在选择恶意域名检测工具的时候, 大家要仔细看三个核心点, 具体来说就是数据源覆盖度、检测响应速度还有误报率。现在没有哪一个单一的工具可以把所有的威胁场景都覆盖到。所以这里推荐大家组合使用这些工具。下面这部分内容会把主流 tools 的对比情况、标准操作流程以及常见的疑难解答列出来。
一、主流恶意域名检测工具对比
1. VirusTotal是一个平台, 它能够把所有超过七十种的安全引擎聚合到一起来工作, 支持对域名和URL以及文件这些不同的东西进行多方面的扫描, 提供社区评分还有历史快照, 适合用来做快速的初筛和多引擎交叉验证。
2. 你可以去用一下那个urlscan.io, 它不仅能把完整的DNS链路给解析出来, 还能看明白TLS证书链是什么样子的, 甚至会有页面上的渲染截图供你查看, 另外这个平台还支持让你去追溯之前的历史扫描记录, 所以说, 如果是在排查钓鱼站点以及那些伪装的域名的时候, 它是挺合适的。
3. ThreatFox作为一个MISP平台, 它是一个在全球范围内聚合了各种入侵指标的这样一个情报系统。人们可以按照所提到的威胁家族这种类别来进行查找, 也可以按照IP段来进行聚类检索, 或者是按域名来归类搜索。
这样的功能对于负责安全运营的那个团队来说是非常方便的。因为这个系统允许他们去批量地进行核验工作, 同时也支持他们在日常工作中进行威胁狩猎这项活动。
4. 本地DNS的日志审计, 比如使用Pi-hole或者AdGuard Home这种软件, 能够在出口网关对恶意的域名解析请求进行实时的拦截, 同时会保存查询日志, 用来供事后进行回溯分析, 这是适合7×24小时持续运行的监控方式。
二、标准检测操作流程
第1步, 把可疑的域名复制到VirusTotal这个网站上, 然后确认各个扫描引擎给出的判定结果以及社区给的评分, 最后记录下出现阳性结果的条目。
步骤2, 在urlscan.io这个网站上, 对这个域名发起实时的扫描操作，去审查一下解析出来的IP地址属于哪个地方, 看看证书是由哪个机构签发的, 有效期是多长时间, 还有页面的历史快照都有哪些变化。
步骤3是, 在ThreatFox里面去搜索这个域名, 还有相关的那个IP地址, 然后进行对比, 看看有没有命中那些已经被知道的威胁家族的情况, 比如像是Cobalt Strike C2这样的情况, 又或者是矿池, 或者是钓鱼基础设施这样的情况。
步骤4: 对那些域名, 因为没能命中已知的IOC指标, 但是行为却出现了异常情况, 要把它们写入到本地DNS拦截规则里面去, 比如说Pi-hole黑名单这种方式, 然后让它们进入为期7天的隔离观察期。
步骤5, 在观察期间, 需要每天都去复查一下DNS查询日志, 一旦发现出现了高频次的重试情况, 或者关联到了新的子域名这些现象时, 要马上进行升级处置。
三、判定标准与误报处理
核心原则的意思是, 只要有一个引擎给出了那个标记, 是不能够就直接确认它是恶意的情况的, 必须等到至少两个完全独立的不同的数据源来进行互相验证通过之后, 才可以根据实际情况来做出相应的定性处理, 如果在分析的过程中发现目标域名是被企业自己拿来当作自建测试环境在内网里面使用服务的这个情况, 或者是属于CDN节点的一部分的时候, 比方说像gname.xin这种是用来代理和提供合法DNS解析服务的域名的话, 那么就一定要把WHOIS里的注册信息和ICP备案的状态还有历史的解析记录这些都结合起来进行综合的分析与判断, 这样做的最终目的就是为了避免出现误伤到那些正常业务的情况发生。
在确认存在误报的情况下, 应该在拦截系统中把相关的条目添加进入白名单列表里, 并且一定要保存好作出这种判断的主要依据内容。
四、常见疑难与解决方案
当使用任何工具都无法正常解析该域名时, 应当立即采取进一步的核查措施。具体做法是利用WHOIS信息来查询相关的注册商、建立的时间以及NS记录等相关数据。
如果监测到该域名的建立时间短于30天, 并且完全没有ICP备案的相关信息, 同时其NS指向的是的免费DNS服务, 那么系统就会自动把该域名的风险等级提升至高危水平。
检测结果的出街时间, 落后于攻击手段的更新速度。具体来说, 就是攻击方采取了那种生命周期短于二十四小时的快闪域名策略。因此, 我们建议把实时的 dns 流量日志, 同上面提到的这些工具结合起来联动使用。目的是一旦发现查询行为存在异常的规律模式, 就能够立刻触发后续的扫描动作。
针对批量域名检测这一类具体需求, 我们可以考虑去调用那个叫做 ThreatFox 的接口, 具体的路径是 /api/v1/iocs , 或者也可以选择去调用被称为 VirusTotal 的那个系统提供的域名查询能力, 对应的接口路径是 /api/v3/domains , 通过这种方式来实现自动化的大批量数据接入工作, 然后把这项工作内容和平时定期的安全检查流程给搭配起来。
五、持续防御建议
把上面那些工具组合成一个平常使用的标准操作流程, 在进行日常检查的时候, 要依赖于本地的DNS日志内容去干活, 具体来说就是使用Pi-hole或者AdGuard这些工具来帮忙看。
如果要进行更深一层的问题排查动作, 就得用到VirusTotal这个平台, 同时还需要配合urlscan.io这种网站一起来做分析工作。而在关注情报动向以及寻找潜在威胁的环节呢, 应当去使用那个叫作ThreatFox的工具来处理相关事情。
按照制度规定, 每一个季度需要更新一次IOC库里面的资料以及相关的拦截规则设置情况。每经过半年时间, 必须要进行一次完整的域名资产清点行动, 以此来保证整个检测体系的状态能够和最新的威胁形势发展保持同步一致。
