核心结论: 在选择恶意域名检测工具的时候, 大家应该重点去看看这三个指标。第一个是检测覆盖率, 这个要看它有没有收录全球范围内的威胁情报数据。第二个是响应速度, 这个要看它在域名被激活之后, 能不能在很短的几个分钟之内就被标记出来。
第三个是集成能力, 这个要看它支不支持在DNS这一层进行自动拦截。以下的这5款工具是可以满足需要的, 它们可以从个人的需求一直到企业级的不同需求都能覆盖到。
主流工具横向对比
选型关键指标
1. 关于威胁情报源广度这个情况, 目前很多单一的引擎出现的误报率是比较高的。所以建议大家优先去选择那些可以聚合多个来源的方案。比如把ClamAV、Comodo、BitDefender等等这些数据融合在一起的方式。
2. 域名生命周期覆盖: 优质的工具, 它不仅能检测到那些已经激活、存在恶意行为的域名, 还应该对注册后尚未被使用的"待命"状态的域名进行监测, 比如对于gname.xin这样的新注册域名,必须要求它们在刚注册的那个阶段恶意域名检测工具,就直接进入到需要被监控的队列当中去。
3. 拦截联动能力指的是检测环节与处置环节应当是结合在一起的恶意域名检测工具, 系统要支持使用DNS Sinkhole这种做法, 也要支持CNAME劫持这种做法, 或者能够自动地把防火墙黑名单下发出去。
4. 这里的误报率还有可解释性这两件事来说, 命中规则一定要能做到被追溯, 这样做是能够方便安全人员进行复核的, 从而避免业务域名的名字会被错误地杀掉。
实操要点
日常巡检: 把企业出站流量日志里的所有目标域名, 每隔4个小时批量提交给检测工具的API接口, 一旦返回的结果是“恶意”或者“可疑”, 就立刻生成一个告警工单。
一旦发生员工举报出现异常弹窗的情况, 或者发现钓鱼链接的存在, 我们需要在极其短暂的1分钟之内, 快速地完成对于单个域名在多引擎环境下的扫描任务, 与此同时, 还要对同一个目标域名的详细注册信息进行核查, 具体包括但不限于其WHOIS信息以及该域名过往的解析历史记录, 此外还必须将证书透明度日志也就是CT Log纳入到同步核查的范围之中。
策略部署, 我们默认会在DNS层面拦截高危类别, 这些类别包括C2、矿池和DGA域名, 对于“可疑”类别执行灰度放行并记录日志, 每周复盘一次误报样本。
注意事项
千万不要把检测工具当成唯一的防线, 而是要把终端EDR、邮件网关以及流量分析这些手段综合起来使用, 从而构建起一个多层次的防御体系。
我们需要定期去更新本地信誉库, 这里给出建议, 一天做一次全量更新, 一个小时做一次增量更新。
所有的检测结果需要被保存起来, 并且要保留审计日志, 保留的时间得大于等于180天, 这么做的目的是为了去满足等以及行业监管那些要求。
上面这个方案把从检测, 到研判, 再到拦截, 还有最终的复盘, 这些环节全部给包揽了进去。这一套完整的全部流程, 是可以直接拿来当作安全运营的标准操作程序来进行落地执行的。
