怎样利用架构廉价的追踪网络中的入侵者
由于依赖感染指标(IOCs)的安全方法越来越不可靠,“突破口假设”成为业界公共的表示方法。 这种情况经常发生,直到外部主机发现一个缺口并通知机构之前,入侵都没有办法检测到。作为基于签名的解决方案和从第三方获取问题信息的替代,网络防御者需要来自于已经进入企业内部的未知敌手的“突破口假设”。 给定越来越多攻击者的目标和个人信息,网络防御者必须在已知IOC的基础上扩大搜索范围,并且在他们的网络中寻找未知的突破口。这个系统追踪未知攻击者的方法被叫做网络攻击追踪。
对攻击者的追踪并非没有难度,一些企业(防御者)认为追踪超出了他们的能力和资源。 防御者需要强大的工具筛选大量的数据来快速防御和处理威胁。一个功能齐全的追踪平台极大的提升了追踪者的能力,但是安全预算有限并且公司不会总是投资有前途的技术。幸运的是,有好几种廉价的追踪方式。
在这个月的SANS威胁追踪和应急响应会议,Endgame解决了一些误解并且描述了一些方法,安全专家可以在没有大量的预算的前提下开始追踪。这是这个系列的第一篇,告诉大家如何在你的网络上廉价的追踪入侵者。
IOC搜索的局限性
IOC是什么?
安全事件调查人员在安全事件应急响应过程中面临的其中一个挑战是,找一个有效的方法把所有调查过程中的信息组织起来,这些信息包括攻击者的活动、所用的工具、恶意软件、或者其他的攻击指示器(indicators of compromise),简称IOC。
网络层的安全有传统的IOC相关搜索方法,比如域名黑名单,IP黑名单和一些CIDR,或者用Snort或者Bro来寻找恶意事件的相关签名。随着恶意技术的快速发展攻击者的基础设置越来越动态很难从合法服务器中区分开来,用网络IOC来检测威胁变得越来越难效果也越来越差。 也就是说,网络IOC很快会被淘汰掉。 攻击者经常监视他们的网络资产,一旦发现过滤清单,他们会迁移到其他的终端。一些攻击者将攻击程序分割放到每个攻击目标上,来减少相关的IOC信息。
云计算加剧了IOC搜索相关的挑战,攻击者很容易就能从主机提供商处获取IP地址。相似的,新的 ccTLD 和ICANN tld 只需要很少的信息校验,使得这个变得更容易和廉价甚至是免费的,并且由于WHOIS的隐私服务注册者的信息不会被公开。
由于这些原因,我们需要更智能的方法,为了代替追踪过去和搜索已知的错误,网络防御者寻找模型和相关未知错误的信号。一旦识别到之前未知的恶意行为标识,组织可以激活他们的响应程序。
利用被动DNS追踪
被动DNS有简单的结构化方法来捕获这些信号和模式。被动DNS通过被动捕获内部DNS传输来重组DNS传输,从而收集数据。Florian Weimer在2005年第17届FIRST会议上提出这项技术来缓解僵尸网络的传播。从那以后,很多安全组织开始通过在网络中安装DNS传感器来收集被动DNS信息然后分析结果数据来生成威胁情报。在今天的威胁环境,被动DNS在追踪威胁上非常有用。
被动DNS传感器,本质上捕获DNS传输—53端口的UDP数据包(DNS)–然后将信息重组到单一的记录,包含请求和响应。我们已经在两个开源的传感器上做了实验
l passiveDNS
l sie-dns-sensor
我们有选项来收集重复的DNS请求(绿色部分)或者收集所有的DNS传输。
传感器可以被安装到网络上可以使用嗅探器(比如tcpdump)来捕捉DNS流量的任何终端上。安装传感器最好的地方是本地DNS递归服务器,但是跨端口也会工作。
一旦传感器收集到被动DNS数据,它们必须合并并传输到一台机器上来分析和监控。传感器可以使用一个消息队列(比如Kafka)来发布被动DNS记录。这使得他可扩展,松耦合—并且开源!这一架构能让任意数量的用户获得这个队列然后分析数据来追踪威胁。
广泛的说,用于追踪的数据有三个相关的应用:
1. 长期的数据接收器
根据用例,长期存储比如HDFS可以开启大规模的分析来发现网络中“什么是正常的”然后标识历史趋势。将数据弄到ELK(Elasticsearch Logstash Kibana)栈来执行搜索和趋势分析是一个简单的方法。这种快速搜索已知IOC的方法使用开源的栈,同时对任何偏离正常的值进行异常检测。
2. 监视器
监视器统计各种DNS传输,比如NXDOMAIN的数量,请求的字节数,请求的数量,用户请求数量,或者请求的分布 TLD,等等。 对理解每小时和每天的趋势有极大的帮助。监控应用程序比如(Graphite)为不同的数据点生成图表和统计信息,并允许我们主动标识异常。
3. 实时威胁追踪
这个用户进程在数据到来的时候,实时的记录并检测威胁,不断的寻找恶意传输模式然乎执行异常检测。时间序列分析,使用链接库比如Karios,帮助追踪,检测异常行为和所有的数据中断或周期。
一旦架构建立并且数据开始收集,网络防御者可以在这些被动DNS数据上执行大范围的分析来追踪网络上的未知入侵。
推荐系统
windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载
语言:中文版系统大小:5.31GB系统类型:Win11windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载,微软win11发布快大半年了,其中做了很多次补丁和修复一些BUG,比之前的版本有一些功能上的调整,目前已经升级到最新版本的镜像系统,并且优化了自动激活,永久使用。windows11中文版镜像国内镜像下载地址微软windows11正式版镜像 介绍:1、对函数算法进行了一定程度的简化和优化
微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载
语言:中文版系统大小:5.31GB系统类型:Win11微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载,微软2022年正式推出了win11系统,很多人迫不及待的要体验,本站提供了最新版的微软Windows11正式版系统下载,微软windows11正式版镜像 是一款功能超级强大的装机系统,是微软方面全新推出的装机系统,这款系统可以通过pe直接的完成安装,对此系统感兴趣,想要使用的用户们就快来下载
微软windows11系统下载 微软原版 Ghost win11 X64 正式版ISO镜像文件
语言:中文版系统大小:0MB系统类型:Win11微软Ghost win11 正式版镜像文件是一款由微软方面推出的优秀全新装机系统,这款系统的新功能非常多,用户们能够在这里体验到最富有人性化的设计等,且全新的柔软界面,看起来非常的舒服~微软Ghost win11 正式版镜像文件介绍:1、与各种硬件设备兼容。 更好地完成用户安装并有效地使用。2、稳定使用蓝屏,系统不再兼容,更能享受无缝的系统服务。3、为
雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载
语言:中文版系统大小:4.75GB系统类型:雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的雨林木风品牌,其系统口碑得到许多人认可,积累了广大的用户群体,雨林木风是一款稳定流畅的系统,一直以来都以用户为中心,是由雨林木风团队推出的Windows11国内镜像版,基于国内用户的习惯,做了系统性能的优化,采用了新的系统
雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO
语言:中文版系统大小:5.91GB系统类型:Win7雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO在系统方面技术积累雄厚深耕多年,加固了系统安全策略,雨林木风win7旗舰版系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。win7 32位旗舰装机版 v2019 05能够帮助用户们进行系统的一键安装、快速装机等,系统中的内容全面,能够为广大用户
番茄花园Ghost Win7 x64 SP1稳定装机版2022年7月(64位) 高速下载
语言:中文版系统大小:3.91GB系统类型:Win7欢迎使用 番茄花园 Ghost Win7 x64 SP1 2022.07 极速装机版 专业装机版具有更安全、更稳定、更人性化等特点。集成最常用的装机软件,集成最全面的硬件驱动,精心挑选的系统维护工具,加上独有人性化的设计。是电脑城、个人、公司快速装机之首选!拥有此系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
相关文章
- 美国拟建立2000万美元的网络安全应急基金
- 排名前十的勒索软件支付赎金事件
- 宽带连接错误678怎么办? 宽带连接错误678故障解决办法
- 微软发布开源网络渗透模拟器CyberBattleSim
- Twitter删除数十个与俄罗斯政府相关的账号
- 专栏
- 美国国防承包商已被入侵,Pulse Secure 0day漏洞正在世界范围内被积极利用
- 锐捷发布极简以太全光解决方案 打造“不一样”的全光网
- 5个简单的步骤用HTTPS保护你的WordPress网站
- 防范 dedecms 广告内容插入后门
- 知名 Node.js 组件存在代码注入漏洞
- 收藏 |2019互联网安全与DDoS态势研究报告解读Pro版
- 脚本防止SSH和vsftpd暴力破解的代码分享
- 网络安全编程:C语言逆向之if…else…结构分析
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 3电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 4雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
- 1迅雷云播“手机看片神器”使用教程(随时随地秒速离线云播放)
- 2微信公众号怎么年审? 微信公众号年审流程及所需材料介绍
- 3Win10怎么设置网络按流量计费 Win10网络设置流量收费教程
- 4i7 6700主频是多少 i7-6700参数详解
- 5Steam提示“需要在线进行更新,请确认您的网络连接正常”怎么办?
- 6win7蓝屏代码7f指什 怎么解决 很严重
- 7安卓手机安装运行win7系统教程 安卓手机装win7系统教程
- 8aoc一体机电脑win10改win7系统及bios设置
- 9高通骁龙8cx怎么样 高通骁龙8cx处理器详细介绍
- 10华硕b460主板装win7系统及bios设置教程 10代CPU安装Win7教程 BIOS设置 U盘启动 完美支持USB驱动
常用系统
- 1新萝卜家园电脑城专用系统 Windows10 x86 企业版2021年9月(32位) ISO镜像高速下载
- 2雨林木风Ghost Win7 x64 SP1 极速装机版2020年8月(64位) 高速下载
- 3深度技术 Windows 10 x64 企业版 电脑城装机版2020年8月(64位) 高速下载
- 4新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年1月(32位) ISO镜像高速下载
- 5深度技术 GHOSTXPSP3 六一节 电脑城极速装机版 2021年6月 ISO镜像高速下载
- 6番茄花园Ghost Win8.1 x32 全新纯净版2018年7月(绝对激活) 提供下载
- 7新萝卜家园 Ghost XP SP3系统 电脑城极速纯净版 2021年12月 ISO镜像高速下载
- 8电脑公司Ghost Win8.1 X64位 纯净版2020年7月(自动激活) ISO镜像快速下载
- 9笔记本&台式机专用系统 GhostWin7 32位元旦特别 旗舰版2022年1月(32位) ISO镜像免费下载
- 10雨林木风 Windows10 x64 企业装机版2019年8月(64位) ISO镜像高速下载