資安分析師的日常

John是SOC團隊中的一位威脅分析師。他所在的SOC團隊隸屬於公部門組織,使用RiskIQ PassiveTotal調查入侵指標(Indicators of Compromise, IOC),透過PassiveTotal,他們在回報資安事件時大幅降低了誤報率。

PassiveTotal中擁有大量不同面向且獨特的資料集,透過RiskIQ的分析整理使這些資料產生有意義的關聯,能有效幫助調查的進行。勾勒出潛在的連結、分群類似的攻擊活動、並對調查的假設做佐證。


過去John的團隊須利用各式不同的工具來進行調查,因此在作業上會需要相當的時間去手動整合、同時工作流程會因此被切割。以我們展示John在未使用PassiveTotal前如何進行調查工作。以Lazarus Group攻擊波蘭銀行業事件中, 入侵偵測系統(Intrusion Detection System, IDS)標識出的惡意IP作為案例:109[.]164[.]247[.]169。

傳統的威脅調查作法

1. John會先開啟網域工具查找該IP的WHOIS記錄,以獲取諸多WHOIS相關訊息,如IP解析出的HOST、WHOIS紀錄、註冊人及其email…等。

圖1. 網域工具中的WHOIS資訊

2. 同時他會開啟另一個分頁,用Mnemonic對此IP的被動DNS紀錄做查找,這幫助他了解有哪些Domain與此IP有關聯。

圖2. Mnemonic中的DNS查看

3. 為了瞭解此IP是否有任何來自公開來源情報(Open Source Intelligence, OSINT)的資訊,他會開啟多個分頁以從多方查找,如Phishtank、FireEye blog、Facebook、threat exchange…等。

圖3. 各種OSINT工具

4. 接下來,開啟VirusTotal,對先前從Mnemonic找到的domain做hash值比對。

圖4. VirusTotal hash值比對

至此,John對此IP有了相當程度的掌握-WHOIS資訊、被動DNS紀錄、OSINT、Hash等。示範的流程展示了各種資料來源的使用,然而在實際的調查進行中,每一個來源,都可能衍伸更多的入侵指標,John必須要花更多在時間做深入研究。由於交叉比對、跳躍的瀏覽,每個來源分析至少要花費10-15分鐘的時間。


利用PassiveTotal來進行威脅調查

在了解到傳統的作業流程後,以下我們來看看John及他的團隊使用PassiveTotal,同樣的調查是如何進行。

同樣針對可疑IP:109[.]164[.]247[.]169。

1. 將IP輸入至PassiveTotal平台進行查找,John馬上可以得到整合了WHOIS和被動DNS資料的熱圖(Heapmap),將該IP於各時間點與Domain的關聯視覺化呈現出來。

2. 基於熱圖上不同時期的變化,John可以調整並收斂調查範圍。歷來解析的IP/Domain都在下方Resolutions分頁列表,John在同一個畫面即可快速瀏覽所有的紀錄,找尋蛛絲馬跡。

圖5. IP查詢-將過往複數的調查資訊來源整合於一體

3. 平台上的資訊皆可點及並直接查找,包含WHOIS中的Email、名稱、註冊電話…等。於此直接點擊Resolutions分頁上的結果,第一筆‘sap.misapor.ch’,即會自動執行對該Domain的查詢如下圖。

圖6.在RiskIQ PassiveTotal查詢DNS資料

PassiveTotal整合種類豐富的資料集,調查中常使用包括:

(1) WHOIS

(2) SSL Certificates

(3) Malware

(4) OSINT

(5) Trackers

整體來說,包含了被動DNS、WHOIS、SSL Certificates、Malware、OSINT、Trackers、Host Pairs、Web Components、DNS等。這些資料集的統整,使建構一個全面的調查研究變得相當快速,免除了多方收集資訊、整合零碎資訊所耗費的人力與時間。最終,僅需數分鐘即可完成調查流程。


PassiveTotal的使用者經驗

圖7. 資料顯示使用RiskIQ PassiveTotal的威脅分析師節省了可觀的時間

如上圖所示,使用PassiveTotal進行調查花費的時間被大幅減少。由於PassiveTotal整合不同的資料來源於單一平台甚至畫面,幫助分析師不再需要四處瀏覽或訂閱多種資訊來源。

圖8. 資料顯示RiskIQ PassiveTotal全面性的資料讓威脅分析師獲益良多

除了時間上的節省,資料的全面性也被眾多使用者認可,PassiveTotal能夠擁有全面的資料集,是基於RiskIQ獨家的技術-虛擬使用者(Virtual User)所爬找的大量資料。例如,Host Pairs資料集的產生是透過爬蟲尋找頁面架構,識別參考此頁面的來源、或是重新導向至其他網站。

提到Host pairs,其資料對調查波蘭銀行業的攻擊事件起了很大的作用,幫助確認了攻擊的起始點源於外部資源,惡意網域(sap.misapor.ch)透過iframe連結到了合法的波蘭銀行。

以下可以看到RiskIQ的爬蟲觀察到KNF網站透過iframe指向了兩個惡意URL:

[http]://sap.misapor.ch/vishop/view.jsp?pagenum=1

[https]://www.eye-watch.in/design/fancybox/Pnf.action

圖9. Host Pairs資料集能夠標示出iframes所指向外部來源

為威脅調查而存在的PassiveTotal

我們提及了Host Pairs帶來的幫助,另還有像Trackers的value值可協助我們做偽冒或釣魚網站的判斷;DNS紀錄提供多類型(MX, NS, TXT, SOA, and CNAME)紀錄以擴展鑑識的方向…等,PassiveTotal不斷擴展的資料集,幫助分析師勾勒出攻擊者的基礎設施(Infrastructure)。

平台更有監控的功能,資安團隊可以在DNS、網域解析、WHOIS註冊資訊、甚至是關鍵字,發生任何變化時即收到告警通知;完整的專案控管流程,讓團隊對事件快速建立協同作業。這一切功能的設計,就是要幫助分析師及團隊能夠高效、靈活的進行調查工作。

數位資安所獨家代理的數位威脅管理領導品牌-RiskIQ,提供​PassiveTotal平台協助用戶進行網路攻擊的鑑識分析​。

於RiskIQ官網可註冊社群版試用(https://www.passivetotal.org/),如需更多資訊、對平台有任何疑問,歡迎隨時聯繫數位資安。

Posted in 新聞 and tagged , , , , .