捕風(fēng)蜜罐情報(bào)生產(chǎn)實(shí)踐

捕風(fēng)蜜罐情報(bào)生產(chǎn)實(shí)踐天情報(bào)響應(yīng)中心-欺騙防御產(chǎn)品部01為什么需要蜜罐生產(chǎn)情報(bào)02蜜罐產(chǎn)生情報(bào)的方法03蜜罐生產(chǎn)情報(bào)實(shí)戰(zhàn)案例04情報(bào)消費(fèi)協(xié)同0101為什么需要蜜罐生產(chǎn)情報(bào)?CVE數(shù)據(jù)顯示，總體漏洞每年新增數(shù)量依然巨大?代碼執(zhí)行RCE占比最大使網(wǎng)絡(luò)攻擊、攻擊者可選擇的漏洞多樣Page4Page5威脅持續(xù)擴(kuò)展各種網(wǎng)絡(luò)空間環(huán)境?攻擊平臺(tái)多種多樣?攻擊服務(wù)多樣?工控設(shè)施?物聯(lián)網(wǎng)設(shè)施?云環(huán)境Page6?未知漏洞攻擊快速增加?傀儡機(jī)等大量快速變化的攻擊設(shè)施?定向攻擊APT采用新設(shè)施?DGA、fastFlux等大量生成域名?沙箱分析樣本提取情報(bào)?蜜罐提取全攻擊鏈條情報(bào)??針對(duì)性?獨(dú)家0202蜜罐產(chǎn)生情報(bào)的方法Page8Page9?全端口響應(yīng)?全端口響應(yīng)?智能自動(dòng)構(gòu)建?廣泛聯(lián)動(dòng)攻擊者蜜罐網(wǎng)關(guān)智甲終端防火墻WAFTrunk自動(dòng)部署代理轉(zhuǎn)發(fā)資產(chǎn)蜜罐網(wǎng)關(guān)智甲終端防火墻WAFTrunk自動(dòng)部署代理轉(zhuǎn)發(fā)資產(chǎn)真vpn仿真真真Web仿真wi真捕風(fēng)蜜罐系統(tǒng)uri目標(biāo)確認(rèn)攻擊可指令交互可文件投放uri目標(biāo)確認(rèn)攻擊可指令交互可文件投放程序執(zhí)行橫向滲透攻擊C&C、DNS端口仿真端口仿真HTTP指令仿真系統(tǒng)仿真架構(gòu)仿真內(nèi)網(wǎng)仿真互聯(lián)網(wǎng)仿真仿真蜜罐網(wǎng)關(guān)橫向滲透蜜罐網(wǎng)關(guān)橫向滲透安天捕風(fēng)蜜罐內(nèi)置AVLSDK威脅檢測引擎安天捕風(fēng)蜜罐內(nèi)置AVLSDK威脅檢測引擎由安天公司自研的反病毒引擎產(chǎn)品，提供全套的可調(diào)用API（應(yīng)用編程接口滿足對(duì)網(wǎng)絡(luò)、文件、主機(jī)多環(huán)境多對(duì)象檢測、威脅知識(shí)識(shí)別?？勺R(shí)別惡意工具、已知家族、惡意樣本意圖。全規(guī)則高速引擎具有海量的病毒檢測規(guī)則，且檢測速度極快多場景適應(yīng)能力用戶可根據(jù)不同場景需求定制不同的引擎版本?？缙脚_(tái)可移植性支持POSIX標(biāo)準(zhǔn)，可應(yīng)用于各類系統(tǒng)平臺(tái)（如Windows、Linux、國產(chǎn)系統(tǒng)）、硬件平臺(tái)（如Intel、Arm、X86、MIPS、龍芯、飛騰、申威等）中。專業(yè)后臺(tái)體系具有擁有二十年惡意代碼分析經(jīng)驗(yàn)的專業(yè)分析團(tuán)隊(duì)和成熟的后臺(tái)作業(yè)體系。易于集成對(duì)接口簡單調(diào)用即可使產(chǎn)品具有核心威脅檢測能力。?情報(bào)信息?情報(bào)信息?簡單?容易?普通?惱人?簡單?容易?普通?惱人?挑戰(zhàn)0303蜜罐生產(chǎn)情報(bào)實(shí)戰(zhàn)案例安天捕風(fēng)蜜罐捕獲Log4j漏洞掃描使用的DNS隧道漏洞利用DNS記錄攜帶信息回顯，子域名拼接,第三方DNS日志站安天捕風(fēng)蜜罐捕獲DNS隧道一例安天捕風(fēng)蜜罐捕獲DNS隧道一例安全工具or黑客工具安全工具or黑客工具擊面信息，同時(shí)能進(jìn)行高效、實(shí)戰(zhàn)化漏洞掃描，并快速的從一個(gè)驗(yàn)證入口點(diǎn)，切換到橫向。?WEB環(huán)境對(duì)應(yīng)的請(qǐng)求響應(yīng)?判斷目標(biāo)URI?投放包含攻擊的包?針對(duì)WEB類大量漏洞交互模擬?動(dòng)態(tài)克隆各類設(shè)備登錄頁面捕風(fēng)蜜罐檢測Redis遠(yuǎn)程指令?Curl下載情報(bào)?系統(tǒng)目錄是否存在?文件獲得Page20②上傳ocean內(nèi)網(wǎng)掃描③橫向掃描蜜罐內(nèi)部網(wǎng)絡(luò)④進(jìn)一步攻擊蜜罐內(nèi)部Page21捕風(fēng)外聯(lián)欺騙模擬C&C通信相關(guān)一例捕風(fēng)外聯(lián)欺騙模擬C&C通信相關(guān)一例?激發(fā)C2Page22捕風(fēng)抓取Log4j漏洞利用信息竊取溯源一例捕風(fēng)抓取Log4j漏洞利用信息竊取溯源一例持續(xù)活動(dòng)多年的黑客，經(jīng)過安天捕風(fēng)蜜罐捕獲利用最新漏洞傳播遠(yuǎn)控，安天威脅情報(bào)大數(shù)據(jù)關(guān)聯(lián)溯源Page23利用Log4jsolr服務(wù)傳播的Gh0通過樣本可以提取出具備的攻擊行為能力利用Log4jsolr服務(wù)傳播的Gh0通過樣本可以提取出具備的攻擊行為能力段利用Solrlog4j2漏洞CVE安天捕風(fēng)蜜罐捕獲利用redis挖礦關(guān)聯(lián)?Redis傳播挖礦Page25?攻擊事件中URL?采用白名單?非互聯(lián)網(wǎng)地址Page27采用Stix2采用Stix2標(biāo)準(zhǔn)?TTP?威脅指示器?攻擊者Page28"indicato_types":["m3f89f53b145f63aa70a"malware_types":["indicator_types":["m"pattern":"[url:value=Page29攻擊者畫像威脅事件關(guān)聯(lián)溯源3威脅情報(bào)查詢安天鑒形態(tài)勢感知安天TID威脅情報(bào)盒子4聚合、關(guān)聯(lián)、溯源探海網(wǎng)絡(luò)探針：消費(fèi)IP、域名情捕風(fēng)蜜罐：生產(chǎn)網(wǎng)絡(luò)攻擊情報(bào)追影沙箱：生產(chǎn)樣本關(guān)聯(lián)報(bào)特征、文件查殺，主機(jī)檢測鎮(zhèn)關(guān)防火墻：攻擊者畫像威脅事件關(guān)聯(lián)溯源3威脅情報(bào)查詢安天鑒形態(tài)勢感知安天TID威脅情報(bào)盒子4聚合、關(guān)聯(lián)、溯源探海網(wǎng)絡(luò)探針：消費(fèi)IP、域名情捕風(fēng)蜜罐：生產(chǎn)網(wǎng)絡(luò)攻擊情報(bào)追影沙箱：生產(chǎn)樣本關(guān)聯(lián)報(bào)特征、文