六年磨一劍，威脅獵人Karma4.0如何讓風(fēng)險(xiǎn)感知更快一步？
摘要： 黑產(chǎn)知識(shí)圖譜，讓Karma4.0在風(fēng)險(xiǎn)感知能力方面更勝一籌。
二戰(zhàn)時(shí)期，中途島海戰(zhàn)被稱為太平洋戰(zhàn)爭(zhēng)的轉(zhuǎn)折點(diǎn)。此次戰(zhàn)役美國(guó)成功戰(zhàn)勝日本，扭轉(zhuǎn)了珍珠港事件后的被動(dòng)局面，加速了二戰(zhàn)的終結(jié)。在這場(chǎng)戰(zhàn)役的背后，情報(bào)扮演了非同尋常的角色。
早在1937年，美國(guó)海軍就已經(jīng)在太平洋地區(qū)建立了無(wú)線電測(cè)向站，及時(shí)精準(zhǔn)地掌握了日本海軍艦船的海域和航線。在密電破譯上，美國(guó)海軍在戰(zhàn)前成功破譯出日軍準(zhǔn)備進(jìn)攻的目標(biāo)是中途島，并完全掌握了日軍的作戰(zhàn)目的、艦隊(duì)編成、攻擊時(shí)間等重要情報(bào)。
美國(guó)海軍將領(lǐng)普魯恩斯回憶說(shuō)：“中途島海戰(zhàn)的勝利，其主要原因首先在于得到了一流的情報(bào)。”
當(dāng)下，網(wǎng)絡(luò)科技快速發(fā)展，黑產(chǎn)及攻擊者逐漸規(guī)?；?、產(chǎn)業(yè)化和專業(yè)化。根據(jù)Check Point Research(CPR)發(fā)布的《2022年網(wǎng)絡(luò)攻擊趨勢(shì)》報(bào)告統(tǒng)計(jì)，與2021年相比，2022年全球網(wǎng)絡(luò)攻擊增加了38%，每個(gè)組織平均每周要遭受 1168 次攻擊。而RiskIQ發(fā)布的另一個(gè)調(diào)查顯示，2022年全球平均每分鐘有648次網(wǎng)絡(luò)攻擊，每次入侵成本是7.2美元，全年共造成損失可達(dá)25億美元。
與此同時(shí)，數(shù)字經(jīng)濟(jì)目前已成為我國(guó)經(jīng)濟(jì)發(fā)展戰(zhàn)略的支柱。為了迎合當(dāng)前數(shù)字經(jīng)濟(jì)時(shí)代背景下的市場(chǎng)環(huán)境，越來(lái)越多的企業(yè)開(kāi)始進(jìn)行數(shù)字化轉(zhuǎn)型。然而，在巨額利益的驅(qū)動(dòng)下，黑灰產(chǎn)業(yè)鏈在與各方對(duì)抗中不斷升級(jí)，企業(yè)業(yè)務(wù)安全正面臨巨大的挑戰(zhàn)。據(jù)中國(guó)信息通信研究院發(fā)布的《業(yè)務(wù)安全發(fā)展洞察報(bào)告》指出，數(shù)字化轉(zhuǎn)型企業(yè)面臨著數(shù)據(jù)泄露、釣魚仿冒、API攻擊等主要風(fēng)險(xiǎn)。業(yè)務(wù)的健康穩(wěn)定不僅是企業(yè)營(yíng)收的重要保障，亦是企業(yè)信譽(yù)以及生存發(fā)展的關(guān)鍵要素。
對(duì)此，不少專家表示，可利用風(fēng)險(xiǎn)情報(bào)來(lái)提高企業(yè)業(yè)務(wù)安全，開(kāi)拓主動(dòng)防御機(jī)制，保障業(yè)務(wù)順利開(kāi)展。實(shí)現(xiàn)企業(yè)業(yè)務(wù)安全有兩個(gè)重要指標(biāo)：風(fēng)險(xiǎn)平均檢測(cè)時(shí)間（MTTD）和風(fēng)險(xiǎn)平均響應(yīng)時(shí)間（MTTR），利用風(fēng)險(xiǎn)情報(bào)可以基于攻擊者的視角，預(yù)先了解風(fēng)險(xiǎn)和攻擊鏈路，從而降低這兩個(gè)指標(biāo)，提高企業(yè)應(yīng)對(duì)風(fēng)險(xiǎn)的及時(shí)性，降低企業(yè)業(yè)務(wù)風(fēng)險(xiǎn)。
風(fēng)險(xiǎn)情報(bào)聚焦于企業(yè)的業(yè)務(wù)安全場(chǎng)景，針對(duì)安全威脅、威脅者、惡意軟件、漏洞和危害指標(biāo)等多個(gè)維度進(jìn)行分析，對(duì)攻擊者和攻擊事件進(jìn)行畫像。組織可以結(jié)合自身業(yè)務(wù)情況和行業(yè)屬性等等，進(jìn)行針對(duì)性的檢測(cè)和防御。
但是，想要利用風(fēng)險(xiǎn)情報(bào)有三大主要難點(diǎn)：
■ 第一是情報(bào)源的穩(wěn)定性，網(wǎng)絡(luò)黑產(chǎn)的組織性和隱蔽性越來(lái)越強(qiáng)，想要長(zhǎng)期保持穩(wěn)定的情報(bào)源非常困難，同時(shí)，如何覆蓋當(dāng)下最主要的幾大業(yè)務(wù)風(fēng)險(xiǎn)場(chǎng)景也是一個(gè)挑戰(zhàn)。
■ 第二是情報(bào)的質(zhì)量，當(dāng)下風(fēng)險(xiǎn)情報(bào)最常見(jiàn)的形式是IoC失陷指標(biāo)，包含與惡意活動(dòng)相關(guān)的信息，例如IP地址、域名或文件哈希等，但它們的“保質(zhì)期”很短，因?yàn)楣羰侄蔚陌l(fā)展極快，這些情報(bào)信息通常需要和日志記錄的上下文相關(guān)聯(lián)，同時(shí)，大量的誤報(bào)也是處理情報(bào)信息的一大挑戰(zhàn)。
■ 第三是情報(bào)處置和落地，掌握情報(bào)只是第一步，還需要將其與實(shí)際業(yè)務(wù)場(chǎng)景相結(jié)合，挖掘出實(shí)際的解決策略，從而減少安全人員的運(yùn)維時(shí)間和精力。
面對(duì)以上問(wèn)題，專注于風(fēng)險(xiǎn)情報(bào)多年的安全廠商威脅獵人（前“永安在線”）提供了綜合性的解決方案。近日，威脅獵人發(fā)布了Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)4.0版本（下稱Karma4.0），此款產(chǎn)品通過(guò)聚焦5大風(fēng)險(xiǎn)場(chǎng)景和27類風(fēng)險(xiǎn)預(yù)警，實(shí)現(xiàn)風(fēng)險(xiǎn)“發(fā)現(xiàn)-預(yù)警-分析-處置”的閉環(huán)。同時(shí)，威脅獵人還首次公布了其處理情報(bào)的底層能力：黑產(chǎn)知識(shí)圖譜，讓Karma4.0在風(fēng)險(xiǎn)感知能力方面更勝一籌。
安在特別采訪了威脅獵人的COO兼風(fēng)險(xiǎn)情報(bào)平臺(tái)業(yè)務(wù)負(fù)責(zé)人邵付東，以情報(bào)的視角深入剖析企業(yè)應(yīng)該如何利用風(fēng)險(xiǎn)情報(bào)來(lái)保障業(yè)務(wù)安全，解決安全風(fēng)險(xiǎn)。
Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)最早發(fā)布于2017年，適時(shí)，威脅獵人的創(chuàng)始人希望從情報(bào)出發(fā)，從攻擊者視角挖掘企業(yè)安全問(wèn)題。圍繞著不斷變化的網(wǎng)絡(luò)安全環(huán)境，威脅獵人基于多年情報(bào)能力的提升與情報(bào)源數(shù)據(jù)的積累，對(duì)Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)進(jìn)行不斷地迭代和升級(jí)，并最終推出了Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)4.0版本。
據(jù)邵付東介紹，此次Karma4.0版本的升級(jí)主要圍繞著上述的三大難點(diǎn)。
在情報(bào)源方面，Karma4.0通過(guò)技術(shù)的升級(jí)，對(duì)當(dāng)下最主要的幾種業(yè)務(wù)風(fēng)險(xiǎn)場(chǎng)景，針對(duì)性地提煉出“數(shù)據(jù)泄露”、“API攻擊”、“釣魚仿冒”、“業(yè)務(wù)攻擊”和“賬號(hào)風(fēng)險(xiǎn)”5大常見(jiàn)風(fēng)險(xiǎn)場(chǎng)景的處置和解決方案。
在數(shù)據(jù)泄露場(chǎng)景中，Karma4.0通過(guò)暗網(wǎng)、代碼托管平臺(tái)、代理蜜罐以及文庫(kù)網(wǎng)盤等多個(gè)渠道全面覆蓋數(shù)據(jù)泄漏渠道，并通過(guò)數(shù)據(jù)泄露預(yù)警、文檔&代碼下架、數(shù)據(jù)代買&溯源等方式應(yīng)對(duì)和解決企業(yè)數(shù)據(jù)泄露問(wèn)題，實(shí)現(xiàn)風(fēng)險(xiǎn)處置閉環(huán)。
在釣魚仿冒場(chǎng)景中，Karma4.0通過(guò)對(duì)Fofa、Shodan、pDNS、whois、黑產(chǎn)群聊、網(wǎng)站備案、搜索引擎等多個(gè)情報(bào)源進(jìn)行梳理，對(duì)仿冒網(wǎng)站、仿冒APP等提前預(yù)警和及時(shí)感知，并通過(guò)社交軟件、瀏覽器、手機(jī)管家等對(duì)仿冒網(wǎng)站、APP進(jìn)行及時(shí)攔截，防止其大規(guī)模擴(kuò)散。
在API攻擊場(chǎng)景中，Karma4.0通過(guò)威脅獵人獨(dú)有的代理蜜罐技術(shù)能夠感知未知被攻擊的API以及掌握攻擊者構(gòu)造的攻擊特征等方式，持續(xù)監(jiān)測(cè)被攻擊的API，實(shí)現(xiàn)及早防御。與此同時(shí)，Karma4.0還會(huì)通過(guò)對(duì)蜜罐獲得真實(shí)攻擊IP以及對(duì)攻擊工具的作者信息進(jìn)行溯源的方式，對(duì)攻擊源頭進(jìn)行溯源分析，避免API攻擊的二次發(fā)生。
與此同時(shí)，為了能夠捕獲和覆蓋更多的攻擊情報(bào)，Karma4.0從攻擊全鏈路出發(fā)，長(zhǎng)期且深入地對(duì)黑灰產(chǎn)業(yè)鏈進(jìn)行全面布控，實(shí)時(shí)捕獲最新攻擊數(shù)據(jù)，以確保情報(bào)源覆蓋更全、更新更快。
在全鏈路的情報(bào)源中，Karma4.0基于代理蜜罐及攻擊工具的情報(bào)源，可以提早感知攻擊，清晰感知到攻擊者是對(duì)什么API通過(guò)什么攻擊手法來(lái)進(jìn)行的攻擊，從而還原攻擊路徑，實(shí)現(xiàn)溯源。據(jù)了解，Karma4.0每月可捕獲15W+被攻擊的API、3W+攻擊工具樣本等。
在情報(bào)質(zhì)量方面，Karma4.0在海量情報(bào)數(shù)據(jù)上圍繞黑產(chǎn)資源、傳播、交易等多個(gè)維度的基礎(chǔ)上構(gòu)建黑產(chǎn)知識(shí)圖譜。黑產(chǎn)知識(shí)圖譜是此次Karma4.0升級(jí)的核心，也是解決風(fēng)險(xiǎn)情報(bào)質(zhì)量的關(guān)鍵。
Karma4.0基于全鏈路的情報(bào)源及多年的情報(bào)數(shù)據(jù)積累，利用黑產(chǎn)知識(shí)圖譜的圖模型算法，對(duì)攻擊全鏈路（攻擊者在什么社群、使用了哪些工具、通過(guò)什么攻擊要素、做出怎樣的攻擊行為）進(jìn)行刻畫，從而更快更準(zhǔn)地發(fā)現(xiàn)新的攻擊風(fēng)險(xiǎn)。
在情報(bào)落地和服務(wù)方面，Karma4.0提供了專業(yè)的安全服務(wù)，其中包括：攻擊工具分析；仿冒網(wǎng)站攔截；仿冒網(wǎng)站關(guān)停；仿冒電話攔截；泄漏代碼下架；網(wǎng)盤、文庫(kù)泄漏文檔下架等等。最終實(shí)現(xiàn)“發(fā)現(xiàn)-預(yù)警-分析-處置”這一閉環(huán)，最大程度保障企業(yè)業(yè)務(wù)安全。
在用戶體驗(yàn)方面，Karma4.0風(fēng)險(xiǎn)情報(bào)平臺(tái)無(wú)論是從界面展示還是操作上都有較大的提升。首先，平臺(tái)界面設(shè)計(jì)很清爽，五大場(chǎng)景的風(fēng)險(xiǎn)預(yù)警、搜索功能及行業(yè)報(bào)告所在位置十分醒目。通過(guò)“搜索”功能可以快速查詢IP、手機(jī)號(hào)、郵箱等攻擊資源及攻擊工具的風(fēng)險(xiǎn)詳情。
注：圖為威脅獵人Karma4.0風(fēng)險(xiǎn)情報(bào)平臺(tái)頁(yè)面
當(dāng)出現(xiàn)風(fēng)險(xiǎn)預(yù)警時(shí)，可以點(diǎn)擊查看到代表性風(fēng)險(xiǎn)事件及其詳細(xì)描述，直觀地了解風(fēng)險(xiǎn)事件的發(fā)生時(shí)間、攻擊行為/趨勢(shì)、風(fēng)險(xiǎn)細(xì)節(jié)等情報(bào)信息。
注：Karma4.0捕獲的數(shù)據(jù)泄露事件詳情
注：Karma4.0捕獲的API攻擊事件詳情
處理完風(fēng)險(xiǎn)事件后，通過(guò)及時(shí)了解最新攻擊工具分析、行業(yè)風(fēng)險(xiǎn)態(tài)勢(shì)分析等一系列安全報(bào)告，對(duì)風(fēng)險(xiǎn)事件進(jìn)行追蹤溯源，從而及時(shí)感知和防御更多風(fēng)險(xiǎn)。
注：Karma4.0安全分析報(bào)告詳情頁(yè)
從安全運(yùn)營(yíng)的角度來(lái)說(shuō)，Karma4.0使用體驗(yàn)十分流暢，此次全新升級(jí)解決了業(yè)務(wù)安全場(chǎng)景下攻防不對(duì)等的問(wèn)題，大大提升了安全運(yùn)營(yíng)效率，真正基于情報(bào)實(shí)現(xiàn)風(fēng)險(xiǎn)“發(fā)現(xiàn)-預(yù)警-分析-處置”的閉環(huán)。
綜上所述，Karma4.0已經(jīng)足以應(yīng)對(duì)大多數(shù)常見(jiàn)的業(yè)務(wù)場(chǎng)景和風(fēng)險(xiǎn)，但邵付東認(rèn)為，這還遠(yuǎn)遠(yuǎn)不夠。
目前，中國(guó)已經(jīng)進(jìn)入全行業(yè)的數(shù)字化、智能化以及云化轉(zhuǎn)型，"互聯(lián)網(wǎng)+"、"智能+"、"5G 戰(zhàn)略"等，正在推動(dòng)大數(shù)據(jù)、云計(jì)算、工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)廣泛應(yīng)用和發(fā)展，企業(yè)信息安全模式正在從傳統(tǒng)的圍墻式、補(bǔ)丁式、形式合規(guī)式的業(yè)態(tài)，進(jìn)入多元化發(fā)展期。
在轉(zhuǎn)折關(guān)鍵期的當(dāng)下，如何將自身技術(shù)以產(chǎn)品化、服務(wù)化的方式交接給用戶，如何擁有高效全面的應(yīng)急響應(yīng)能力、更強(qiáng)的實(shí)戰(zhàn)化效果，是很多安全廠商面臨的關(guān)鍵挑戰(zhàn)。特別是以風(fēng)險(xiǎn)情報(bào)為核心的廠商，相對(duì)于其他安全技術(shù)而言，在當(dāng)下風(fēng)險(xiǎn)情報(bào)雖然對(duì)于以事件驅(qū)動(dòng)為主的企業(yè)信息安全建設(shè)來(lái)說(shuō)更加重要，但是它對(duì)于廠商的要求也更高。風(fēng)險(xiǎn)情報(bào)既要求廠商擁有長(zhǎng)期挖掘和發(fā)現(xiàn)情報(bào)的技術(shù)和經(jīng)驗(yàn)，又要求其能夠推動(dòng)產(chǎn)品化和服務(wù)化。
幸運(yùn)的是，我國(guó)目前已經(jīng)擁有很多以情報(bào)為核心的廠商，威脅獵人正是其中的之一。邵付東表示，將風(fēng)險(xiǎn)能力產(chǎn)品化和服務(wù)化是當(dāng)下威脅獵人的重點(diǎn)，也是未來(lái)探索的主要方向。
目前，威脅獵人借助Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)，進(jìn)一步挖掘風(fēng)險(xiǎn)情報(bào)與場(chǎng)景的適配，并基于全面、實(shí)時(shí)、精準(zhǔn)的情報(bào)能力形成標(biāo)準(zhǔn)化的產(chǎn)品，在不斷開(kāi)拓產(chǎn)品力的同時(shí)，進(jìn)一步開(kāi)拓情報(bào)市場(chǎng)。
同時(shí)，威脅獵人通過(guò)對(duì)用戶實(shí)踐的反饋，正在持續(xù)推動(dòng)情報(bào)服務(wù)能力。據(jù)了解，目前Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)為互聯(lián)網(wǎng)、金融、電商等行業(yè)300余家企業(yè)提供服務(wù)，覆蓋國(guó)內(nèi)85%頭部互聯(lián)網(wǎng)企業(yè)，獲得了行業(yè)用戶的信賴和好評(píng)。
邵付東表示，威脅獵人Karma4.0在上述這些方面還會(huì)繼續(xù)探索，Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)的下一個(gè)目標(biāo)依然是借助情報(bào)向用戶輸出更多產(chǎn)品和服務(wù)。在情報(bào)源不斷更新變化的當(dāng)下，威脅獵人始終聚焦情報(bào)能力的提升，并將其落地于企業(yè)業(yè)務(wù)安全的主要場(chǎng)景中。這種堅(jiān)定守護(hù)業(yè)務(wù)安全的初心，以及持續(xù)解決用戶需求的決心，是威脅獵人將Karma風(fēng)險(xiǎn)情報(bào)平臺(tái)不斷推陳出新的底氣和實(shí)力。接下來(lái)，Karma4.0會(huì)進(jìn)一步聚焦情報(bào)，提高產(chǎn)品力和服務(wù)力，為用戶和業(yè)界提供更具價(jià)值的風(fēng)險(xiǎn)識(shí)別和處置能力。
當(dāng)下，黑產(chǎn)和企業(yè)安全團(tuán)隊(duì)所形成的攻強(qiáng)守弱態(tài)勢(shì)依然存在，受制于資源、技術(shù)、能力等多方面的限制，單憑企業(yè)安全團(tuán)隊(duì)很難真正對(duì)抗黑產(chǎn)。盡管如此，無(wú)論是安全廠商還是甲方企業(yè)，都沒(méi)有放棄改變這一態(tài)勢(shì)的目標(biāo)和決心。
對(duì)此，邵付東對(duì)那些想要扭轉(zhuǎn)攻防局面的企業(yè)和安全從業(yè)者建議，不同行業(yè)、不同企業(yè)、不同領(lǐng)域、不同體量對(duì)于攻防轉(zhuǎn)換的要求、目標(biāo)、結(jié)果都不相同，但只要利用情報(bào)那一刻，你就在不斷變化的攻防形勢(shì)中掌握了主動(dòng)權(quán)。
此次Karma4.0的升級(jí)會(huì)讓更多組織和個(gè)人意識(shí)到風(fēng)險(xiǎn)情報(bào)的重要性。相信未來(lái)會(huì)有更多的企業(yè)關(guān)注和利用風(fēng)險(xiǎn)情報(bào)，也相信威脅獵人能夠繼續(xù)堅(jiān)持對(duì)風(fēng)險(xiǎn)情報(bào)的探索和梳理，轉(zhuǎn)化出更優(yōu)質(zhì)的產(chǎn)品和更完善的服務(wù)，為各行各業(yè)的數(shù)字化轉(zhuǎn)型助一臂之力。
