 威 胁 情 报 的 质 量 其 实 一 款 安 全 产 品 往 往 可 以 将 多 个 威 胁 情 报 源 集 合 到 一 起 ， 或 者 说 很 少 有 安 全 产 品 只 需 要 一 个 威 胁 情 报 源 。 比 如 说 安 全 w e b 网 关 可 以 选 择 w e b 分 级 源 、 w e b 信 誉 源 、 I P 信 誉 源 ， 甚 至 可 能 还 需 要 文 件 威 胁 情 报 源 。 实 际 上 ， 也 有 企 业 会 为 产 品 选 择 多 个 供 应 商 的 授 权 威 胁 情 报 源 ， 不 过 这 也 会 增 加 整 个 系 统 的 复 杂 性 和 成 本 。 所 以 实 际 上 选 择 威 胁 情 报 提 供 商 才 是 最 值 得 考 虑 的 问 题 。 评 估 威 胁 情 报 源 的 关 键 有 以 下 几 点 ： -   威 胁 情 报 的 数 据 来 源 为 何 ， 以 及 具 体 是 怎 么 来 的 ， 及 数 据 来 源 针 对 全 球 威 胁 版 图 的 覆 盖 情 况 ； -   数 据 的 新 鲜 程 度 ， 包 括 数 据 何 时 从 来 源 获 取 ， 以 及 处 理 数 据 需 要 多 长 时 间 ； -   数 据 有 效 性 ， 不 仅 包 括 误 报 / 漏 报 率 ， 还 包 括 与 其 他 数 据 的 关 联 能 力 ； 这 一 点 尤 为 值 得 一 提 ， 相 对 顶 级 的 威 胁 情 报 提 供 商 已 经 开 发 了 关 联 技 术 ， 能 够 自 动 在 w e b 信 誉 、 I P 信 誉 、 文 件 威 胁 信 誉 等 情 报 源 之 间 进 行 交 叉 参 考 ， 对 未 分 类 的 潜 在 威 胁 进 行 抑 制 。 比 如 说 有 个 威 胁 情 报 中 原 本 未 分 级 的 U R L 地 址 ， 如 果 它 与 恶 意 程 序 感 染 文 件 或 者 已 知 不 良 I P 地 址 相 关 联 ， 则 很 容 易 将 这 个 U R L 归 类 到 不 良 之 中 。 -   针 对 企 业 、 行 业 乃 至 不 同 地 域 需 求 的 关 联 能 力 。 -   大 数 据 和 机 器 学 习 能 力 ， 数 以 亿 计 的 域 名 、 I P 地 址 、 移 动 应 用 、 U R L 和 文 件 行 为 记 录 ， 都 需 要 大 数 据 分 析 能 力 。 借 由 机 器 学 习 来 进 行 更 为 准 确 和 可 扩 展 的 w e b 威 胁 分 析 。 2 . 微 步 在 线 的 威 胁 情 报 产 品 微 步 在 线 的 威 胁 情 报 产 品 其 实 对 企 业 或 组 织 而 言 ， 期 望 享 用 威 胁 情 报 总 共 有 3 种 选 择 ， 其 一 是 自 己 打 造 威 胁 情 报 基 建 ， 这 对 大 量 企 业 是 不 大 现 实 的 ， 因 为 所 需 投 入 的 人 力 物 力 都 比 较 大 ； 其 二 是 采 用 开 源 或 者 公 共 项 目 ， 虽 然 免 费 听 起 来 不 错 ， 但 开 源 威 胁 情 报 更 新 很 不 及 时 ， 误 报 漏 报 率 都 不 理 想 。 再 有 就 是 从 专 门 的 威 胁 情 报 供 应 商 处 获 取 授 权 威 胁 情 报 ， 绝 大 部 分 比 较 成 功 的 安 全 供 应 商 都 从 一 个 或 多 个 威 胁 情 报 供 应 商 处 获 取 威
胁 情 报 授 权 。 而 微 步 在 线 就 是 家 典 型 的 威 胁 情 报 供 应 商 。 相 较 威 胁 情 报 领 域 的 其 他 玩 家 ， 微 步 在 线 从 初 生 伊 始 就 做 威 胁 情 报 ， 这 种 模 式 相 较 一 般 有 自 家 安 全 产 品 的 威 胁 情 报 提 供 商 而 言 ， 又 如 何 体 现 优 势 呢 ？ 这 家 公 司 的 支 柱 产 品 主 要 是 威 胁 情 报 中 心 （ T h r e a t B o o k   T I C ） 和 威 胁 分 析 平 台 。 我 们 基 于 以 上 对 威 胁 情 报 的 剖 析 ， 来 看 看 微 步 在 线 的 威 胁 情 报 产 品 又 有 什 么 样 的 特 点 。 2 . 1   威 胁 情 报 中 心 威 胁 情 报 中 心 前 文 谈 到 威 胁 情 报 服 务 有 供 人 阅 读 的 情 报 ， 微 步 在 线 也 的 确 推 出 了 “ 情 报 订 阅 服 务 ” ， 是 由 微 步 在 线 T h r e a t B o o k   L a b s 从 不 同 威 胁 情 报 来 源 和 自 家 分 析 ， 向 客 户 提 供 威 胁 事 件 预 警 、 0 d a y 漏 洞 预 警 、 行 业 事 件 追 踪 等 情 报 。 先 前 微 步 在 线 针 对 D a r k H o t e l 和 X c o d e G h o s t 的 威 胁 情 报 报 告 也 是 典 型 供 人 阅 读 的 情 报 ， 国 外 媒 体 也 曾 对 其 报 告 进 行 过 援 引 。 而 在 威 胁 情 报 具 体 应 用 到 产 品 中 这 一 点 ， 从 微 步 在 线 官 网 针 对 威 胁 情 报 中 心 描 述 的 “ 关 键 特 性 来 看 ” ， 主 要 包 括 -   融 合 机 器 学 习 和 安 全 专 家 的 共 同 力 量 ， 提 供 以 中 国 为 重 心 的 威 胁 情 报 ； -   综 合 来 自 开 源 情 报 、 安 全 合 作 伙 伴 及 客 户 等 多 重 来 源 的 数 据 ， 并 提 供 丰 富 的 上 下 文 及 优 先 级 信 息 ；
-   7   *   2 4 小 时 、 基 于 T T P 层 面 的 战 略 威 胁 情 报 服 务 ； -   多 种 数 据 格 式 支 持 ， 如 ： J S O N 、 Y A R A 、 S T I X 等 。 根 据 前 文 提 到 评 估 威 胁 情 报 的 几 个 关 键 点 ， 微 步 在 线 威 胁 情 报 中 心 的 这 些 “ 关 键 特 性 ” 大 致 上 也 是 在 对 此 做 强 调 。 我 们 进 一 步 对 微 步 在 线 进 行 了 邮 件 采 访 ， 虽 然 他 们 没 有 明 确 透 露 威 胁 情 报 数 据 来 源 等 信 息 ， 不 过 他 们 提 供 了 下 面 这 些 数 据 ： -   2 0 0 + 威 胁 情 报 源 -   掌 握 全 球 千 万 级 僵 尸 主 机 实 时 情 报 -   3 0 万 + 每 日 新 增 恶 意 样 本 -   3 0 0 万 每 日 可 执 行 文 件 下 载 路 径 分 析 跟 踪 -   5 年 P a s s i v e   D N S 数 据 -   3 - 1 0 年 域 名 W h o i s 信 息 -   每 日 新 增 域 名 数 百 万 -   每 日 发 现 新 的 高 危 远 控 服 务 器 2 0 0 个 以 上 综 合 其 “ 关 键 特 性 ” ， 这 大 致 上 是 对 数 据 新 鲜 程 度 、 关 联 技 术 、 大 数 据 和 机 器 学 习 能 力 、 威 胁 情 报 数 据 来 源 的 陈 述 。 “ 精 准 ” “ 关 联 性 ” “ 上 下 文 ” 和 “ 可 操 作 性 ” 也 是 其 产 品 P P T 的 宣 传 重 点 。 其 中 “ 以 中 国 为 重 心 的 威 胁 情 报 ” ， 也 表 现 微 步 在 线 的 地 域 性 特 色 。 至 于 机 器 学 习 ， 微 步 在 线 是 这 么 说 的 ： “ 没 有 上 下 文 的 信 息 不 能 称 为 情 报 ， 充 其 量 只 是 元 数 据 ， 对 于 情 报 生 成 过 程 中 数 据 的 清 晰 、 关 联 、 验 证 、 上 下 文 、 格 式 化 等 工 作 都 是 通 过 我 们 的 机 器 学 习 来 实 现 的 。 ” 在 具 体 的 服 务 门 类 中 ， 微 步 在 线 提 供 I P 信 誉 情 报 服 务 、 D N S 分 析 服 务 和 文 件 威 胁 分 析 服 务 。 这 其 中 文 件 威 胁 分 析 服 务 可 以 和 企 业 现 有 的 检 测 机 制 （ 比 如 E D R ） 进 行 结 合 ； 针 对 的 文 件 类 型 包 括 可 执 行 P E 文 件 、 O f f i c e 文 档 、 P D F 文 件 、 V B S / J S 脚 本 文 件 ； 进 行 沙 箱 行 为 分 析 ， 提 供 恶 意 软 件 行 为 动 作 ； 兼 容 W i n d o w s 、 A n d r o i d 和 i O S 平 台 ； 除 了 沙 箱 动 态 分 析 之 外 ， 还 集 成 了 国 内 外 近 3 0 款 知 名 防 病 毒 引 擎 。 D N S 分 析 服 务 ， 是 通 过 D N S 日 志 实 现 对 企 业 出 站 流 量 的 分 析 检 测 。 这 项 服 务 的 特 色 在 于 ， 通 过 D N S 检 测 能 够 识 别 C & C 操 控 网 络 内
部 失 陷 主 机 和 持 续 渗 透 ， 以 期 发 现 A P T 攻 击 线 索 ； 另 外 针 对 僵 尸 网 络 、 钓 鱼 网 站 、 木 马 病 毒 下 载 ， D N S 解 析 原 本 就 具 备 简 单 和 低 成 本 的 特 点 。 I P 信 誉 情 报 服 务 当 属 威 胁 情 报 的 常 规 积 累 ， 属 于 入 站 情 报 服 务 ， 是 对 入 站 流 量 进 行 威 胁 检 测 和 风 险 识 别 服 务 。 这 一 块 微 步 在 线 的 数 据 规 模 包 括 “ 千 万 级 傀 儡 机 I P 数 据 ” “ 数 亿 数 据 中 心 服 务 器 I P 数 据 ” ； 其 I P 风 险 信 息 还 包 括 了 “ 十 数 万 代 理 I P ” “ 数 万 V P N / T o r ” “ 数 万 扫 描 I P 。 ” 微 步 在 线 有 特 别 列 出 的 “ 可 机 读 威 胁 情 报 服 务 ” ， 这 项 服 务 通 过 域 名 （ C 2 、 钓 鱼 网 站 等 ） 、 I P 地 址 、 恶 意 文 件 H a s h 、 攻 击 者 电 子 邮 件 等 多 维 指 标 提 供 情 报 信 息 。 这 是 微 步 在 线 “ 基 于 2 0 0 + 威 胁 情 报 源 ” 的 主 要 体 现 ； 这 项 服 务 同 时 也 是 通 过 机 器 关 联 和 人 工 干 预 的 方 式 ， 为 情 报 赋 予 优 先 级 和 可 信 度 信 息 ， 并 增 加 上 下 文 信 息 ， 这 样 安 全 人 员 就 能 够 更 准 确 地 进 行 事 件 响 应 。 在 具 体 的 部 署 上 ， I P 信 誉 情 报 服 务 可 以 被 风 险 控 制 模 型 、 W A F 设 备 和 安 全 大 数 据 可 视 化 系 统 直 接 使 用 ； D N S 威 胁 分 析 服 务 则 通 过 企 业 D N S 日 志 分 析 与 微 步 在 线 的 可 机 读 威 胁 情 报 实 时 比 对 实 现 。 “ 另 外 结 合 最 多 的 就 是 与 客 户 现 有 的 O S C 、 S I E M 系 统 结 合 。 ” “ 我 们 也 和 很 多 国 内 知 名 安 全 厂 商 展 开 了 合 作 ， 配 合 已 有 的 N G F W 、 I P S 、 W A F 等 产 品 。 ” 基 于 威 胁 情 报 中 心 ， 微 步 在 线 现 如 今 也 在 搞 “ 高 级 安 全 服 务 ” ， 包 括 恶 意 软 件 分 析 服 务 、 安 全 事 件 响 应 服 务 等 。 2 . 2   威 胁 分 析 平 台 威 胁 分 析 平 台 微 步 在 线 创 立 初 期 在 推 V i r u s B o o k — — 这 个 服 务 当 初 仅 有 文 件 威 胁 分 析 ， 当 前 已 经 改 作 “ 威 胁 分 析 平 台 （ T A P ） ” 。 因 为 它 现 如 今 已 经 是 个 威 胁 分 析 工 具 ， 集 成 了 微 步 在 线 的 情 报 数 据 ， 针 对 企 业 安 全 人 员 提 供 限 定 免 费 使 用 次 数 ； 可 用 来 进 行 数 据 关 联 分 析 、 鉴 别 、 调 查 和 溯 源 。 实 际 上 ， 上 面 提 到 的 I P 信 誉 情 报 服 务 、 文 件 威 胁 分 析 服 务 在 这 里 都 有 更 为 直 观 和 具 体 的 体 现 ； 主 要 是 为 风 险 分 析 师 提 供 威 胁 关 联 分 析 服 务 ， 比 如 威 胁 情 报 数 据 、 恶 意 软 件 元 数 据 、 样 本 ； 网 络 数 据 如 域 名 历 史 / P D N S 、 历 史 W h o i s 等 。 其 基 础 依 旧 是 上 文 提 到 的 数 据 来 源 ， 包 括 5 年 P a s s i v e   D N S 数 据 、 每 日 新 增 数 百 万 域 名 等 。 若 具 体 说 威 胁 分 析 平 台 的 功 能 ， 包 括 了 ： -   鉴 别 （ I P 、 域 名 、 文 件 ） -   定 性 （ 目 的 、 战 术 能 力 、 团 伙 ） -   溯 源 （ 历 史 事 件 、 社 会 身 份 ） -   监 控 （ 监 控 变 化 、 发 现 异 常 ）
这 个 平 台 的 使 用 方 法 ， 其 中 之 一 是 “ w e b 门 户 ” ！ 意 思 也 就 是 用 浏 览 器 登 录 x . t h r e a t b o o k . c n 这 个 网 址 ， 就 能 使 用 服 务 了 。 所 以 威 胁 分 析 平 台 一 定 程 度 也 是 互 联 网 上 微 步 在 线 的 门 面 。 其 整 体 界 面 很 像 是 搜 索 引 擎 ， 界 面 唯 一 的 输 入 框 内 可 以 输 入 I P 、 域 名 、 文 件 H A S H 进 行 查 询 分 析 。 也 可 以 上 传 文 件 样 本 进 行 分 析 ， 上 传 文 件 有 8 0 M B 尺 寸 限 制 。 我 们 尝 试 进 行 I P 地 址 、 域 名 和 文 件 H A S H 的 输 入 ， 比 如 针 对 i C l o u d 用 户 的 钓 鱼 站 点 域 名 ， 在 点 击 “ 分 析 ” 按 钮 之 后 ， 几 秒 钟 的 时 间 内 ， 在 威 胁 情 报 栏 目 中 ， 就 能 相 对 直 观 地 显 示 来 自 T h r e a t B o o k   L a b s 情 报 源 ， 确 定 该 域 名 为 “ 钓 鱼 ” 。

我 们 尝 试 的 上 面 这 个 I P 地 址 ， 则 是 今 年 7 月 份 揭 露 的 A P T 组 织 P a t c h w o r k 的 C 2 控 制 服 务 器 I P 地 址 。 除 了 威 胁 情 报 中 ， 多 个 来 源 都 显 示 “ 可 疑 ” 和 “ 恶 意 软 件 ” ， 可 视 分 析 标 签 中 也 列 出 了 与 该 I P 相 关 的 威 胁 情 报 数 据 ， 在 此 主 要 是 样 本 H A S H 。 点 击 某 个 样 本 H A S H 则 可 以 进 一 步 查 看 ， 具 体 样 本 的 威 胁 情 报 。 关 联 样 本 的 T a g 明 确 标 注 着 “ 恶 意 软 件 ” ， 而 且 也 有 P a t c h w o r k ， 还 是 比 较 靠 谱 的 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理