搜索

[10091] 2016-05-11_如何在网络中追踪入侵者（一）：架构

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-05-11_如何在网络中追踪入侵者（一）：架构 如 何 在 网 络 中 追 踪 入 侵 者 （ 一 ） ： 架 构 老 王 隔 壁 的 白 帽 子   F r e e B u f   2 0 1 6 - 0 5 - 1 1 背 景 知 识 背 景 知 识 由 于 依 赖 感 染 指 标 （ I O C s ） 的 安 全 方 法 越 来 越 不 可 靠 ， “ 突 破 口 假 设 ” 成 为 业 界 公 共 的 表 示 方 法 。 这 种 情 况 经 常 发 生 ， 直 到 外 部 主 机 发 现 一 个 缺 口 并 通 知 机 构 之 前 ， 入 侵 都 没 有 办 法 检 测 到 。 作 为 基 于 签 名 的 解 决 方 案 和 从 第 三 方 获 取 问 题 信 息 的 替 代 ， 网 络 防 御 者 需 要 来 自 于 已 经 进 入 企 业 内 部 的 未 知 敌 手 的 “ 突 破 口 假 设 ” 。 给 定 越 来 越 多 攻 击 者 的 目 标 和 个 人 信 息 ， 网 络 防 御 者 必 须 在 已 知 I O C 的 基 础 上 扩 大 搜 索 范 围 ， 并 且 在 他 们 的 网 络 中 寻 找 未 知 的 突 破 口 。 这 个 系 统 追 踪 未 知 攻 击 者 的 方 法 被 叫 做 网 络 攻 击 追 踪 。 对 攻 击 者 的 追 踪 并 非 没 有 难 度 ， 一 些 企 业 （ 防 御 者 ） 认 为 追 踪 超 出 了 他 们 的 能 力 和 资 源 。 防 御 者 需 要 强 大 的 工 具 筛 对 攻 击 者 的 追 踪 并 非 没 有 难 度 ， 一 些 企 业 （ 防 御 者 ） 认 为 追 踪 超 出 了 他 们 的 能 力 和 资 源 。 防 御 者 需 要 强 大 的 工 具 筛 选 大 量 的 数 据 来 快 速 防 御 和 处 理 威 胁 。 一 个 功 能 齐 全 的 追 踪 平 台 极 大 的 提 升 了 追 踪 者 的 能 力 ， 但 是 安 全 预 算 有 限 并 选 大 量 的 数 据 来 快 速 防 御 和 处 理 威 胁 。 一 个 功 能 齐 全 的 追 踪 平 台 极 大 的 提 升 了 追 踪 者 的 能 力 ， 但 是 安 全 预 算 有 限 并 且 公 司 不 会 总 是 投 资 有 前 途 的 技 术 。 幸 运 的 是 ， 有 好 几 种 廉 价 的 追 踪 方 式 。 且 公 司 不 会 总 是 投 资 有 前 途 的 技 术 。 幸 运 的 是 ， 有 好 几 种 廉 价 的 追 踪 方 式 。 在 这 个 月 的 S A N S 威 胁 追 踪 和 应 急 响 应 会 议 ， E n d g a m e 解 决 了 一 些 误 解 并 且 描 述 了 一 些 方 法 ， 安 全 专 家 可 以 在 没 有 大 量 的 预 算 的 前 提 下 开 始 追 踪 。 这 是 这 个 系 列 的 三 个 博 客 的 第 一 篇 ， 告 诉 大 家 如 何 在 你 的 网 络 上 廉 价 的 追 踪 入 侵 者 。 第 二 篇 会 介 绍 多 个 开 源 方 法 来 廉 价 的 分 析 和 标 识 网 络 上 高 层 次 的 趋 势 ， 最 后 一 篇 会 讨 论 在 你 的 主 机 上 追 踪 的 一 些 方 法 。 I O C 搜 索 的 局 限 性 搜 索 的 局 限 性 F r e e B u f 百 科 百 科 F B   b a i   k e 安 全 事 件 调 查 人 员 在 安 全 事 件 应 急 响 应 过 程 中 面 临 的 其 中 一 个 挑 战 是 ， 找 一 个 有 效 的 方 法 把 所 有 调 查 过 程 中 的 信 息 组 织 起 来 ， 这 些 信 息 包 括 攻 击 者 的 活 动 、 所 用 的 工 具 、 恶 意 软 件 、 或 者 其 他 的 攻 击 指 示 器 （ i n d i c a t o r s   o f   c o m p r o m i s e ） ， 简 称 I O C 。
网 络 层 的 安 全 有 传 统 的 I O C 相 关 搜 索 方 法 ， 比 如 域 名 黑 名 单 ， I P 黑 名 单 和 一 些 C I D R ， 或 者 用 S n o r t 或 者 B r o 来 寻 找 恶 意 事 件 的 相 关 签 名 。 随 着 恶 意 技 术 的 快 速 发 展 攻 击 者 的 基 础 设 置 越 来 越 动 态 很 难 从 合 法 服 务 器 中 区 分 开 来 ， 用 网 络 I O C 来 检 测 威 胁 变 得 越 来 越 难 效 果 也 越 来 越 差 。 也 就 是 说 ， 网 络 I O C 很 快 会 被 淘 汰 掉 。   攻 击 者 经 常 监 视 他 们 的 网 络 资 产 ， 一 旦 发 现 过 滤 清 单 ， 他 们 会 迁 移 到 其 他 的 终 端 。 一 些 攻 击 者 将 攻 击 程 序 分 割 放 到 每 个 攻 击 目 标 上 ， 来 减 少 相 关 的 I O C 信 息 。 云 计 算 加 剧 了 I O C 搜 索 相 关 的 挑 战 ， 攻 击 者 很 容 易 就 能 从 主 机 提 供 商 处 获 取 I P 地 址 。 相 似 的 ， 新 的 c c T L D 和 I C A N N   t l d 只 需 要 很 少 的 信 息 校 验 ， 使 得 这 个 变 得 更 容 易 和 廉 价 甚 至 是 免 费 的 ， 并 且 由 于 W H O I S 的 隐 私 服 务 注 册 者 的 信 息 不 会 被 公 开 。 由 于 这 些 原 因 ， 我 们 需 要 更 智 能 的 方 法 ， 为 了 代 替 追 踪 过 去 和 搜 索 已 知 的 错 误 ， 网 络 防 御 者 寻 找 模 型 和 相 关 未 知 错 误 的 信 号 。 一 旦 识 别 到 之 前 未 知 的 恶 意 行 为 标 识 ， 组 织 可 以 激 活 他 们 的 响 应 程 序 。 利 用 被 动 利 用 被 动 D N S 追 踪 追 踪 被 动 D N S 有 简 单 的 结 构 化 方 法 来 捕 获 这 些 信 号 和 模 式 。 被 动 D N S 通 过 被 动 捕 获 内 部 D N S 传 输 来 重 组 D N S 传 输 ， 从 而 收 集 数 据 。 F l o r i a n   W e i m e r 在 2 0 0 5 年 第 1 7 届 F I R S T 会 议 上 提 出 这 项 技 术 来 缓 解 僵 尸 网 络 的 传 播 。 从 那 以 后 ， 很 多 安 全 组 织 开 始 通 过 在 网 络 中 安 装 D N S 传 感 器 来 收 集 被 动 D N S 信 息 然 后 分 析 结 果 数 据 来 生 成 威 胁 情 报 。 在 今 天 的 威 胁 环 境 ， 被 动 D N S 在 追 踪 威 胁 上 非 常 有 用 。 被 动 D N S 传 感 器 ， 本 质 上 捕 获 D N S 传 输 — 5 3 端 口 的 U D P 数 据 包 （ D N S ） - - 然 后 将 信 息 重 组 到 单 一 的 记 录 ， 包 含 请 求 和 响 应 。 我 们 已 经 在 两 个 开 源 的 传 感 器 上 做 了 实 验 l   p a s s i v e D N S   l   s i e - d n s - s e n s o r 我 们 有 选 项 来 收 集 重 复 的 D N S 请 求 （ 绿 色 部 分 ） 或 者 收 集 所 有 的 D N S 传 输 。 传 感 器 可 以 被 安 装 到 网 络 上 可 以 使 用 嗅 探 器 （ 比 如 t c p d u m p ） 来 捕 捉 D N S 流 量 的 任 何 终 端 上 。 安 装 传 感 器 最 好 的 地 方 是 本 地 D N S 递 归 服 务 器 ， 但 是 跨 端 口 也 会 工 作 。 一 旦 传 感 器 收 集 到 被 动 D N S 数 据 ， 它 们 必 须 合 并 并 传 输 到 一 台 机 器 上 来 分 析 和 监 控 。 传 感 器 可 以 使 用 一 个 消 息 队 列 （ 比 如 K a f k a ） 来 发 布 被 动 D N S 记 录 。 这 使 得 他 可 扩 展 ， 松 耦 合 — 并 且 开 源 ！ 这 一 架 构 能 让 任 意 数 量 的 用 户 获 得 这 个 队 列 然 后 分 析 数 据 来 追 踪 威 胁 。 广 泛 的 说 ， 用 于 追 踪 的 数 据 有 三 个 相 关 的 应 用 ：
1 长 期 的 数 据 接 收 器 根 据 用 例 ， 长 期 存 储 比 如 H D F S 可 以 开 启 大 规 模 的 分 析 来 发 现 网 络 中 “ 什 么 是 正 常 的 ” 然 后 标 识 历 史 趋 势 。 将 数 据 弄 到 E L K （ E l a s t i c s e a r c h   L o g s t a s h   K i b a n a ） 栈 来 执 行 搜 索 和 趋 势 分 析 是 一 个 简 单 的 方 法 。 这 种 快 速 搜 索 已 知 I O C 的 方 法 使 用 开 源 的 栈 ， 同 时 对 任 何 偏 离 正 常 的 值 进 行 异 常 检 测 。 2 监 视 器 监 视 器 统 计 各 种 D N S 传 输 ， 比 如 N X D O M A I N 的 数 量 ， 请 求 的 字 节 数 ， 请 求 的 数 量 ， 用 户 请 求 数 量 ， 或 者 请 求 的 分 布 T L D ， 等 等 。 对 理 解 每 小 时 和 每 天 的 趋 势 有 极 大 的 帮 助 。 监 控 应 用 程 序 比 如 （ G r a p h i t e ） 为 不 同 的 数 据 点 生 成 图 表 和 统 计 信 息 ， 并 允 许 我 们 主 动 标 识 异 常 。 3 实 时 威 胁 追 踪 这 个 用 户 进 程 在 数 据 到 来 的 时 候 ， 实 时 的 记 录 并 检 测 威 胁 ， 不 断 的 寻 找 恶 意 传 输 模 式 然 乎 执 行 异 常 检 测 。 时 间 序 列 分 析 ， 使 用 链 接 库 比 如 K a r i o s ， 帮 助 追 踪 ， 检 测 异 常 行 为 和 所 有 的 数 据 中 断 或 周 期 。 下 一 步 下 一 步 一 旦 架 构 建 立 并 且 数 据 开 始 收 集 ， 网 络 防 御 者 可 以 在 这 些 被 动 D N S 数 据 上 执 行 大 范 围 的 分 析 来 追 踪 网 络 上 的 未 知 入 侵 。 在 下 一 部 分 ， 我 将 描 述 如 何 使 用 这 个 架 构 来 检 测 新 注 册 的 域 名 ， 快 速 通 量 技 术 和 域 名 生 成 算 法 （ D G A ） ， 以 及 各 种 入 侵 的 特 征 。 与 此 同 时 ， 我 们 还 会 介 绍 一 些 低 成 本 追 踪 的 开 源 库 和 技 术 。 * 参 考 来 源 ： e n d g a m e   ， F B 小 编 老 王 隔 壁 的 白 帽 子 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理