让所有安全平台支持情报分析

阅读量    342946 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

笔者是一名乙方安全运营的蓝队分析师,每天要分析不同厂家甚至不同时期的安全产品告警,传统的安全产品往往不具备情报功能,公司采购了商业版的SIEMS,也不具备情报功能。而我在分析告警时,由于缺少其它证据的佐证,不能立即定性,需要情报来辅助确定。

威胁情报(IOC)是个好东西,但是准确率往往差强人意,单独使用效果不佳。如果与其它威胁检测方法(例如安全设备通过规则、算法产出的告警)配合使用,可大幅提升准确率。

因此我们开发了一款Chromium扩展——星维·蓝队分析师助手(以下简称蓝队助手)。不管安全产品的后台有无IOC分析功能,只要使用安装有蓝队助手的浏览器访问时,都可以让它具备基础的IOC功能。蓝队助手会将网页中的告警与情报自动碰撞,提醒你哪些是要优先处理的,或者帮助你去。

 

一键查询IOC平台

蓝队助手可以帮助分析师一键查询各类第三方的IOC平台,再也不需要用复制粘贴的方式去IOC平台去查询。

当分析师使用鼠标,用拖曳的方式选择网页中的IP或者Domain的时候,在鼠标旁边会出现一个写着“查情报:xxxx”的按钮,点击按钮,会自动打开第三方的IOC平台自动查询刚才选择的内容,无需人工选择IOC类型,程序会自动识别输入数据的类型并选择合适的查询方式,整个过程一键查询,非常方便。

如果选择一段普通的文本,则不会出现这个按钮,因此本插件不会影响日常使用。

目前“蓝队助手”支持8个平台的一键查询,包括4个威胁情报平台(微步在线、360威胁情报中心、VirusTotal、绿盟威胁情报中心),2个网络空间搜索引擎(ZoomEye、FOFA),以及2个基础信息查询平台(查询旁站和Whois信息)。选择相应的平台,即可进行一键查询。

很多安全公司购买了商业版情报,或者自己搭建了一套IOC平台。对于这类私有IOC平台,“蓝队助手”同样支持。但有一个前提条件,情报平台需支持GET传参的方式进行查询。

在扩展中选择自定义,按如下方式进行配置:

https://www.your_corp_ioc.com/s?ip_ioc={IP}

https://www.your_corp_ioc.com/s?domain_ioc={DOMAIN}

意思是当用户选择的是IP,查询的URL是https://www.your_corp_ioc.com/s?ip_ioc={IP}

({IP}会自动已换成用户选择的域名内容)。同样的,当用户选择了域名,查询的URL是https://www.your_corp_ioc.com/s?domain_ioc={DOMAIN} ({DOMAIN}会自动已换成用户选择域名内容)

 

离线情报的使用

离线情报碰撞

很多蓝队的分析环境是严格的内外网隔离的,而且有些客户非常介意把内部的IP/Domain发送至互联网的第三方,因此无法使用线上的情报平台。

为解决这个问题,“蓝队助手”支持先把情报更新到本地浏览器,然后再进行使用,使用过程中不会向互联网发送任何数据,这样蓝队可以在离线、敏感的环境中进行使用。

使用时,“蓝队助手”会遍历网页中的每一段文本,使用正则提取其中的IP/Domain,与本地情报进行碰撞,碰撞成功后标红加粗显示。如图。

离线情报的制作

小助手默认使用的是星维九州官方提供的一份开源情报,我们会不定期的对这份情报进行更新和维护:

https://starso.oss-cn-beijing.aliyuncs.com/starso_opensource_ioc.txt

您也可以使用自定义的情报,不过需要按照一定的算法生成情报文件,小助手才可以使用。

具体方式为:将情报标记的IP和domain进行MD5计算, 只取前7位。这种算法不仅可以保证情报的安全(防止剽窃明文),又可以对情报进行压缩。算法如下:

ioc_hash=md5(ioc_text)[0:7]

然后将ioc_hash一行一个保存在文本文件中,格式如图:

将这份情报文件放置于Web目录下,在小助手中的“情报更新地址”中填写该情报文件的URL即可:

点击保存按钮后即可更新情报至本地,整个更新过程是异步进行,不管你的情报文件有多大,更新会在点击保存按钮后3-5分钟更新至浏览器本地,更新成功后没有提示。

本地情报存储使用的是浏览器提供的indexedDB,这是一个key-value型的数据库,类似于redis,执行效率较高,不会引起卡顿。

 

安装

在线安装

我曾把它上传至Chrome市场,但由于小助手使用的权限较高(需要在每个网页的上下文中执行扩展的js),审核较为繁琐,于是作罢。国产浏览器审核较为宽松,可通过360极速浏览器的市场,搜索关键字“星维”,进行安装。

本地安装

我们对本项目进行了开源,可通过github下载源文件:

git clone https://github.com/starso-sec/BlueTeamHelper.git

打开浏览器的扩展中心(或直接在地址栏输入:chrome://extensions/),打开“开发者模式”,点击“加载已解压的扩展”,选择上述命令下载的文件夹(名为BlueTeamHelper)即可。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多