威脅情報之資產收集

17bdw

從乙方威脅情報角度通過漏掃探測c2主機指紋，結合內部威脅情報做資料關聯，可以找出更多的樣本，分析樣本找到網路特徵和主機特徵。而一套探測過程對於滲透測試來說來說往往提到的就是高危埠暴露，資訊收集。

針對某些特定網段做同源確實會有威脅情報挖掘的價值。參考《那些和185.244.25.0/24網段有關的botnet》

通過收集特定網段的埠資訊結合當前掌握c2主機資訊。資產收集的作用如下：

很多掃瞄器都可以做資產收集，通過大資料做收集的平台也開始增加起來。

大資料做安全的**

但是這些平台多少會有查詢數量的限制。如果可以仿照乙個技術資訊庫，把資產按照標籤收集起來，每當出現乙個漏洞就可以很容易檢索出特定標籤的**了。

資料庫表設計頭疼了一段時間，以下是資料庫表設計的最初版。分別為目標站點表、二級網域名稱蒐集、ip、埠。

儲存目標的資料，id主鍵，type標籤型別，domain或ip；建立時間和修改時間是為了關注目標狀態改變的時間。

id          int        // 主鍵自增長id

source      varchar    // 資產**
yys         varchar    // 運營商
domain      varchar    // 運營商網域名稱
ioc_domain  varchar    // ioc網域名稱
ioc_ip      varchar    // ioc ip
dq          varchar    // 地區
type        varchar    // 儲存的是ip還是domain
target      varchar    // 目標組織
create_time datetime   // 建立時間
update_time datetime   // 更新時間

id              int        // 主鍵自增長id

host            varchar    // ip做主要索引
title           varchar    // **標題
ip              varchar    // ip  
domain          varchar    // 運營商網域名稱
port            varchar    // 當前網域名稱訪問的埠
country         varchar    // 國家**
province        varchar    // 省份
city            varchar    // 城市
country_name    varchar    // 國家名字
header          varchar    // 網路回顯
cert            varchar    // 證書資訊
isp             varchar    // isp資訊
as_number       varchar
as_organization varchar
data_source     varchar    // 資料**
create_time     datetime   // 建立時間
update_time     datetime   // 更新時間

id             int        // 主鍵自增長id

taskid         int        // 任務id
create_time    datetime   // 建立時間
update_time    datetime   // 更新時間
domain         varchar    // 網域名稱
address        varchar    // ip位址
is_up          varchar    // 存活狀態
os             varchar    // 作業系統版本

id              int        // 主鍵自增長id

taskid          int        // 任務id
create_time     datetime   // 建立時間
update_time     datetime   // 更新時間
address         varchar    // ip位址
port            int        // ip開放的埠
service         varchar    // 服務
state           varchar    // 狀態
protocol        varchar    // 協議
scripts_results varchar    // 指令碼掃瞄結果

後來資料量增大改用mysql，python2的第三方庫是使用的mysqldb。再然後棄用python2改用python3操作mysql**全改選用pymysql。

對於威脅情報收集來說一定不可避免會遇到如下問題。

請求網路包的頻率、數量，對網路和應用造成影響，交換機/路由器可能因此宕機，引發連鎖反應，qps過高可能超出服務的效能極限，導致業務中斷；

業務無法正確處理請求包裡的特殊輸入，引發異常宕機，比如乙個私有協議的服務也許只是碰巧監聽在了tcp 80埠，收到乙個http get請求就直接掛了；

請求公網的業務時，每乙個url的探測，都可能造成乙個40x或者50x的錯誤日誌。而業務的正常監控邏輯正是用access log裡的狀態碼來進行的。不做任何處理的話，突然40x猛增，業務的sre和rd必然要進行響應

不同於執法機構，安全公司是沒有權力去入侵**來獲取流量和伺服器許可權的。但是對於情報挖掘來說，不入侵不等同於不探測，必須要通過人肉挖掘和分析的方式判斷c2主機然後嘗試關聯攻擊事件，內部資料庫收集樣本。

資訊探測對於威脅情報挖掘也是必要引入的手段之一，通過流量還原大量pe，通過pe結構獲取到c2，通過c2擴充套件資訊。但是可以結合規則調整掃瞄策略。

變更風險評估：交換機路由器的流量和容量、業務的qps、業務/網路掛掉的最極端風險評估

變更知會：業務的管理者、rd、sre、dba、qa甚至網路維護方、有關部門，是否知道上述所有關鍵資訊，並授權同意進行掃瞄

回滾計畫：如果出了問題，怎麼最快速的停止掃瞄和恢復業務（有些動作要上面的變更知情範圍的關鍵干係人配合）

變更觀察：執行掃瞄的時候，判斷業務是否正常，判斷apt組織的警惕性，以便在出問題的第一時間響應；

漏洞掃瞄的一些運營常識

資產收集

安全威脅情報實戰

2012年5月18日，darkreading發表了一篇文章，題為威脅情報實戰。這個文章提及了威脅情報分析的重要性。作者認為，在面對新型威脅，新技術革新 例如雲計算 的時候，安全專家們需要改變傳統的安全防禦思路。對此，我也表示贊同。首先，要確定所要保護的重要資產。正如 當apt成為主流 中所述，在對抗...

安全威脅情報實戰

2012年5月18日，darkreading發表了一篇文章，題為威脅情報實戰。這個文章提及了威脅情報分析的重要性。作者認為，在面對新型威脅，新技術革新 例如雲計算 的時候，安全專家們需要改變傳統的安全防禦思路。對此，我也表示贊同。首先，要確定所要保護的重要資產。正如 當apt成為主流 中所述，在對抗...

文章記錄 威脅情報

20200915 本篇文章是美團安全部分發表在安全脈搏的一篇文章，文章按照以下脈絡進行闡述。1 企業威脅定義 2 如何評估企業威脅情報質量 3 威脅情報體系構建 4 威脅情報體系運營 以上四個角度進行了闡述，在最終講解了乙個利用自然語言處理的技術來產出情報的案例。其中威脅情報的體系由資料 平台 運維...