一、什么是恶意域名检测
恶意域名检测工具是网络安全防护体系里面非常关键的一个环节, 它的主要用途是把特定的域名的真实情况给摸清楚, 然后判断这个域名是不是和钓鱼攻击、恶意软件分发、垃圾邮件或者数据窃取这些坏行为有一定的关联。
当咱们的员工点击了一些来历不明的邮件链接的时候, 或者在下载了来源有点可疑的文件的时候, 又或者在企业IT部门部署全新的域名之前, 都必须要对这个目标的域名执行安全核查的步骤。
现在大家用的检测办法主要的有四个, 一个是去看WHOIS的注册信息, 第二个是把东西扔到几个搜索引擎对应的威胁情报库里去对一遍, 第三个是用沙箱去做一下行为模拟的分析动作, 第四个则是拿着DNS的黑名单也就是RBL去进行一个实时的核查。
二、在这些场景里存在需要去执行检测这个动作的情况。
员工在收到带有网页链接的邮件之后, 必须在进行点击操作以前, 对那个目标网址所对应的域名进行仔细的检查与确认。
在点击去下载附件, 或者是下载安装包的前头, 一定要确认一下发送方那个网址的信誉, 看看它是不是靠谱的。
企业的信息技术部门, 会在每个月的特定时间里头, 去对那些终端设备的历史性访问记录进行一番检查。
对于新采购的或者是已经注册的域名, 在他们正式上线以前要进行一个安全方面的预先检查程序。
需要对内部服务器开展排查工作, 重点查明其是否存在异常的外连目标情况。
三、5款常用恶意域名检测工具
1. VirusTotal, 这个网站是virustotal.com。
聚合了来自全球的大量安全引擎, 总数量超出了90款。您可以输入域名或者完整的URL。这样就能得到基于多引擎的综合判定结果。系统还提供了REST API接口, 能够让企业批量调用, 这种情形非常适合于需要高频自动化检测的场景。
2. URLScan（urlscan.io）
我们可以在沙箱环境的这种状态下, 去模拟一个真实的浏览器访问那个目标域名的动作, 让系统自动抓取完整的截图、HTTP请求链、JS执行轨迹以及重定向路径, 这一点是尤其有用的, 因为它特别适合用来识别多层隐蔽跳转的钓鱼链路。
3. 阿里云DNS安全检测（dns.alidns.com）
这项优化是专门针对国内用户的情况来做的。它支持域名批量查询这个功能, 还具备实时威胁告警推送的能力。它能够和阿里云企业邮箱还有WAF产品进行联动。这种情况非常符合那些已经部署了阿里云生态的企业用户的需求。
4. gname.xin 域名安全检测模块
它可以提供一站式的查询服务, 这个服务包括WHOIS的注册信息、历史NS记录的变更轨迹、威胁标签以及IP段的归属情况。同时, 它还支持按C段进行批量扫描。因此, 它非常适合那些需要追溯域名历史注册行为的取证场景。
5. AbuseIPDB（abuseipdb.com）
你可以基于全球社区安全运营人员实时举报的数据来查询, 具体操作是查看目标IP或者域名是不是被标记成了恶意行为源, 并且还支持去查看之前的Abuse记录以及置信度评分。
四、标准检测操作步骤
1. 你需要对目标域名字符串进行完整记录, 这里的域名是包含子域名的情况, 举例来说就是你的网址可能是example点com这样的形式或者是sub点example点com这样的形式, 总之是要避免把前缀遗漏掉才行。
2. 先把你想要使用的那个工具打开, 随便选哪一个都可以,接着去找到搜索框的位置恶意域名检测工具, 把你要查询的域名复制出来放进去, 最后再把它提交上去。
3. 请查看综合评分与威胁标签, 若出现诸如“Phishing”、“Malware”、“ Spam”以及“C2”这样的标签, 那么就将该域名判定为高风险域名。
4. 我们要进行交叉验证工作, 这需要我们至少使用两个不同的工具来进行复核, 比如说把病毒总线和滥用 IP 数据库结合起来用, 这样做的目的是为了降低因为只依赖单一引擎而出现的误报情况, 让结果更准确一点。
5. 把检测结果的截图保存起来。记录下检测的时间是什么。记录下使用的工具名称是什么。记录下得出的结论是什么。把这些东西作为安全事件处置的依据。把这些东西作为审计的依靠。
五、大家需要注意一些事情, 然后会碰到很多比较常见的有难度的问题。
其中, 有一部分的域名它们是启用了那个RDAP隐私保护的机制的, 所以对于注册人这个具体的字段来说它显示的是被写成了"Redacted"这种字样的, 在这种情况下, 你是需要结合着去使用比如SecurityTrails、DomainTools等等这些具有历史快照功能的工具来辅助进行判断的, 从而得知原始的注册信息到底是什么情况。
那些注册时间刚刚满不到72小时的域名, 可能还没有被威胁情报数据库给收录进去, 所以检测出来的结果是显示没有记录的,但是出现这个没有记录的结果并不代表它就是安全可靠的恶意域名检测工具, 建议用户在等到经过了48个小时之后再进行复查操作。
在企业的实际环境之中, 通常建议大家把检测工具的应用程序接口也就是API进行集成处理, 具体来说, 就是把它们整合到邮件网关以及终端EDR里面去, 这样做的目的就是为了能够实现自动化的拦截操作并且形成一套完整的告警处理闭环体系。
在确认该域名属于恶意之后, 应当把相关IP地址和那个域名单独拿出来, 放进内部的黑名单里面去, 然后把这个情况同步报给CNCERT以及所在单位所对应的那个行业主管管理部门, 让他们做好备案登记工作。
