洋葱式信息安全观察:网络安全的蓝色通缉令

围观次数:555 views

楔子:互联网是蓝色的。

作为威胁情报专业工作人员,你是不是经常被亲朋好友问到你是做什么的,当他们听到威胁情报这个名词的时候,是不是把你和间谍等称谓联系到了一起?而这时的你怎么向他们解释你的工作?“孙子兵法云:‘知己知彼,百战不殆……‘;情报起源于……;Gartner定义的威胁情报……”最后还是一头雾水。

绝大多数的情况下,他们应当知道有一种东西叫做通缉令。以下是一个威胁情报工作人员(简称:情报员)与友人(简称:友)的对话。

友:很久不见了,你现在在做什么?

情报员:我在做威胁情报相关工作。

友:你不是做信息安全的吗?改行做间谍了?我和你在一起会不会有危险?

情报员:我们和间谍没关系,没有任何危险,威胁情报是合法的商业领域。我给你解释一下吧,你知道红色通缉令吗?

友:知道,红色通缉令是追捕罪犯用的。你们和通缉令有啥关系?

情报员:我们也可以算做是发通缉令的,只不过发布的是互联网通缉令。我喜欢蓝色,互联网也是蓝色的,所以,你可以认为我是发蓝色通缉令的,我们的通缉令是起到警示作用,不抓人。

友:那你们的蓝色通缉令是啥样子的?

情报员:就像是红色通缉令中的关于罪犯的描述,只不过我们蓝色通缉令是关于哪些针对互联网的罪犯信息的整理,包括他们是谁,用什么工具、方法,干过啥坏事……

友:我有点理解了,那你们的通缉令分类吗?

情报员:我们在整理的过程中是分类的,包括黑名单、灰名单、白名单;简单的理解,它们可以对应罪犯档案、嫌疑犯档案、无犯罪记录人群档案。

友:通缉令通常会对罪犯分级,以提醒大家被通缉者的危险程度,你们的蓝色通缉令也有吗?

情报员:这个逻辑是近似的,通常使用信誉值这个词,综合了网络不安全因素者的活跃度、能力等因素。

友:谁会使用这些蓝色通缉令呢?

情报员:和互联网相关的机构、企业、个人都可以用,就像警察(执法人员)、门卫/保安(企业的安全人员)、个人去参考通缉令防范罪犯、追捕罪犯一样。

友:那么具体怎么使用这些蓝色通缉令呢?

情报员:这个和警察抓罪犯的思路也很相像。场景比较多,我对比给你看。

友:愿闻其详。

情报员:你见过警察设置路障检查驾照和身份证吗?

友:见过,经常造成堵车。

情报员:所以,用逐一查身份证去查罪犯,需要更加科学的方法,现在比较流程的蓝色通缉令所使用的装备叫做威胁情报网关,如同ETC通道和人工通道的效率区别,甚至效率倍数更高。

友:那如果没有这样的装备呢,可不可以先拍照,然后再慢慢查,这样就不堵车了?

情报员:可以先拍照再查,但是如果发现是罪犯,Ta已经跑远了。我们这个行业叫做已经横向移动了。

友:的确是这样,容易放跑罪犯。

情报员:还有一种情况,你在地铁站等公共场所,看到过警察抽查身份证吧?

友:是的。

情报员:抽查,一般是针对性的,例如行为鬼鬼祟祟,就像地铁站查到罪犯的比例不高一样,采用针对鬼鬼祟祟行为进行检查,会漏过很多经过伪装的高手,这些高手的攻击我们叫做APT攻击。

友:那给你们提供更多的蓝色通缉令有没有奖励?

情报员:有的,和通缉令一样,最基本的汇报是互联网更安全,你能安全的上网,如果价值更高的蓝色通缉令,也会有奖金。

友:真厉害!那你们是不是通缉了所有的网络罪犯?

情报员:如同全世界的警察都做不到破案率100%一样,任何情报厂商都不具备“上帝之眼”。需要情报厂商间互相协同,才能知道的更多,就像国际警察那样跨区域合作。

友:那通缉令上都有什么主要信息去使用,就像通缉令上罪犯的头像那样的,可以用于识别的?

情报员:专业名词叫IP、Domain、URL、eMail、Hash,可以这么理解,从某个门牌号—里出来的人都是潜在的罪犯,门牌号不好记,我们就用小区名—即Domain辅助记忆,但是这个小区可能并不都是坏人,更精准点就是URL—某户某人,而eMail就像是Ta家的信箱,Hash是他的犯罪工具的识别码,你知道每支枪都有自己独特的击发指纹的,Hash就是这样的指纹。

友:枪的指纹我懂,明白了。对了,很久没有一起去射击场了,改天一起去?

情报员:好滴,友谊的小船漂啊漂,漂到射击场。

友:挺有意思,我好像懂了,回去我和领导讲一讲,应该有使用价值。这些情报到哪里买,你的电话号码还没告诉我呢。

情报员:(贴着耳朵窃窃私语…….)

两人爆出银铃般的笑声………….

好吧,既然没听清Ta的电话,直接来找我好了。

后记:高铁去武汉途中偶得。

发表评论

邮箱地址不会被公开。 必填项已用*标注

广告赞助