ASRC 2018 威胁情报专项收集计划

阅读量    22433 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

上报地址:https://security.alibaba.com/(请注明来自安全客)

 

计划简介

威胁情报已不是一项新的事物,它不像漏洞那样纯技术,更加丰富多彩。ASRC于2015年9月推出《阿里巴巴集团威胁情报定级标准V2.0》,自发布以来收到了来自上百名白帽的上千条情报,我们也发出了数十万的奖励。
2018年,我们希望能更聚焦、更专注于业务关注的痛点情报,故发布《2018威胁情报专项收集计划》,相关情报我们会同比有更强的意愿接收及给出更好的奖励。
当然其他类型的各类情报也还是正常收集。

 

活动时间

2018年6月6日 – 2019年3月31日

 

活动地址

上报地址:https://security.alibaba.com/(请注明来自安全客)

定级标准:https://security.alibaba.com/announcement/announcement?id=80

 

主办方

阿里安全响应中心

 

范围

以下情报范围均为阿里系相关情报
1.数据情报
外部在大量收集我们会员或交易数据的各类平台、工具及人的情报,如批量爬取手机号、会员信息等。

2.黄牛相关
黄牛软件:软件保证可用,可下载,需要提供可抢购成功的证据,需要提供软件账号。非淘系抢购软件不接收。
黄牛软件作者及总代理:提供黄牛软件作者和总代理的QQ等存在可联系的方式数据。
黄牛技术:被证明能用于突破阿里系黄牛防控的技术或者手法。

不接收的范围:
黄牛软件使用者:如单个发现某人使用黄牛软件抢购。
黄牛软件小代理:如普通的黄牛软件二级分销商,普通卖家等。
黄牛抢购情报:发现黄牛的抢购目标之类的,或者查询抢购清单类的,当前暂不关注。
非黄牛软件情报:使用批量付款工具的行为不属于黄牛产业链,当前暂不关注。

3.评价相关
阿里系商品评价:能通过技术手段或其他手段影响评价体系的工具、手法等,需要有相关例子作为证明。

4.手机接码相关
接码软件:软件保证可用可下载(最好上传网盘),软件功能保证可取号、可取短信即可,视频也可作为证明。
接码平台:保证可访问可取号
寄售平台上的手机接码相关情报:如来自一些寄售平台上在出售的手机接码链接或软件(大多为低危)
拉新薅羊毛方法:包括但不限于IP、设备等绕过方法类情报。

5.钓鱼相关
大型钓鱼站点后台地址:通过欺诈、网络劫持、seo等多种方式吸引了大量流量的钓鱼后台,积累了大量买家数据的,可以直接将相关后台进行举报,需要证明后台有大量数据,也可以提供相关证明方式。
大型钓鱼站点后台源码:市面上较为通用的钓鱼网站源码

6.搜索相关
能提高淘系平台商品或店铺的搜索权重、排名等数据的软件工具、技术手法、网站平台,需要保证软件、网站平台的可用性,手法类需要有证明可行的证据,包括但不限于截图、视频等。如卡位升排名卡首屏类软件、工具、平台。

基于按键精灵类的模拟点击软件或手法不要。

以上情报定级规则:
除寄售平台上的手机接码相关情报大多是低危情报外,其他类型情报一经确认危害最低为中危,具体视相关软件的使用量、涉及资金量、影响面而定。
重复上报的技术、软件、平台等情报将被驳回,软件请上传到网盘后附上链接,软件和平台需要可用、可访问。

 

无效情报

无效情报是指错误、无意义或根据现有信息无法调查利用的威胁情报,例如:
上报虚假捏造或人为制造情报信息的;
上报可能刷单、炒信的QQ群号,且未提供其他有效信息的;
通过社工等手段诱导客服进行相关操作的;
上报已发现或失效情报的。

 

评分标准通用原则

  1. 评分标准仅适用于可威胁到阿里巴巴集团产品和业务相关的情报。与阿里巴巴集团完全无关的情报,不计贡献值;
  2. 由于情报分析调查的时间较长,因此确认周期相比漏洞的时长较长;
  3. 由于情报的时效性,报告已知或已失效的情报不计分;
  4. 同一情报,首位报告者计贡献值,其他报告者均不计;
  5. 涉及到与阿里巴巴安全的情报,在情报未处理完成前公开的,不计分;
  6. 非核心业务的情报等级将结合情报影响程度作降级判定;
  7. 人为自行制造安全威胁或安全事件情报的不计分,同时阿里巴巴将保留采取进一步法律行动的权利。

本活动自2018年6月8日起执行,ASRC负责本活动的解释和更新。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多