白帽匯的創(chuàng)始人劉宇：如何用大數(shù)據(jù)做威脅情報？
劉宇 | 2016-07-13 09:40
【數(shù)據(jù)猿導讀】 威脅情報，不止是大企業(yè)需要，對于企業(yè)里的員工，使用企業(yè)服務的客戶都需要威脅情報。白帽匯的創(chuàng)始人劉宇表示，收集到一堆的數(shù)據(jù)，對企業(yè)來說無任何意義。威脅情報里有一個重要的情報來源就是對于安全大數(shù)據(jù)的分析，一大堆數(shù)據(jù)不能算情報
大數(shù)據(jù)、威脅情報，這兩個詞匯聽起來非常性感。在我們的想象中，掌握大數(shù)據(jù)的人就像先知和上帝，俯視我們所不能完全理解的事態(tài)，精準地預言我們將要面臨的危機。然而，對于大數(shù)據(jù)的利用是非?？简灩α图记傻摹：芏鄬W藝不精的團隊稍不留神就可能把威脅情報搞成“擺攤算卦”。
像黑客一樣去思考，就是他們的自我要求，今天就請劉宇來聊聊白帽匯在真槍實彈的對抗中，究竟如何把大數(shù)據(jù)究竟轉(zhuǎn)化成有用的威脅情報。
劉宇，白帽匯聯(lián)合創(chuàng)始人。2004年畢業(yè)于湖南大學計算機通信學院。擁有微軟MCSEC,MCDBA,MCP證書，從事信息安全行業(yè)7年。2009年與趙武(zwell)一起成立諾賽科技，負責穿山甲，竭思，億思的銷售與推廣。億思是全球第一款在線Web應用安全掃描平臺，2011年擁有幾萬企業(yè)用戶。2015年，作為聯(lián)合創(chuàng)始人創(chuàng)立白帽匯。
白帽匯究竟是神馬?
Q：白帽匯是什么意思呢?和大數(shù)據(jù)威脅情報有什么關(guān)系呢?
白帽匯，顧名思義，是白帽子匯聚。
我們覺得白帽子和企業(yè)是相互服務的關(guān)系：
我們的NOSEC大數(shù)據(jù)平臺上的情報可以幫助白帽子更好地挖掘漏洞;
同時白帽子提交威脅情報到NOSEC，這些威脅情報為企業(yè)信息安全提升而服務。
這就是我們“匯”字的含義。
有關(guān)威脅情報的一切
Q：威脅情報是怎么出現(xiàn)的?
安全由一個公司來完成，這在很早期，還沒有互聯(lián)網(wǎng)公司前是可行的。你的安全，用一個殺毒軟件就可以搞定。比如：國內(nèi)的瑞星、江民、金山，國外的諾頓、卡巴斯基、小紅傘、Avast 等等。到了現(xiàn)在，技術(shù)的發(fā)展這么迅猛。安全，尤其是企業(yè)安全就不再是殺毒軟件就足夠的事情了。
講最直白的例子：
十年前阿里巴巴還沒有正規(guī)的安全團隊，你和淘寶說：有人刷單。人家保準罵“你有病”，而現(xiàn)在，阿里巴巴的安全團隊明確將“有人刷單，某個人提供刷單服務”當成威脅情報，并且還會獎勵情報提供者金錢。
從殺毒軟件，到現(xiàn)在“威脅情報”，這種變化是沒人可以預計的，都是隨著業(yè)務發(fā)展，技術(shù)變化，慢慢養(yǎng)成的安全需求。
【白帽子提交的威脅情報/ 圖片由 NOSEC 平臺提供】
Q：什么是威脅情報呢?不用會死嗎?
SANS 研究院對威脅情報的定義是： 針對安全威脅、威脅者、利用、惡意軟件、漏洞和危害指標、所收集的用于評估的應用的數(shù)據(jù)集。
幾年前，我們將漏洞看做唯一的威脅信息安全的途徑，而實際威脅企業(yè)的太多方面，漏洞只是其一。還有比如：釣魚郵件，員工的個人信息，密碼習慣等等。根據(jù)我們的調(diào)研，目前許多的漏洞非直接來源于IT資產(chǎn)的漏洞，而是企業(yè)員工個人信息等。通過員工與企業(yè)相關(guān)的郵箱，OA，VPN賬戶入侵，再入侵到企業(yè)服務器。
威脅情報還有一個相關(guān)的詞——社會工程學。也是到目前為止，全球最牛的安全人員——凱文·米特尼克使用的最重要手段。他不是挖漏洞的高手，但是是社會工程學方面，他是最牛的人。他每天去撿廢紙，通過這些企業(yè)倒出的廢紙，黑掉那些企業(yè)。
所以，毫不夸張地說，社會工程學可以獲得企業(yè)的很多機密情報，比如：打電話欺詐獲得root密碼，通過釣魚郵件獲得員工帳號密碼等等。
威脅不只是漏洞，還有企業(yè)泄露的人員通訊錄;企業(yè)上傳到網(wǎng)盤的記事本;企業(yè)的一段代碼，甚至是垃圾堆里的廢紙。所有的一切威脅企業(yè)信息安全的都是威脅情報。
Q：是否能舉一些例子，講講真實世界的威脅情報究竟是什么樣子的?
企業(yè)最希望了解外面的攻擊者在干什么。
哪些人?
什么目的?
針對我的哪些業(yè)務?
做了什么?
還想做什么?
這些都是威脅情報提供的。
比如前段時間，我們發(fā)現(xiàn)了當當和小米的訂單數(shù)據(jù)泄露。這個不是漏洞，而是一個信息安全事件后的數(shù)據(jù)泄露。我們第一時間告訴當當和小米。這個事情發(fā)生了，他們了解到這個事件，首先要做的是保護用戶，通知用戶保護自己帳號，提醒可能的電話詐騙等等。然后再尋找自己的信息安全問題。當然我們也會告訴當當和小米，你有哪些漏洞可能導致數(shù)據(jù)泄露。
【小米用戶收件人地址和電話信息泄露/ 圖片來自 NOSEC】
Q：誰需要威脅情報呢?
以我們?yōu)槔?，白帽匯的威脅情報得到新浪、小米、當當、華為等互聯(lián)網(wǎng)公司的重視。還有BAT的漏洞，這些都是經(jīng)過我們團隊驗證的。
但是需要威脅情報的遠遠不止這些大企業(yè)。 對于企業(yè)里的員工，使用企業(yè)服務的客戶，在聽我說話的每一個人，也需要威脅情報。比如之前發(fā)生的CSDN信息泄露，攜程信息泄露，網(wǎng)易郵箱信息泄露。這些都讓每一個在互聯(lián)網(wǎng)混超過幾年的人都非常緊張，趕緊去改密碼，趕緊查自己的開房數(shù)據(jù)有沒有泄露。其實，我想告訴所有人一個事實，你只要使用了互聯(lián)網(wǎng)，你的信息就很可能被泄露了。
想想你用的哪一個APP不是問你要通訊錄讀取權(quán)限，有的輸入法申請的權(quán)限跟殺毒軟件的權(quán)限一樣，你不裝又不方便。所有程序把我們的通訊錄，短信，系統(tǒng)設(shè)置權(quán)限統(tǒng)統(tǒng)拿走。以至于當我們收到釣魚短信，裝惡意App時，毫無警覺得就裝上了。因為這些惡意App和常見的App權(quán)限是一樣的。
此時，一定會有人笑我，講了太多App行業(yè)的內(nèi)幕。實際上造成這些現(xiàn)象的內(nèi)幕是，用戶根本不懂得保護自己隱私，企業(yè)想要你的一切信息，連女性的生理期都想要。(哈哈笑)
總結(jié)一下：
企業(yè)可以關(guān)注威脅情報，提升企業(yè)的信息安全
個人可以關(guān)注威脅情報，對保護自己隱私有幫助。
大數(shù)據(jù)怎么玩?
Q：怎么用大數(shù)據(jù)做威脅情報呢?
收集到一堆的數(shù)據(jù)，對企業(yè)來說無任何意義。威脅情報里有一個重要的情報來源就是對于安全大數(shù)據(jù)的分析，一大堆數(shù)據(jù)不能算情報。
我們NOSEC大數(shù)據(jù)平臺有幾塊。企業(yè)IT資產(chǎn)透視、全球網(wǎng)站檢索、NOSEC威脅情報。除此以外，還有：子域名庫，URL庫，Emai地址庫，全球網(wǎng)站指紋庫，這些都是花了許多精力積累起來的，不斷更新。
Q：這么多種類的大數(shù)據(jù)，有哪些是構(gòu)成威脅情報不可或缺的呢?
有很多，我可以舉兩個例子。
企業(yè) IT 資產(chǎn)透視
很多企業(yè)不了解自己資產(chǎn)。例如有多少服務器，多少IP，每個服務器跑啥業(yè)務。他們想搞清楚，但是一直沒能搞清楚。有個巨大的公司告訴我們：前段時間他們發(fā)現(xiàn)1個 1Day 漏洞，想給自己的服務器打補丁。但是這個過程非常緩慢，打了三天才終于把所有服務器打完。
這時候肯定有人會問：為什么打個補丁要這么長時間呢?把全部服務器找出來，一并打了不得了?
原因就在于他們對自己的資產(chǎn)并不熟悉。這也是我們在做的事情，讓企業(yè)了解和掌握自己的資產(chǎn)，對每個資產(chǎn)打標簽，檢索出企業(yè)泄露的員工信息。這種情況下，企業(yè) IT 資產(chǎn)的數(shù)據(jù)就變得非常有用，它可以為企業(yè)防患安全風險，遇到風險也可以及時補救。
全球網(wǎng)站檢索
安全行業(yè)的朋友知道 Shodan(撒旦)，這是一個全球的服務器端口指紋系統(tǒng)。它可以識別這個端口跑的是Http，還是 Mysql，還可以進一步知道是什么版本。
我們做了一個『全球網(wǎng)站檢索』，只針對 Http協(xié)議、Web 應用層。把全球的web服務指紋收集起來。這樣就能標識出一個網(wǎng)站在哪個端口，使用哪一種 Web Server，哪種編程語言，哪種開源框架(如：CMS等)。通過這些功能，可以找到全球在線的 Squid 代理服務器;全球有哪些網(wǎng)站使用了 Jquery;全球有哪些在線H3C路由器;哪些網(wǎng)站使用了GeoTrust證書;哪些網(wǎng)站掛了某一種木馬;哪些網(wǎng)站使用了CloudFlare的 CDN 等等。
這些大數(shù)據(jù)，對于探測企業(yè)面臨哪些威脅，都是必不可少的。
【全球網(wǎng)站檢索/ 圖片來自 NOSEC 平臺】
我拿到了威脅情報，然后呢?
Q：企業(yè)拿到威脅情報之后，有哪些應對的措施呢?
這個根據(jù)情報的不同類型，需要采取不同的措施。
泄漏事件：企業(yè)需要第一時間知道發(fā)生數(shù)據(jù)泄露事件。比如當當和小米的訂單泄露事件。我們通知給受害企業(yè)，企業(yè)第一時間準備公關(guān)，查漏補缺。
漏洞威脅：對于漏洞等威脅情報，提交給客戶，他們收到后，可以修復漏洞。 我們還會將一些著名的黑客團隊習慣的攻擊手法，打標簽，讓企業(yè)對頂級的黑客團隊有所掌握，首先防患。
Github代碼泄露：還有部分github的數(shù)據(jù)泄露事件，包含企業(yè)的服務器ip，帳號和密碼，這些威脅情報企業(yè)得知可以改密碼，換服務器等等。
總之，威脅情報，是企業(yè)知己知彼的一個重要途徑，關(guān)起門來做信息安全，是與時代背離的。技術(shù)每天變化，威脅情報能讓企業(yè)信息與黑客信息同步，為信息安全建設(shè)提供巨大幫助。而且隨著技術(shù)的發(fā)展，威脅情報能夠提供的幫助，會越來越強大，甚至超過我們的想象。
來源：硬創(chuàng)公開課
刷新相關(guān)文章
我要評論
活動推薦more >
- 2018 上海國際大數(shù)據(jù)產(chǎn)業(yè)高2018-12-03
- 2018上海國際計算機網(wǎng)絡及信2018-12-03
- 中國國際信息通信展覽會將于2018-09-26
- 第五屆FEA消費金融國際峰會62018-06-21
- 第五屆FEA消費金融國際峰會2018-06-21
- “無界區(qū)塊鏈技術(shù)峰會2018”2018-06-14
不容錯過的資訊
-
1#后疫情時代的新思考#疫情之下，關(guān)于醫(yī)
-
2眾盟科技獲ADMIC 2020金粲獎“年度汽車
-
3數(shù)據(jù)智能 無限未來—2020世界人工智能大
-
4#2020非凡大賞：數(shù)字化風起云涌時，共尋
-
5#榜樣的力量#天璣數(shù)據(jù)大腦疫情風險感知
-
6#榜樣的力量#內(nèi)蒙古自治區(qū)互聯(lián)網(wǎng)醫(yī)療服
-
7#榜樣的力量#實時新型肺炎疫情數(shù)據(jù)小程
-
8#榜樣的力量#華佗疫情防控平臺丨數(shù)據(jù)猿
-
9#后疫情時代的新思考#構(gòu)建工業(yè)互聯(lián)網(wǎng)新
-
102020可信云大會丨《云MSP發(fā)展白皮書》重
