关于威胁情报的产生及质量评估的一些思考

背景

360netlab从2014年8月份开始构建国内第一家公开的passiveDNS数据库，以此为基础并结合360的海量多维度安全数据构建的DNSMon系统已经成为我们产生威胁情报的主要系统之一。之后在威胁情报行业中，passiveDNS成为了基础设施，是产生情报的来源之一，也是溯源分析的必备工具。在安全防护方面，基于黑域名的封堵也成了威胁情报在实际使用中的常规手段。

不过威胁情报究竟好不好用，大家众说纷纭。网上有不少的文章谈及到威胁威胁情报的质量以及如何对其质量进行评测。但一直没有形成成熟的行业标准。不过，即使有这么一个标准，并且执行的也很好，面对纷繁的网络，多变的数据，是否就万事大吉了？

恐怕实际情况并没有那么简单，本文用一个最近发生的例子来说明在真实环境下使用威胁情报的复杂性。


真实例子：

收到公司的售后咨询:

某省某厅发现流量里面发现某些IP同国外恶意IP：204.11.56.48【情报标签：MAGNALLIUM威胁组织、远控、矿池、CryptoWall勒索软件】进行了多次异常通信，内部IP主动请求网站 www.ibankupdate.com ，请求体大小固定并且采用了加密手段，加密手段未知暂时无法解密，高度怀疑为http隧道通信/控制行为。


经过分析，我认为这是一次误报，虚惊一场。

有这么多恶意标签的IP为什么会是误报呢？本文接下来具体说说。



展开说说


先说域名

whois数据


通过DNSMon查看www.ibankupdate.com 的历史whois数据，我们发现这个域名最开始属于北京科蓝软件系统公司。不过由于未知原因，该域名在2016年3月8日过期之后没有再续费。之后2016年5月份到2017年5月份该域名的流转到国内的金米网（www.jinmi.com），到期之后，2017年7月份转到了New Ventures Services, Corp的手里一直持有到现在（2020年5月28日）。

切换历史的具体信息参见下图：


访问域名的样本

查询样本访问数据，我们发现样本：ffc4099ddb4747e111fc932e8587f4c5 对这个域名有较多的访问。通过查看样本的签名信息，发现其属于北京银盾思创网络技术有限公司，经过确认和北京科蓝软件系统公司是一家，由此可以进一步确认这个域名在历史上是有正常业务的。

根据样本的描述信息可知：软件名称是SA-iKeeper的更新模块，而SA-iKeeper是一个网银管家系统。从科蓝软件的客户列表来看，其客户几乎囊括了国内大中小所有的银行。

不知道银行系统在护网期间是否关注过这个域名以及其目前对应的IP地址。

现有的DNS流量

银盾思创的软件在域名过期之后，由于未知的原因，并没有及时对域名进行续费以保持业务，。

那么现在 www.ibankupdate.com 域名上的流量是什么样子呢？

从DNSMon看到持续访问 www.ibankupdate.com 的独立客户端数量在4000/hour 左右（实际大网用户保守估计在10万以上），并且表现出了明显的工作日和周末特征。因此该域名的客户端仍然是一个工作软件，与之前的业务模式类似。由此进而推断银盾思创在老域名过期之后，并没有升级软件（或者升级版本没有覆盖到全部客户）导致后续的业务流量迁移到新的域名上。

大量的DNS流量请求一个过期域名，并且DNS解析之后还有大量与该域名通信的HTTP流量，这不应该一个正常的现象，尤其是在银行这种重要的行业客户里面。

现在域名持有人到底是谁，域名现在是什么状态？

此域名在过期之后，被域名注册商接管。现在该域名的注册主体是New Ventures Services, Corp。

经过分析发现New Ventures Services, Corp 是network solutions的关联公司。

Network solutions是一个域名注册商，提供域名注册及主机托管，证书申请等业务。角色类似于godaddy。其旗下的web.com， networksolutions.com，register.com 三驾马车共同支撑业务。在过期域名抢注方面，主要依靠 “New Ventures Services, Corp” 实体完成。托管抢注域名及parking业务的主要是通过ztomy.com及其下子域名。

不过网上有人反应network solutions在域名抢注方面并没有很好的遵循ICANN的规范，在域名还没有到期或者没有执行相应的域名延长期的情况下，会把客户的域名转移到自己的名下，并高价出售，所以其名声并不好。具体请参考这里和这里。

至此，我们知道这个域名目前处于parking状态。


再说IP

Network solutions放置的parking域名的服务器：204.11.56.48（事实上204.11.56.48/24这个网段都是，现在我们只讨论这个IP）。使用的parking的NS服务器是 形如NS[0-9]{4,5}.ztomy.com和sk.s[0-9]{1}.ans[0-9]{1}.ns[0-9]{3}.ztomy.com样式的名称服务器。


再说 威胁情报

这个域名停靠的IP(204.11.56.48) 如果你只看现有威胁情报平台的话，黑的不得了。各类开源情报对其描述也十分详尽。可惜这些标签都是错的。

事实是这个IP就是一个停靠过期域名的一个服务器。威胁情报平台中描述的那些恶意家族极有可能仅仅是过期了，被鸡贼的New Ventures Services, Corp抢注了然后挂到了自己的parking服务器而已。而情报厂商利用DNS数据就由此言之凿凿的产生所谓的威胁情报似乎有点不太严肃。

当然，如果从安全的角度来说，基于现有的判定，对这个IP进行封堵，对严格的商业客户来说也没有问题。不过错误的标签会浪费分析人员的时间和精力，对最终的结论也会是错误的判定。

you can you up, no can no BB

事实上，ibankupdate.com使用的两个NS服务器在2015年8月份的时候，就被DNSMon标定为停靠域名服务器了，利用这个不是威胁情报的情报，可以快速的推断出www.ibankupdate.com目前的状态，再验证一下IP和域名的对应关系即可，而不必再花太多的精力在分析那些标定在IP上的恶意标签，甚至需要安服人员去现场分析日志样本等繁杂的工作了。有图有真相：


简单总结

 * 这次安全事件的反馈是一次由不精准情报引起的误报。
 * 软件厂商在域名快要过期之前没有及时续费导致域名进入parking状态。同一parking服务器上又parking了曾经真实的恶意域名导致parking服务器的IP地址被标定为恶意IP是导致这次误报的原因。
 * 在应用方面，软件厂商在域名被parking之后，没有升级软件将业务流量切换到新的业务域名上，有可能会导致一定程度上的数据泄漏。尤其是parking服务器托管方，如果对这些已经过期域名（expire domain）上的流量继续侦听的话，某些关键业务的过期域名会可能导致（敏感）信息泄漏。通常的DLP产品恐怕很难发现这种类型的数据泄漏。
 * 威胁情报厂商在产生情报的时候，务必要精准。只有精准的情报可以节省分析人员的大量时间和精力，才能带给客户价值。精准情报的产生有很高的门槛，比如本水文中就用到了历史悠久的passiveDNS数据，历史悠久的域名访问量曲线，历史悠久的whois记录数据并需要广泛的数据关联（比如把network solutions和New Ventures Services, Corp进行关联并对其信誉进行评价等）。