搜索

[9354] 2015-09-17_黑产无间道：黑产威胁情报工作实战

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-09-17_黑产无间道：黑产威胁情报工作实战 黑 产 无 间 道 ： 黑 产 威 胁 情 报 工 作 实 战 F r e e B u f   2 0 1 5 - 0 9 - 1 7 与 现 在 安 全 界 流 行 的 威 胁 情 报 不 同 ， 我 们 在 威 胁 情 报 的 工 作 更 核 心 的 是 基 于 公 司 业 务 实 际 出 发 而 开 始 的 ， 整 个 过 程 与 现 在 安 全 界 流 行 的 威 胁 情 报 不 同 ， 我 们 在 威 胁 情 报 的 工 作 更 核 心 的 是 基 于 公 司 业 务 实 际 出 发 而 开 始 的 ， 整 个 过 程 较 为 朴 素 ， 没 有 那 么 多 高 大 上 的 工 具 整 合 ， 一 切 以 为 安 全 提 供 实 际 支 撑 为 核 心 。 较 为 朴 素 ， 没 有 那 么 多 高 大 上 的 工 具 整 合 ， 一 切 以 为 安 全 提 供 实 际 支 撑 为 核 心 。 一 、 初 创 阶 段 一 、 初 创 阶 段 1 . 1   起 因 ： 最 初 的 起 因 是 由 于 一 起 信 息 泄 露 案 件 ， 由 于 信 息 泄 露 产 生 了 较 大 的 金 融 欺 诈 损 失 ， 后 来 案 件 在 公 安 机 关 的 侦 破 下 查 明 。 但 我 们 发 现 整 个 作 案 过 程 ， 和 我 们 在 后 台 推 测 的 情 况 有 较 大 出 入 ， 所 以 我 们 的 一 些 防 控 措 施 完 全 打 在 了 别 处 。 在 这 件 事 的 基 础 上 我 们 认 识 到 ， 知 己 知 彼 百 战 不 殆 ， 总 是 在 家 里 分 析 日 志 ， 推 测 对 方 的 攻 击 手 法 是 不 够 的 ， 还 要 能 够 打 出 去 ， 真 正 了 解 黑 产 运 作 环 节 ， 才 能 有 针 对 性 的 进 行 精 准 打 击 。 最 初 在 这 个 环 节 ， 我 们 并 没 有 考 虑 成 立 一 个 团 队 来 进 行 。 仅 是 安 排 了 两 名 同 事 来 做 ， 一 个 是 偏 技 术 的 ， 主 要 工 作 方 向 是 找 到 黑 产 对 漏 洞 的 利 用 手 法 ， 由 于 我 司 业 务 规 模 大 ， 一 旦 出 现 一 个 漏 洞 ， 迅 速 会 被 黑 产 利 用 ， 并 做 成 教 材 开 培 训 班 ， 这 名 技 术 人 员 就 要 打 入 到 这 种 圈 子 里 去 学 习 技 术 。 另 一 个 是 数 据 方 向 的 ， 在 黑 市 发 现 采 购 数 据 ， 并 进 行 数 据 分 析 ， 查 找 泄 露 源 。 1 . 2   进 展 : 工 作 迅 速 取 得 了 成 果 ， 数 据 方 向 的 同 事 在 短 期 内 ， 连 续 发 现 某 物 流 公 司 、 某 银 行 的 数 据 接 口 、 某 第 三 方 软 件 均 出 现 大 量 的 、 带 有 明 显 集 中 特 征 的 泄 露 。 技 术 同 事 则 发 现 了 A P P 老 版 本 存 在 的 问 题 ， 渠 道 接 口 存 在 的 漏 洞 。 由 于 这 些 情 报 是 从 黑 产 直 接 取 得 ， 所 以 效 果 非 常 好 ， 可 以 迅 速 有 针 对 性 的 修 补 漏 洞 ， 迅 速 止 血 ， 并 能 够 根 据 攻 击 路 径 找 到 受 损 客 户 进 行 加 强 保 障 。 所 以 短 期 内 解 决 了 比 较 集 中 突 出 的 问 题 。 但 过 程 中 我 们 也 发 现 几 处 问 题 ， 一 个 是 黑 市 欺 诈 多 发 ， 在 黑 市 上 贩 卖 技 术 也 好 、 数 据 也 好 ， 相 当 多 都 是 诈 骗 行 为 ， 骗 子 们 甚 至 几 十 块 也 骗 ， 声 称 自 己 具 有 某 种 技 术 ， 并 且 伪 装 成 果 。 这 就 需 要 有 经 验 、 熟 悉 业 务 的 人 去 辨 别 真 假 ， 即 使 这 样 ， 也 存 在 被 骗 的 可 能 性 ， 而 稳 定 有 保 障 的 黑 市 来 源 ， 又 迅 速 被 我 们 掐 掉 。 被 骗 钱 倒 不 是 大 问 题 ， 比 起 我 们 提 供 的 保 障 来 说 ， 这 只 是 小 钱 ， 但 是 浪 费 时 间 浪 费 人 力 ， 不 是 一 般 的 浪 费 ， 每 笔 都 要 防 骗 ， 需 要 大 量 的 沟 通 。 1 . 3   思 考 ： 再 一 个 是 发 现 真 正 的 问 题 不 易 ， 处 理 更 不 易 。 很 多 乙 方 做 安 全 的 ， 觉 得 这 些 问 题 都 简 单 ， 上 个 W A F 做 个 规 则 ， 或 者 改 一 下 代 码 就 解 决 了 。 但 实 际 到 甲 方 ， 尤 其 是 大 型 甲 方 的 生 产 环 境 ， 需 要 沟 通 处 理 的 环 节 很 多 。 比 如 前 面 发 现 的 A P P 老 版 本 存 在 漏 洞 可 被 利 用 ， 简 单 的 办 法 是 强 制 升 级 解 决 ， 版 本 不 对 就 禁 止 使 用 。 但 实 际 上 要 考 量 ， 这 个 低 版 本 对 于 某 些 老 旧 机 型 是 适 用 的 ， 而 新 版 本 在 一 些 老 旧 手 机 上 运 行 不 了 ， 那 就 要 拍 板 做 决 策 ， 我 们 到 底 要 不 要 这 批 老 客 户 ， 拍 板 的 时 候 就 要 数 据 来 说 话 ， 数 据 运 营 的 同 事 来 说 ， 目 前 低 版 本 用 户 量 多 大 ， 活 跃 量 多 大 。 当 你 有 几 百 万 的 低 版 本 用 户 时 候 ， 安 全 的 人 说 都 不 要 ， 业 务 会 立 刻 跳 起 来 跟 你 拍 桌 子 。 这 时 候 安 全 的 就 必 须 要 提 供 其 他 解 决 方 案 ， 而 不 是 简 单 的 一 刀 切 ， 其 他 的 解 决 方 案 就 要 考 虑 开 发 周 期 ， 短 期 内 怎 么 处 理 ， 长 期 怎 么 处 理 - - - - 所 以 ， 你 看 这 一 轮 下 来 ， 还 不 算 组 织 会 议 、 邮 件 沟 通 、 数 据 提 取 分 析 的 时 间 。 所 以 一 个 C A S E 处 理 下 来 ， 就 需 要 一 个 时 间 周 期 ， 而 且 解 决 方 案 也 是 一 个 比 较 复 杂 的 过 程 ， 相 关 人 员 都 要 投 入 。 由 于 初 期 运 行 有 一 些 快 速 重 要 的 发 现 ， 所 以 我 们 决 定 这 个 领 域 要 继 续 投 入 人 力 。
二 、 成 长 阶 段 二 、 成 长 阶 段 新 增 的 人 力 投 在 几 个 方 向 ， 因 为 事 件 解 决 比 较 费 时 ， 所 以 重 点 投 入 ， 一 个 专 职 负 责 解 决 跟 进 漏 洞 ， 一 个 兼 职 跟 进 ， 按 照 两 名 人 员 的 特 长 划 分 移 动 端 和 P C 端 。 前 端 也 增 加 了 两 名 ， 一 个 在 技 术 方 向 ， 一 个 在 数 据 方 向 。 所 以 这 个 小 组 变 成 了 6 个 人 ， 从 中 选 了 一 位 同 事 做 组 长 。 而 对 组 长 的 考 核 是 情 报 数 量 、 质 量 、 问 题 解 决 数 量 。 由 此 情 报 工 作 进 入 了 第 二 个 发 展 阶 段 。 2 . 1   新 问 题 ： 随 着 人 力 的 投 入 ， 情 报 的 数 量 质 量 都 有 大 幅 提 高 - - 可 见 以 前 我 们 缺 课 太 多 ， 总 是 坐 在 办 公 桌 后 面 看 日 志 ， 会 以 为 自 己 做 的 还 不 错 ， 只 有 掌 握 黑 产 动 态 ， 才 知 道 自 己 有 多 少 问 题 。 情 报 的 来 源 也 比 较 广 泛 ， 来 自 于 各 个 黑 产 Q Q 群 、 论 坛 贴 吧 、 网 站 ， 并 且 在 线 下 也 有 比 较 稳 定 的 中 间 人 交 易 。 解 决 方 案 的 推 动 也 开 始 走 向 规 范 化 ， 而 不 是 见 洞 补 洞 ， 开 始 向 开 发 端 延 伸 。 当 然 随 之 而 来 也 产 生 了 新 问 题 ， 当 前 我 们 进 行 的 都 是 收 集 情 报 ， 线 上 防 御 ， 存 在 情 报 传 递 失 真 的 情 况 。 所 谓 情 报 传 递 失 真 ， 要 从 产 业 链 上 下 游 来 看 ， 通 常 我 们 接 触 到 的 都 是 产 业 链 最 后 一 环 ， 贩 卖 数 据 或 出 售 技 术 的 最 后 收 益 环 节 ， 但 是 往 产 业 链 上 游 溯 源 ， 还 有 拦 截 马 、 洗 料 加 料 等 各 个 分 工 环 节 ， 所 以 如 果 只 停 留 在 终 端 环 节 ， 各 种 信 息 的 来 源 实 际 上 是 模 糊 不 清 的 ， 就 造 成 情 报 信 息 需 要 多 种 解 读 才 能 处 理 成 真 正 的 情 报 。 而 风 险 对 于 我 们 来 说 每 一 秒 都 是 损 失 ， 所 以 降 低 损 失 必 须 朝 产 业 链 上 游 挖 掘 。 也 在 这 个 时 候 ， 正 好 发 生 了 一 件 事 情 ， 从 数 据 情 报 中 我 们 发 现 一 起 案 件 ， 最 后 查 明 属 于 内 外 勾 结 ， 深 入 挖 掘 后 ， 我 们 发 现 是 黑 产 组 织 派 人 打 入 我 们 内 部 的 ， 黑 产 组 织 了 一 些 学 历 好 、 背 景 干 净 的 人 进 入 了 我 们 的 客 服 部 门 打 探 情 报 ， 收 集 数 据 ， 这 个 事 情 的 发 现 使 我 们 非 常 震 惊 ， 看 来 情 报 工 作 已 经 进 入 了 互 相 渗 透 、 直 接 对 抗 的 阶 段 。 由 此 我 们 决 定 同 样 也 要 进 行 反 渗 透 工 作 。 2 . 2   反 渗 透 ： 所 谓 反 渗 透 ， 对 于 我 们 这 样 的 正 规 机 构 来 说 ， 存 在 一 个 主 要 的 操 作 难 题 ， 我 们 很 难 派 一 个 自 己 的 员 工 去 从 事 黑 产 工 作 ， 但 不 入 虎 穴 焉 得 虎 子 。 在 咨 询 了 法 务 、 公 安 部 门 后 ， 我 们 决 定 退 一 步 ， 委 托 其 他 机 构 进 行 调 查 。 其 他 机 构 里 ， 最 合 适 的 就 是 记 者 了 ， 记 者 职 业 发 展 这 么 多 年 ， 在 如 何 寻 找 线 索 ， 如 何 让 伪 装 沟 通 上 还 是 有 相 当 丰 富 的 经 验 和 方 法 的 。 通 过 我 方 人 员 配 合 记 者 深 入 调 查 ， 我 们 掌 握 了 产 业 链 相 关 生 产 、 销 售 、 沟 通 方 法 ， 为 向 上 游 产 业 链 延 伸 提 供 了 有 力 的 支 撑 ， 同 时 也 学 到 了 记 者 们 的 工 作 方 法 ， 能 够 独 立 开 展 调 查 。 另 外 一 个 问 题 是 ， 通 过 对 产 业 链 的 溯 源 ， 我 们 聚 焦 了 一 批 犯 罪 分 子 ， 这 些 人 对 业 务 了 解 程 度 高 ， 具 有 相 应 的 开 发 能 力 ， 能 够 批 量 生 产 攻 击 软 件 。 很 多 案 件 的 背 后 都 有 这 些 人 的 身 影 ， 如 果 把 这 批 人 抓 住 ， 将 会 明 显 降 低 当 前 风 险 。 所 以 我 们 在 情 报 部 门 ， 设 立 了 协 同 警 方 的 重 案 组 ， 专 门 通 过 司 法 手 段 专 项 打 击 。 重 案 组 我 们 招 了 几 名 公 安 战 线 的 同 志 ， 专 门 配 合 公 安 部 门 从 事 线 下 打 击 。 几 个 大 案 的 侦 破 ， 给 我 们 带 来 了 一 手 的 新 鲜 材 料 ， 综 合 几 个 大 案 的 情 况 ， 我 们 得 到 的 结 论 是 ， 第 一 ： 集 团 化 地 域 化 作 案 非 常 明 显 ， 已 经 不 是 趋 势 了 ， 而 是 实 实 在 在 的 存 在 。 第 二 ， 黑 产 有 很 多 环 节 ， 实 际 上 是 个 综 合 治 理 的 过 程 ， 不 是 我 们 一 家 能 够 控 制 的 。 第 三 ， 线 下 打 击 是 个 长 期 持 续 的 工 作 。 第 四 ， 我 们 自 己 的 情 报 来 源 还 有 很 大 的 扩 展 空 间 。 从 以 上 结 论 ， 我 们 开 展 了 后 续 工 作 。 也 就 进 入 了 第 三 个 阶 段 。 三 、 优 化 阶 段 三 、 优 化 阶 段 所 谓 集 团 化 地 域 化 作 案 ， 实 际 上 需 要 去 做 关 联 分 析 ， 举 例 子 来 说 ， 我 们 与 黑 产 某 人 做 交 易 ， 向 对 方 付 款 买 了 一 笔 数 据 。 而 黑 产 交 易 的 这 个 人 ， 则 会 向 上 游 购 买 数 据 ， 上 游 又 会 向 上 游 购 买 ， 层 层 批 发 下 来 。 我 们 根 据 资 金 关 系 抓 这 一 条 链 ， 同 时 扩 展 到 二 度 、 三 度 关 系 圈 ， 再 结 合 通 话 记 录 、 I P 、 设 备 、 帐 户 等 多 个 维 度 关 联 ， 基 本
上 可 以 得 到 这 个 圈 子 的 情 况 。 但 这 种 工 作 ， 显 然 不 是 人 工 能 够 完 成 的 ， 二 度 关 系 还 好 ， 到 三 度 关 系 的 时 候 ， 人 就 崩 溃 了 。 再 加 上 其 他 维 度 ， 是 人 不 可 计 算 的 一 个 量 ， 所 以 这 块 ， 我 们 开 发 出 了 一 个 关 系 链 分 析 系 统 ， 可 以 根 据 规 则 ， 自 动 抓 出 这 个 圈 子 。 抓 到 的 圈 子 ， 可 以 移 交 重 案 组 打 击 ， 可 以 进 入 黑 名 单 处 理 。 综 合 治 理 工 作 ， 比 如 加 料 环 节 ， 黑 产 会 用 一 套 账 号 体 系 去 多 个 网 站 撞 库 ， 撞 库 的 结 果 是 拿 到 一 个 人 的 详 细 数 据 ， 这 些 数 据 可 以 支 撑 找 回 密 码 、 补 卡 攻 击 、 钓 鱼 木 马 等 。 而 这 些 技 术 支 撑 工 作 ， 都 有 专 门 的 组 织 在 做 ， 对 一 个 人 的 数 据 集 合 ， 可 以 多 次 出 售 ， 可 以 和 其 他 犯 罪 分 子 做 交 换 。 这 里 的 问 题 是 ， 作 为 一 个 单 独 机 构 ， 我 们 无 法 控 制 其 他 网 站 的 信 息 泄 露 ， 而 业 务 上 也 不 允 许 我 们 对 用 户 身 份 增 加 更 多 的 验 证 环 节 。 所 以 不 存 在 一 劳 永 逸 彻 底 解 决 的 办 法 ， 但 是 可 以 与 其 他 受 害 机 构 联 合 起 来 做 联 防 联 控 ， 因 此 我 们 发 起 了 黑 名 单 交 换 合 作 联 盟 ， 在 当 前 黑 产 已 经 形 成 合 作 组 织 的 情 况 下 ， 我 们 如 果 还 各 自 为 战 ， 将 被 黑 产 远 远 的 甩 在 后 面 。 但 遗 憾 的 是 ， 参 与 合 作 的 机 构 各 自 都 有 自 己 的 小 算 盘 ， 联 盟 运 作 并 不 理 想 ， 但 即 使 不 理 想 也 要 坚 持 开 展 ， 因 为 这 是 方 向 。 线 下 打 击 持 续 开 展 ， 实 际 上 ， 一 个 案 件 从 发 现 线 索 到 最 后 立 案 抓 捕 等 环 节 ， 有 一 个 漫 长 的 过 程 ， 需 要 非 常 多 的 卷 宗 和 取 证 。 而 且 新 型 手 法 层 出 不 穷 ， 需 要 我 们 持 续 的 在 这 里 投 入 力 量 保 障 。 在 情 报 来 源 上 ， 我 们 也 在 从 黑 市 收 集 情 报 的 基 础 上 ， 开 始 从 合 作 机 构 收 集 情 报 。 比 如 针 对 钓 鱼 网 站 的 情 报 收 集 ， 恶 意 I P 的 情 报 ， 手 机 号 码 情 报 等 ， 广 泛 的 开 展 各 种 合 作 收 集 数 据 。 由 于 数 据 来 源 的 种 类 越 来 越 多 ， 就 迫 切 需 要 一 个 系 统 把 这 些 不 同 种 类 的 情 报 收 集 归 纳 ， 并 且 根 据 业 务 逻 辑 关 系 串 联 ， 这 样 就 形 成 了 正 规 情 报 系 统 的 雏 形 。 从 外 部 得 到 的 情 报 数 据 分 门 别 类 的 进 来 ， 集 合 内 部 业 务 逻 辑 ， 通 过 决 策 引 擎 得 出 判 断 结 果 ， 从 而 形 成 了 自 动 化 的 业 务 阻 断 系 统 。 而 通 过 线 下 打 击 、 关 联 分 析 、 联 防 合 作 ， 继 续 丰 富 数 据 源 和 规 则 ， 形 成 了 一 个 闭 环 的 状 态 。 四 、 总 结 ： 四 、 总 结 ： 我 们 整 个 情 报 部 门 的 建 设 过 程 ， 从 业 务 的 角 度 出 发 ， 在 取 得 了 效 果 以 后 ， 急 需 深 入 扩 大 战 果 ， 一 步 一 步 的 发 展 到 今 天 形 成 系 统 。 而 不 是 现 在 安 全 界 的 先 有 系 统 后 有 产 出 ， 我 们 是 一 个 摸 索 前 进 的 过 程 ， 但 也 正 是 这 种 摸 索 ， 我 们 积 攒 了 大 量 的 实 务 经 验 ， 从 而 使 得 最 后 系 统 的 形 成 更 有 效 率 ， 更 接 地 气 。 从 甲 方 机 构 的 角 度 来 说 ， 也 是 一 种 稳 妥 、 循 序 、 有 效 的 办 法 。 * 本 文 属 于 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理