技战法-借助威胁情报和自动化手段提升防护处置能力.pdfVIP

借助威胁情报和自动化手段，提升防护处置能力

一、利用情报收缩攻击面

1、背景与目的：

攻击队主要采用两种方式获取内网权限：一种是利用企业暴露

在外的服务器端口和业务系统本身的0day或Nday，这些都是通过

正常手段入侵内网，并通过横向移动获取整个内网。另一种是通过

敏感信息收集，主要通过爬虫、暗网、GitHub、码云、文库等方式

收集企业人员信息、业务系统代码、域名、用户名、证书等信息，

进而配合钓鱼邮件或代码审计等计数手段，入侵内网。该技战法的

主要目的是利用外部威胁情报监控能力和威胁情报关联，发现企业

暴露在互联网上的服务端口以及企业泄露在公网的敏感信息如（邮

箱、账户、密码、代码）等，指导安全运维人员收缩资产暴露面，

并对泄露的账号密码进行提前加固整改。

2、防守思路：

企业相关的IP、域名资产与威胁情报基础信息pDNS关联，可

以通过信息资产扩展发现企业未记录的资产。进而通过情报查询获

取企业IP、域名资产开放的端口、关联的证书信息，因此安全运维

人员可以通过此类方法收敛外网攻击面，同时安全运营人员可以通

过关键字（例如：企业名称、简称、域名等敏感信息）在搜索引擎、

fofa.so、zoomeye.org等检索与企业相关的敏感词，识别企业泄露在

外的邮箱、账号、