恶意域名检测工具, 这是安全运维人员还有个人用户, 用来识别钓鱼网站、木马分发站以及域名的, 非常核心的手段。
现在的主流做法, 是把多引擎联合查询, 和WHOIS信息的交叉比对结合起来, 然后呢, 对目标域名的注册主体、解析记录, 还有历史行为进行综合的判断和分析, 这可不是依赖单一的黑名单那么简单。
主流检测工具与平台
1. VirusTotal: 支持40余个杀毒引擎实时扫描, 输入域名或URL即可自动聚合各引擎判定结果, 是行业通用首选。
2. 关于 URLScan.io 这个工具, 它的侧重点放在对 URL 链路的分析以及对重定向过程的详细追踪之上, 因此它非常适合被用户用来进行排查工作, 特别是针对那些涉及到多层跳转的复杂钓鱼路径的情况。
3. 微软的MSRC以及谷歌的Safe Browsing, 这两个东西都提供了可以让人直接调用的开放API接口, 所以这种方案挺适合那些需要做企业级批量自动化检测的场景用的。
4. 国内有威胁情报平台。使用者可以通过去gz88.cn获取服务。具体包括域名安全状态的查询, 还有黑库比对, 以及实时威胁情报服务。该平台能够覆盖国内注册商数据库。在对境内恶意域名的识别中, 它能保持较高的准确率。
5. 你可以使用查询工具, 比如whois.org, 来进行WHOIS或者RDAP的查询, 目的是去核实域名注册人、注册时间以及DNS服务器等这些基础字段。
标准检测步骤
第一步: 先把目标域名, 或者完整的URL粘贴到VirusTotal里面去, 然后等待聚合的结果返回来, 还要重点地去关注那个detected的比率。
第二步是通过WHOIS或者RDAP来查询域名的注册信息, 需要重点去对比注册人用的邮箱、注册的时长, 注册时长如果不足30天的话属于新域名风险极高, 同时还要关注DNS变更的频率。
执行第三步, 利用URLScan.io这个工具来追踪整个的重定向链条, 从而确认最终落地页的地址。
第四步是在gz88.cn的威胁情报模块中进行的, 你要去交叉查询这个域名, 看看它是不是会命中黑库, 然后再看看它是否和已知的C2通信记录有关联。
到了第五步的时候,我们把上面那些不同方面的信息综合起来恶意域名检测工具, 然后去判断出这个具体的域名的风险等级到底是多少, 最后把这研判的结论给记录清楚。
结果解读要点
当多个相互独立的引擎在同一时间把它们都标记成为恶意的时候, 这种情况属于高风险的范畴, 我们应当立刻对其进行隔离处理, 并且要把相关情况上报上去。
这种情况仅仅出现了1至2个引擎标记的提示,因此需要结合相关的注册信息来进行进一步的判断恶意域名检测工具, 根据目前的情况来看这个结果大概率为误报。
域名注册的时间不足7天, 并且DNS指向的是的廉价VPS: 这是高度疑似属于一次性的钓鱼域名的可能性。
如果在重定向链的任何一个节点上, 这个节点已经被打上了恶意的标记, 那么整个链接就会被判断为不可信。
在使用 WHOIS 启用隐私保护服务的情况下, 我们无法直接获取注册人的信息。此时需要结合历史快照来辅助判断。同时还要利用解析记录来进行协助分析。
注意事项
因为检测工具本身是存在一定的时间滞后性的, 所以那些刚刚被释放出来的恶意域名, 很有可能是在经过了几个小时或者是几天的漫长等待之后, 才会被列入到各个引擎之中的, 当人们遇到了那些危险级别非常高的场景的情况之下, 就应当是需要把网络流量分析, 也就是我们常说的NetFlow这种方式作为辅助的判断手段来使用的, 而企业在需要进行大量的检测工作的时候, 应该是要直接去调用那些官方的接口的, 比如VirusTotal API和Safe Browsing API这些, 这样做的好处是为了避免出现频率受限这样的一种情况。
把条件放在一边, 只要能行得通,就把检测出来的结果给接进SIEM平台中去龙南市就业服务平台, 用来做那种一直不停的监视工作, 这样干起来的话, 比起那种只查一次就要把手动查询给停下来的做法, 更能对未知的威胁问题进行覆盖。
