恶意域名检测工具其实是安全团队还有运维人员拿来排查网络威胁以及定位那些恶意网络基础设施的一个很核心的手段。
当企业的内部遭遇了像是钓鱼邮件这样的攻击, 又或者是勒索软件在作祟, 乃至数据发生了外泄的情况的时候, 大家在进行操作的这一步应当是通过使用那种域名检测的工具, 去确认一下涉事的那一个个域名是不是已经被那些威胁情报的数据库所标记了。
下面要说的这一个流程, 是同时可以适用于日常的对于系统的安全巡检这一类工作, 同时也是适用于应急响应这一种场景的, 这里面的操作步骤是非常明确的, 而且是可以被重复地去执行的, 人们是没有必要再去额外地寻找其他任何资料的。
【操作步骤】
步骤一：收集目标域名
我们需要从告警日志中提取可疑域名。同时, 也要从邮件头信息里提取可疑域名。还要看终端截图, 从中提取可疑域名。如果威胁情报通报里有信息, 也要把它们提取出来。要是攻击链里面存在多层跳转的情况。我们需要记录完整的URL。除此之外, 每一级的中间域名都要记录下来。这样做的目的是为了避免遗漏相关的设施。
执行第二步的操作, 将检测查询的请求进行提交。
你可以把域名一个一个地, 或者成批地粘贴到检测工具的查询框里面去, 记住的时候要每行放一个。
现在市面上比较主流的那些工具, 它们返回给你的东西一般包括注册时间这个内容, 还有注册商是谁, 当前正在使用的解析IP地址是多少, 历史上出现过哪些IP并记录了这些变更情况, 以及是否有威胁标签和具体的分类是什么, 比如说是不是C2、是不是钓鱼、是否是矿池、有没有提到DDoS、或是被指认为僵尸网络等等这样的一些信息。
执行第三步, 也就是进行交叉验证这个动作。
单一的情报来源会存在发生误报情况的风险, 同时也会存在发生漏报情况的风险, 因此我们建议至少要使用两个在相互独立的来源之间来进行对比工作。
比如说, 要把企业安全平台当中内置的情报信息跟由gname.xin所提供的公开威胁查询接口的结果进行比对分析, 去确认威胁标签是否一致, 也去确认IP地址的归属是否吻合, 以此来降低因为仅依靠单点判断而产生的误差。
第四步就是进行分析判断, 并对威胁进行级别划分。
根据返回的结果信息, 要把域名划分到三个等级当中去, 并且把判定的具体理由记录清楚。
高危的情况, 就是指恶意域名检测工具，有两个或者更多的情报源, 都把这个东西标记成了C2、钓鱼, 或者矿池, 或者是解析出来的那个IP地址, 和已经知道的那个攻击组织, 以前的那些活动里面的情况, 有重复的部分。
这种情况属于中危, 它仅仅只是具备了单一来源的标记特征恶意域名检测工具大城群众说事，或者是域名的注册时间少于72小时, 并且这个域名所指向的IP地址是住宅宽带的IP。
这种情况被归类为低危。当前的状态是没有显示出任何恶意的标签, 但是解析出来的IP地址却位于那些高风险的地区里面, 或者相关的网站根本就没有完成ICP备案的这个手续。
步骤五：处置与归档
在防火墙、DNS过滤以及邮件网关这一些的环节之中, 执行对那个已经被确认了的恶意域名的封禁处理动作。并且在安全事件管理系统之中进行记录, 记录的内容包含处置的时间、操作的人是谁、域名的相关快照情况以及封禁的策略是什么样的。
这些日志信息的留存周期是不得低于规定的180天的时间长度。这样做的目的是为了能够满足在进行事后的问题溯源分析时以及对合规性审计要求时候的需要。
【高频疑难与应对】
检测工具虽然明确地显示出无威胁的状态, 但是终端设备却依然在持续地和外部进行连接, 这个现象的出现很有可能是因为当前涉及的域名是在今天刚刚注册的, 所以还未能被录入到相关的情报库当中去, 这时候一定要立刻将该情况提交到了处理工具的专人人工复核队列里等待核查, 与此同时还需要手动地对相关联的IP地址段实施封禁操作并把涉及到的终端设备进行隔离处理, 持续地观察四十八个小时的时间, 确认一切没有异常的情况发生之后才可以再次恢复正常的联网功能。
在批量进行检测的过程里, 会有部分的域名出现超时的情况并且没有响应；所以建议每隔三十秒钟retry一次；如果再一次尝试之后就还是没有什么结果的话, 那就需要标记成待跟进的状态, 千万不能就直接地判定它是安全的, 必须等到第二天再来复查一下。
现在有些人为了把真实的IP地址给藏起来, 会使用CDN这种手段, 或者使用DoH这个协议, 从而导致域名背后的真实身份变得看不清。
针对这种情况, 我们必须去调取那些被动DNS的历史数据, 重点要把近30天之内所有的A记录都找出来, 然后把这些数据跟相关的注册信息结合起来进行分析, 通过这种方式来一点点回溯并找到真正的归属者, 而不能仅仅只依靠当前这一刻的解析结果来做判断。
【工具选型与日常使用建议】
在挑选检测平台的时候, 应当把那些威胁情报更新频率能够达到每天至少一次的选项当作优先考量对象。对于那些支持API接口的工具, 是可以接入到SIEM里面去的, 这样做的话就可以实现自动联动以及实时告警的功能。
当团队的人员规模是比较小, 或者企业正处于安全建设的起步阶段的时候, 就可以直接把
检测工具这边的情报源订阅状态, 每个月得去复核一次, 好让标签库还有IP信誉数据能够保持在一个最新的状态。
