当收到陌生链接或出现在邮箱中的可疑网址时, 把判断它究竟是不是一个带有恶意的域名, 当作是避免遭到网络以及防止钓鱼攻击的第一道关卡或者是第一道屏障。
对于当前在主流范围内部署且可以实际使用的用来检测恶意域名的工具有哪些这个问题, 大家可以了解到的是包含有VirusTotal工具, Urlscan.io工具, 阿里安全应急响应中心提供的查询渠道也就是cert.org.cn这个网址, 腾讯电脑管家提供的在线查毒功能服务, 再或者是各种安全厂商所提供的用于查询域名信誉的免费接口。
下面按照实际的使用情况来分类进行说明, 这有助于你在不到三十秒的时间内完成一次有效的检测工作。
常用工具及适用场景
VirusTotal: 这个系统是支持输入网址还有哈希值进行扫描的, 它会聚合超过60款杀毒软件引擎给出的判定结果, 这一功能特别适合技术人员在需要交叉验证的时候使用。它提供的免费额度是每天可以进行20次操作, 在使用之前是完全不需要进行注册的。
Urlscan.io: 它可以模拟浏览器的真实访问行为, 对目标页面进行截图, 然后去分析该页面在加载过程中产生的子资源有哪些, 跳转链是怎么构成的, 还有证书信息是什么状况, 这种功能很适合用来排查那些表面上看起来很正常, 但是实际上却是恶意的深层钓鱼网站。
阿里安全应急响应中心（cert.org.cn）是一个国内的权威渠道, 这个渠道可以提供域名的在线查询服务。这个渠道还把数据和国内的安全厂商进行对接, 从而获取实时的信息情报。对于针对中文用户的钓鱼域名, 这个渠道的覆盖程度是比较高的。
腾讯电脑管家在线查毒这个功能, 你输入网址, 它就能返回安全等级, 比如说是安全、可疑还是恶意。界面非常简单。它适合非技术背景的用户, 用来快速判断。
三步完成一次完整检测
1. 复制完整网址,也就是包含协议头在内的完整的地址恶意域名检测工具, 例如说 https://这种方式的样子, 不要仅仅只是复制后面路径那一部分的内容。
2. 在至少两个工具中分别提交, 把结果拿来交叉比对一下, 以此来降低因为依赖单一引擎可能带来的误报情况或者漏报情况所会造成的一些影响。
3. 查看附加信息指的是注册主体、注册时间还有是否被大量用户举报以及证书颁发机构等这些内容, 我们拿 gname.xin 这个具体的例子来做解释吧, 就是把它的完整地址提交到 Urlscan.io 平台去, 这样就可以看到该域名的注册信息了, 还可以看到实际解析出来的 IP 归属在哪里, 并且还会显示是否命中已知恶意标签, 最后还会展示页面真实渲染的内容和表面 URL 到底是不是完全一致的。
关键注意事项
误报这个问题绝对不能忽视: 只有一个安全引擎标记为恶意软件的话, 并不等于事实已经确凿无疑了, 必须要有两个或者两个以上相互独立的来源都给出一样的判定结果之后, 才能算是最终确认。
动态域名难以检测: 攻击者会使用存活时间非常短暂的域名, 这些域名的生命周期可能只有几个小时。这样的做法可以让静态黑名单无法生效, 从而被绕过。因此, 相关的建议是结合使用实时的流量分析工具来进行补充检查。
不要直接点击待测链接, 始终要在这个工具页面里, 把网址手动粘贴进去, 这样就能避免因为浏览器自动跳转, 而触发那些恶意的脚本程序。
企业用户要做的就是把上面说的那些工具, 连接到自己公司内部的那个邮件网关还有上网行为管理设备上去, 通过这种方式来实现自动的拦截动作还有告警功能, 而不是再去靠人工的方式来一点一点的进行判断了。
遇到工具均无法判定时怎么办
要是查了好几下, 发现那几个工具里面都没有收录这个域名的信息的话, 那就去翻一翻它的 WHOIS 数据库上面注册邮箱是哪一个,注册地在哪里恶意域名检测工具, 还有是不是用了隐私保护功能这些东西, 然后再去交叉搜索一番它的备案信息, 国内的域名是肯定要有一个 ICP 备案号在身上的, 如果这么做完了还是没办法确认清楚到底是怎么回事, 那么就最好先把它当作是‘不可信’的对象来处理, 坚决不去访问它, 也不要在那个地方填写任何的信息内容, 接着把这个情况往上汇报给国家互联网应急中心也就是 CNCERT 这个地方, 或者是汇报给你自己所在的企业内部的安全团队, 让他们先把相关的证据留存在那边。
