與場(chǎng)景結(jié)合的威脅情報(bào)應(yīng)用，是如何實(shí)踐的？
時(shí)間：2022-04-23 12:09:01 | 來(lái)源：行業(yè)動(dòng)態(tài)
時(shí)間：2022-04-23 12:09:01 來(lái)源：行業(yè)動(dòng)態(tài)
我們以生產(chǎn)網(wǎng)場(chǎng)景下的威脅情報(bào)應(yīng)用為例來(lái)探討這一問(wèn)題。生產(chǎn)網(wǎng)場(chǎng)景中有一個(gè)典型現(xiàn)象：服務(wù)器對(duì)外連接域名/主機(jī)和下載的行為，要比辦公網(wǎng)中的同樣行為可疑度更高一些。
比如，辦公網(wǎng)中個(gè)人和公司的設(shè)備對(duì)外訪問(wèn)域名/網(wǎng)站是十分常規(guī)的操作，但是如果這種連接行為在嚴(yán)格控制互聯(lián)網(wǎng)訪問(wèn)的機(jī)房或數(shù)據(jù)中心里出現(xiàn)，就很有必要查一查是不是被攻擊者遠(yuǎn)程控制、變成了所謂的肉雞。而微步在線的出站威脅情報(bào)正好可以幫助查驗(yàn)連接的域名/網(wǎng)站是否安全，這樣，安全人員就能更快地定位出失陷的服務(wù)器。
再比如，生產(chǎn)網(wǎng)中的一臺(tái)服務(wù)器突然開(kāi)始下載不明程序，這很有可能是木馬攻擊，此時(shí)就要引入可疑URL檢測(cè)來(lái)查看服務(wù)器是否訪問(wèn)了惡意網(wǎng)站，同時(shí)再根據(jù)TDP-S提供的黑客木馬特征檢測(cè)來(lái)進(jìn)一步判定。據(jù)了解，微步在線的黑客狩獵系統(tǒng)追蹤全球100余個(gè)黑客團(tuán)伙，測(cè)試提取3000余條木馬通信協(xié)議特征并將規(guī)則特征用于檢測(cè)。
這些典型場(chǎng)景并不是拍腦袋想出來(lái)的，而是研究黑客攻擊鏈的結(jié)果。黃雅芳舉了一個(gè)很典型的例子：比如黑客利用WebLogic漏洞操縱服務(wù)器來(lái)挖礦，在這個(gè)過(guò)程中會(huì)有很多代表性的行為，首先黑客通過(guò)漏洞攻陷服務(wù)器，會(huì)訪問(wèn)惡意的IP下載挖礦的工具，這些訪問(wèn)行為和下載行為就會(huì)被TDP-S檢測(cè)，而且服務(wù)器最終被用來(lái)挖礦的時(shí)候，會(huì)去連接礦池，這也是一種典型的會(huì)被TDP-S檢測(cè)到的行為。這一連串的行為會(huì)被TDP-S完整呈現(xiàn)出來(lái)，企業(yè)安全人員就能對(duì)威脅看得更深、更遠(yuǎn)，能夠快速了解黑產(chǎn)最新的進(jìn)攻模式，從而更有效地進(jìn)行防范。
關(guān)鍵詞：實(shí)踐,場(chǎng)景,情報(bào)
在線咨詢