搜索

[13731] 2019-02-04_如何使用免费的威胁情报源建设SIEM

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-04_如何使用免费的威胁情报源建设SIEM 如 何 使 用 免 费 的 威 胁 情 报 源 建 设 S I E M A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 2 - 0 4 写 在 前 面 的 话 写 在 前 面 的 话 全 世 界 的 安 全 研 究 专 家 们 经 常 都 需 要 对 恶 意 软 件 来 进 行 逆 向 工 程 分 析 ， 这 样 才 能 更 加 清 楚 地 了 解 到 网 络 攻 击 者 全 世 界 的 安 全 研 究 专 家 们 经 常 都 需 要 对 恶 意 软 件 来 进 行 逆 向 工 程 分 析 ， 这 样 才 能 更 加 清 楚 地 了 解 到 网 络 攻 击 者 的 攻 击 方 式 以 及 真 正 意 图 。 对 于 我 们 来 说 ， 幸 运 的 是 ， 这 些 安 全 研 究 专 家 愿 意 跟 我 们 所 有 人 去 共 享 他 们 在 威 胁 的 攻 击 方 式 以 及 真 正 意 图 。 对 于 我 们 来 说 ， 幸 运 的 是 ， 这 些 安 全 研 究 专 家 愿 意 跟 我 们 所 有 人 去 共 享 他 们 在 威 胁 情 报 方 面 所 取 得 的 研 究 成 果 。 情 报 方 面 所 取 得 的 研 究 成 果 。 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 介 绍 如 何 获 取 并 利 用 这 些 数 据 来 保 护 我 们 自 己 的 网 络 系 统 不 受 恶 意 软 件 的 攻 击 。 威 胁 情 报 可 以 帮 助 我 们 的 组 织 根 据 已 知 的 命 令 、 控 制 服 务 器 或 动 态 屏 蔽 的 网 络 钓 鱼 域 名 来 识 别 恶 意 网 络 活 动 ， 并 在 攻 击 开 始 的 初 期 就 拦 截 这 些 恶 意 活 动 。 那 么 接 下 来 ， 我 们 将 从 三 个 方 面 的 f e e d 来 获 取 这 些 威 胁 情 报 。 1 、   C i s c o   T a l o s ； 2 、   S a n s ； 3 、   F i r e   E y e ； 何 为 何 为 S I E M ？ ？ S I E M ， 全 称 为 S e c u r i t y   I n f o r m a t i o n a n d   E v e n t   M a n a g e m e n t   S o f t w a r e ， 即 安 全 信 息 和 事 件 管 理 软 件 。 它 可 以 帮 助 我 们 提 取 、 分 析 和 管 理 那 些 来 自 文 本 文 件 的 信 息 ， 并 在 不 需 要 任 何 人 工 交 互 的 情 况 下 对 数 据 进 行 动 态 标 记 和 报 警 ， 这 将 帮 助 我 们 预 先 收 到 已 知 威 胁 的 安 全 警 报 。 如 果 你 之 前 没 有 接 触 过 S I E M 的 话 ， 建 议 大 家 先 看 看 这 些 开 源 的 S I E M 平 台 【 传 送 门 】 。
下 面 给 出 的 P o w e r S h e l l 脚 本 可 以 直 接 从 威 胁 情 报 提 供 平 台 那 里 免 费 获 取 威 胁 情 报 信 息 ， 虽 然 网 上 还 有 很 多 各 种 各 样 不 同 的 威 胁 情 报 f e e d ， 但 是 这 些 已 经 足 够 大 家 使 用 了 。 T a l o s   I P   f e e d 这 个 脚 本 可 以 抓 取 当 前 的 T a l o s   I P 列 表 ， 并 将 其 写 入 到 一 个 标 题 为 T a l o s . t x t 的 文 本 文 件 中 。 这 个 文 件 会 直 接 存 储 在 P o w e r S h e l l 脚 本 所 在 的 相 同 目 录 下 ， 如 果 你 想 修 改 文 件 输 出 路 径 ， 请 修 改 $ o u t p u t 变 量 的 值 。 操 作 样 例 ： 可 修 改 为 ： T O R 出 口 节 点 列 表 出 口 节 点 列 表 它 的 功 能 跟 上 述 类 似 ， 只 不 过 它 可 以 抓 取 已 知 的 T O R 出 口 节 点 列 表 。 你 可 以 使 用 跟 上 面 相 同 的 方 法 来 修 改 文 件 输 出 地 址 。 S h o d a n 扫 描 器 扫 描 器 I P 现 在 社 区 有 很 多 研 究 人 员 会 共 同 去 维 护 一 个 S h o d a n 扫 描 器 I P 地 址 列 表 ， 我 们 可 以 直 接 把 这 个 列 表 设 置 到 防 火 墙 里 面 ， 来 保 护 我 们 的 基 础 设 施 不 会 被 收 录 到 S h o d a n 数 据 库 中 。 很 明 显 ， 这 种 方 式 并 不 能 1 0 0 % 的 保 护 设 备 的 安 全 ， 因 为 攻 击 者 依 然 可 以 自 己 开 发 一 个 扫 描 工 具 来 实 现 他 们 的 目 标 。 研 究 人 员 M i k e   H i l t z 曾 写 过 一 篇 关 于 S h o d a n 扫 描 器 的 有 趣 文 章 ， 感 兴 趣 的 同 学 可 以 阅 读 了 解 一 下 【 传 送 门 】 。 这 个 脚 本 跟 上 述 两 者 都 不 同 ， 因 为 S h o d a n 列 表 为 X M L 格 式 ， 不 过 幸 运 的 是 ， P o w e r S h e l l 可 以 处 理 X M L 文 件 。 A b u s e . c h 勒 索 软 件 追 踪 器 勒 索 软 件 追 踪 器 这 个 列 表 是 A b u s e . c h 社 区 的 开 发 者 们 创 建 和 维 护 的 ， 而 且 完 全 免 费 ！ 屏 蔽 这 个 列 表 中 的 地 址 可 以 帮 助 我 们 抵 御 勒 索 软 件 的 攻 击 ， 或 者 说 可 以 及 时 提 醒 我 们 的 系 统 中 可 能 存 在 勒 索 软 件 。 除 此 之 外 ， 他 们 还 提 供 了 各 种 恶 意 攻 击 的 威 胁 情 报 信 息 ， 但 数 据 最 丰 富 的 还 是 勒 索 软 件 。 这 个 脚 本 跟 其 他 的 有 些 不 同 ， A b u s e . c h 列 表 有 一 个 h e a d e r 域 ， 其 中 包 含 了 标 题 。 我 们 的 S I E M 不 需 要 获 取 这 些 信 息 ， 所 以 可 以 设 置 正 则 表 达 式 来 去 掉 这 部 分 内 容 ： 后 话 后 话 希 望 这 篇 文 章 的 内 容 可 以 给 大 家 提 供 帮 助 ， 还 等 什 么 ？ 赶 紧 动 手 构 建 我 们 自 己 的 S I E M 吧 ！ $ o u t p u t =   “ $ P S S c r i p t R o o t T a l o s . t x t ” $ o u t p u t =   “ c : f e e d s t a l o s . t x t ” [ N e t . S e r v i c e P o i n t M a n a g e r ] : : S e c u r i t y P r o t o c o l =   [ N e t . S e c u r i t y P r o t o c o l T y p e ] : : T l s 1 2 $ u r l =   " h t t p s : / / t a l o s i n t e l l i g e n c e . c o m / d o c u m e n t s / i p - b l a c k l i s t " $ o u t p u t =   " $ P S S c r i p t R o o t T a l o s . t x t " I n v o k e - W e b R e q u e s t - U r i   $ u r l   - O u t F i l e   $ o u t p u t $ c o n t e n t =   G e t - C o n t e n t   $ o u t p u t $ u r l =   “ h t t p s : / / c h e c k . t o r p r o j e c t . o r g / c g i - b i n / T o r B u l k E x i t L i s t . p y ? i p = 1 . 1 . 1 . 1 ” $ o u t p u t =   “ $ P S S c r i p t R o o t T o r E x i t N o d e . t x t ” I n v o k e - W e b R e q u e s t - U r i   $ u r l   - O u t F i l e   $ o u t p u t $ c o n t e n t =   G e t - C o n t e n t   $ o u t p u t $ u [ N e t . S e r v i c e P o i n t M a n a g e r ] : : S e c u r i t y P r o t o c o l =   [ N e t . S e c u r i t y P r o t o c o l T y p e ] : : T l s 1 2 [ x m l ] $ X m l D o c u m e n t =   I n v o k e - W e b R e q u e s t   - U r i   “ h t t p s : / / i s c . s a n s . e d u / a p i / t h r e a t l i s t / s h o d a n ” $ X m l D o c u m e n t . t h r e a t l i s t . s h o d a n . i p v 4 |   O u t - F i l e   “ $ P S S c r i p t R o o t S h o d a n I P . t x t ” [ N e t . S e r v i c e P o i n t M a n a g e r ] : : S e c u r i t y P r o t o c o l =   [ N e t . S e c u r i t y P r o t o c o l T y p e ] : : T l s 1 2 $ u r l =   “ h t t p s : / / r a n s o m w a r e t r a c k e r . a b u s e . c h / d o w n l o a d s / R W _ I P B L . t x t ” $ o u t p u t =   “ $ P S S c r i p t R o o t A b u s e C H R a n s o m . t x t ” I n v o k e - W e b R e q u e s t - U r i   $ u r l   - O u t F i l e   $ o u t p u t $ c o n t e n t =   G e t - C o n t e n t   $ o u t p u t $ c o n t e n t - n o t m a t c h   ‘ # . * # ’   |   S e t - C o n t e n t   $ o u t p u t “ $ c o n t e n t   - n o t m a t c h   ‘ # . * # ’   |   S e t - C o n t e n t   $ o u t p u t ”
* 参 考 来 源 ： s e c j u i c e ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理