搜索

[10686] 2016-11-06_域名劫持事件发生后的应急响应策略

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-11-06_域名劫持事件发生后的应急响应策略 域 名 劫 持 事 件 发 生 后 的 应 急 响 应 策 略 d a w n e r   F r e e B u f   2 0 1 6 - 1 1 - 0 6 M o r p h u s 实 验 室 讲 述 了 这 样 一 个 故 事 ， 在 某 周 六 的 早 上 ， 你 作 为 一 家 大 公 司 的 实 验 室 讲 述 了 这 样 一 个 故 事 ， 在 某 周 六 的 早 上 ， 你 作 为 一 家 大 公 司 的 C S O （ 首 席 安 全 官 ） ， 突 然 开 始 收 到 了 雪 片 （ 首 席 安 全 官 ） ， 突 然 开 始 收 到 了 雪 片 般 飞 来 的 消 息 。 他 们 告 诉 你 有 游 客 在 访 问 了 你 公 司 的 网 址 后 ， 浏 览 到 了 各 种 恶 意 内 容 。 般 飞 来 的 消 息 。 他 们 告 诉 你 有 游 客 在 访 问 了 你 公 司 的 网 址 后 ， 浏 览 到 了 各 种 恶 意 内 容 。                 这 听 起 来 像 是 公 司 网 站 出 现 了 混 乱 ， 其 实 可 能 发 生 了 更 严 重 的 的 事 情 。 当 你 深 入 研 究 后 会 发 现 ， 公 司 整 个 域 名 都 被 黑 客 劫 持 了 ， 他 们 试 图 从 你 们 客 户 那 里 窃 取 数 据 并 且 传 播 恶 意 代 码 。 在 本 文 中 ， 我 们 会 详 细 介 绍 针 对 上 述 场 景 的 应 急 响 应 方 案 。 另 外 ， 这 一 威 胁 对 信 息 安 全 策 略 和 安 全 布 局 的 颠 覆 ， 我 们 可 以 用 一 些 简 单 的 方 法 进 行 缓 解 。 D N S 基 础 知 识 基 础 知 识 为 了 更 好 地 理 解 到 底 发 生 了 什 么 ， 我 们 需 要 了 解 一 些 D N S 的 基 本 概 念 。 D N S 即 域 名 系 统 ， 是 互 联 网 能 够 正 常 运 营 的 基 础 。 我 们 每 天 使 用 的 网 站 和 其 他 网 络 服 务 的 名 字 ， 都 需 要 借 助 因 特 网 协 议 转 换 为 I P 地 址 ， D N S 服 务 器 就 在 其 间 起 一 个 翻 译 的 作 用 。 D N S 服 务 器 以 层 级 架 构 的 方 式 工 作 ， 当 解 析 请 求 传 递 给 相 应 的 D N S 服 务 器 时 ， 它 会 负 责 解 决 问 题 。 D N S 服 务 器 的 根 节 点 ， 可 以 比 拟 为 任 意 网 站 域 名 最 后 看 不 见 的 一 个 点 ， 它 们 分 布 在 全 世 界 不 同 的 地 方 。 这 些 根 D N S 服 务 器 必 须 知 道 控 制 顶 级 域 名 D N S 服 务 器 （ 比 如 ” . c o m ” ） 的 I P 地 址 。 同 样 ， “ . c o m ” D N S 服 务 器 也 需 要 知 道 控 制 你 公 司 域 名 的 D N S 服 务 器 （ 比 如 “ y o u r d o m a i n . c o m ” ） 的 I P 地 址 。 举 个 例 子 ， 有 D N S 请 求 需 要 解 析 “ w w w . y o u r d o m a i n . c o m ” ， 在 请 求 包 到 达 了 根 D N S 服 务 器 “ . ” 之 后 ， 反 过 来 又 会 下 放 到 “ . c o m ” 服 务 器 ， 接 着 再 到 你 公 司 的 D N S 服 务 器 ， 最 后 它 会 解 析 “ w w w ” 域 名 ， 然 后 返 回 正 确 的 地 址 给 你 。 这 些 顶 级 域 名 （ 比 如 ” . c o m ” ） 由 域 名 注 册 商 把 控 ， 这 些 域 名 注 册 商 也 被 称 作 N I C （ 网 络 信 息 中 心 ） 。 它 们 会 管 理 自 己 负 责 的 注 册 域 名 ， 同 时 专 门 配 置 D N S 服 务 器 的 I P 地 址 ， 来 负 责 解 析 如 “ y o u r d o m a i n . c o m ” 等 域 名 。 域 名 劫 持 域 名 劫 持
无 论 你 在 哪 家 域 名 注 册 商 注 册 或 者 管 理 一 个 域 名 ， 必 须 先 在 他 们 那 里 创 建 一 个 账 户 。 这 个 账 户 可 以 把 域 名 注 册 商 的 D N S 服 务 器 I P 地 址 ， 指 向 你 的 网 站 或 者 e m a i l 服 务 器 的 I P 地 址 。 这 样 一 来 ， 域 名 注 册 商 网 站 的 账 户 信 息 会 显 得 非 常 重 要 。 一 旦 有 不 怀 好 意 的 人 获 取 到 这 些 信 息 ， 就 能 任 意 操 作 你 的 域 名 配 置 以 及 你 D N S 服 务 器 的 I P 地 址 。 简 而 言 之 ， 他 们 可 以 将 你 们 公 司 的 域 名 和 邮 件 劫 持 到 他 那 儿 。 我 们 现 在 回 过 来 看 看 ， 故 事 中 到 底 发 生 了 什 么 ： 黑 客 盗 窃 了 该 公 司 在 域 名 注 册 网 站 的 身 份 凭 证 ， 登 进 去 改 变 了 主 / 次 D N S 服 务 器 配 置 ， 将 其 指 向 了 黑 客 自 己 的 地 址 。 之 后 ， 该 公 司 的 客 户 访 问 的 都 是 黑 客 伪 造 的 网 站 ， 然 后 下 载 了 黑 客 准 备 的 恶 意 内 容 。 我 们 可 以 猜 测 ， 罪 犯 的 目 的 很 可 能 是 为 了 传 播 恶 意 软 件 。 事 件 响 应 事 件 响 应 与 大 多 数 网 络 事 件 一 样 ， 你 只 需 要 加 载 备 份 和 配 置 就 能 恢 复 你 的 基 础 设 施 。 在 这 个 事 件 当 中 ， 所 有 的 服 务 器 其 实 并 没 有 受 到 损 害 。 在 这 些 情 况 下 ， 你 有 两 件 事 要 做 ： 第 一 ， 找 回 域 名 注 册 网 站 上 的 登 陆 凭 证 。 第 二 ， 提 醒 你 的 客 户 网 站 已 经 被 黑 ， 千 万 不 能 再 在 上 面 下 载 任 何 内 容 。 注 意 ， 你 这 个 时 候 千 万 不 能 使 用 你 公 司 的 e m a i l 去 发 送 消 息 ， 因 为 黑 客 很 可 能 已 经 控 制 了 你 们 的 e m a i l 服 务 ， 甚 至 正 在 窃 听 你 们 公 司 所 有 的 通 信 内 容 。 我 们 这 里 建 议 ， 你 可 以 通 过 公 司 的 社 交 网 络 账 户 或 者 其 他 渠 道 去 发 送 这 些 通 知 。 我 们 认 为 ， 黑 客 之 所 以 选 择 在 周 末 进 行 袭 击 ， 那 是 因 为 这 时 候 是 比 较 难 恢 复 网 络 环 境 的 。 这 次 事 件 发 生 在 周 六 早 上 1 1 点 ， 直 到 下 午 5 点 左 右 该 公 司 才 将 D N S 配 置 为 正 确 的 服 务 器 。 但 是 事 情 到 了 这 里 还 没 完 ， 由 于 黑 客 的 恶 意 改 动 ， 客 户 在 接 下 来 几 个 小 时 内 仍 然 访 问 到 的 是 伪 造 的 网 站 ， 这 一 直 持 续 到 了 因 特 网 上 D N S 缓 存 进 行 了 更 新 才 结 束 。 本 来 黑 客 为 公 司 域 名 设 置 了 2 4 小 时 的 T T L 值 ， 这 意 味 着 D N S 服 务 器 会 在 接 下 来 的 2 4 小 时 内 用 黑 客 的 I P 来 解 析 公 司 域 名 。 公 司 想 要 加 快 恢 复 的 唯 一 途 径 ， 是 联 系 国 内 负 责 主 D N S 服 务 器 的 网 络 运 营 商 ， 然 后 请 求 他 们 刷 新 D N S 配 置 。 当 做 好 这 一 切 后 ， 情 况 终 于 开 始 恢 复 。 网 站 凭 证 是 如 何 失 窃 的 网 站 凭 证 是 如 何 失 窃 的 在 这 期 间 ， 公 司 应 急 响 应 团 队 中 有 一 部 分 人 员 负 责 恢 复 网 络 环 境 ， 另 一 部 分 人 员 开 始 分 析 凭 证 失 窃 的 原 因 。 在 向 负 责 此 事 的 在 向 负 责 此 事 的 D N S 管 理 员 问 询 后 ， 我 们 收 集 到 一 些 值 得 注 意 的 信 息 ： 管 理 员 问 询 后 ， 我 们 收 集 到 一 些 值 得 注 意 的 信 息 ： 他 在 域 名 注 册 商 那 里 ， 绑 定 了 一 个 G m a i l 账 户 ， 这 可 以 用 来 进 行 密 码 找 回 。 在 这 次 事 件 发 生 之 前 ， 他 的 手 机 至 少 在 4 小 时 内 出 现 无 服 务 的 情 况 ， 而 重 置 G m a i l 密 码 的 短 信 正 需 要 这 台 手 机 。 经 过 公 司 调 查 人 员 的 努 力 ， 发 现 G m a i l 的 密 码 确 实 在 那 段 时 间 被 人 通 过 手 机 进 行 了 更 改 。 另 外 ， 根 据 收 到 的 证 据 表 明 ， 这 只 可 能 是 因 为 手 机 被 克 隆 了 。 目 前 ， 这 一 假 设 是 非 常 合 理 的 ， 我 们 知 道 黑 客 可 以 通 过 S D R （ 软 件 无 线 电 ） 向 G S M 基 础 设 施 发 起 攻 击 ， 截 获 特 定 号 码 的 网 络 消 息 和 短 信 消 息 。
攻 击 者 的 目 标 攻 击 者 的 目 标 这 一 事 件 中 出 现 了 很 多 的 受 害 者 ， 首 先 是 被 劫 持 域 名 的 公 司 本 身 ， 其 次 还 有 访 问 黑 客 伪 造 的 网 站 然 后 下 载 了 恶 意 软 件 的 用 户 们 。 很 明 显 ， 这 种 情 况 下 的 域 名 劫 持 只 是 为 那 些 没 有 太 多 警 惕 性 的 人 准 备 的 。 黑 客 通 过 那 些 信 任 这 家 公 司 的 人 ， 去 散 播 恶 意 软 件 ， 最 终 成 功 让 他 们 感 染 。 根 据 初 步 分 析 ， 这 次 事 件 的 恶 意 软 件 样 本 是 一 个 银 行 木 马 （ B a n l o a d ） ， 它 专 门 用 于 窃 取 巴 西 银 行 用 户 的 凭 证 。 漏 洞 和 建 议 漏 洞 和 建 议 黑 客 会 利 用 不 同 的 漏 洞 和 攻 击 策 略 来 达 到 他 们 的 目 的 ， 下 面 我 们 会 讨 论 一 些 预 防 和 对 抗 措 施 ， 来 减 轻 类 似 攻 击 带 来 的 风 险 。 双 因 子 身 份 认 证 双 因 子 身 份 认 证 咱 们 现 在 在 域 名 注 册 商 那 里 启 用 双 因 子 验 证 是 非 常 有 必 要 的 ， 这 意 味 着 你 必 须 要 提 供 至 少 两 种 方 法 才 能 证 明 你 的 身 份 ， 比 如 密 码 、 硬 件 / 软 件 令 牌 ， 甚 至 你 自 己 的 指 纹 。 在 这 次 事 件 的 分 析 中 ， 即 使 黑 客 可 以 重 置 于 域 名 注 册 商 绑 定 的 G m a i l 账 户 ， 他 们 也 无 法 获 得 软 件 令 牌 。 这 次 的 事 件 告 诉 我 们 ， 千 万 不 要 用 短 信 作 为 第 二 重 的 身 份 验 证 ， 因 为 手 机 被 盗 或 者 被 克 隆 后 ， 黑 客 就 可 以 通 过 短 信 服 务 去 获 取 你 的 身 份 凭 证 。 分 析 与 域 名 注 册 商 绑 定 的 分 析 与 域 名 注 册 商 绑 定 的 e m a i l 账 户 账 户 分 析 这 个 e m a i l 账 户 是 非 常 重 要 的 ， 通 常 它 们 可 以 用 于 重 置 网 站 的 密 码 ， 所 以 经 常 会 成 为 许 多 钓 鱼 者 热 衷 的 目 标 。 如 果 你 偏 爱 使 用 e m a i l 账 户 进 行 身 份 验 证 的 话 ， 建 议 启 用 双 因 子 身 份 认 证 ， 这 样 更 不 容 易 被 黑 。 建 立 事 件 响 应 计 划 建 立 事 件 响 应 计 划 你 需 要 有 一 个 针 对 这 类 事 件 的 详 尽 的 应 对 措 施 ， 咱 们 总 会 有 用 到 的 时 候 。 另 外 ， 大 家 需 要 注 意 的 是 ， 计 划 中 需 要 包 括 ： 域 名 注 册 商 的 紧 急 联 系 方 式 （ 联 系 人 和 电 话 号 码 ） 提 醒 客 户 的 另 一 个 安 全 途 径 （ 非 e m a i l ） 同 域 名 注 册 商 建 立 常 规 应 急 通 信 流 程 （ 如 模 拟 练 习 ）   *   参 考 来 源 ： 参 考 来 源 ： L i n k e d i n 和 和 S A ， ， F B 小 编 小 编 d a w n e r 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ （ F r e e B u f . C O M ） ）                        
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理