百度安全：用威脅情報對抗黑產的專業“僱傭軍”

這幾年，安全行業的各種新概念、新產品層出不窮，從老三樣，到SOC、SIEM，再到現在的威脅情報、態勢感知。其中，今年最受追捧的當屬“威脅情報”。在12月21日舉辦的第二屆北向峯會上，嘉賓現場選出的“2017中國網絡安全領域十大熱詞”中，威脅情報排名第三，可見安全行業對威脅情報的期待。

威脅情報的價值自不必説，但是如何用好威脅情報，我們該怎麼用它來對抗黑產?就這個問題，馮景輝在今年的北向峯會“山海關論壇”上，分享了百度安全在“不太平的後廠村路上”如何用威脅情報來成功對抗黑產的實踐經驗。

應對撞庫：發掘風險用户行為建立三層賬號防護體系

今年的黑產攻擊中，撞庫是當之無愧的“熱詞”。有媒體曾報道，只要花300元就可以對微博賬號發起攻擊。傳統的解決思路是驗證碼的方式，但是這種方式存在一定弊端。即便是從原來的數字驗證碼進化到漢字驗證碼，但仍存在盲區，比如大量的移動端接口沒有辦法短時間更新。

那麼，威脅情報的解決思路是怎樣的呢?馮景輝介紹了百度安全的三層賬號安全防護體系：

第一個層面是存量檢測。簡單來説就是自己撞自己的庫，看看這些年來已經被泄漏的賬號密碼有沒有在百度上註冊賬户，如果有這些就是高危用户。

第二個層面是即時檢測。有時候你會發現，在註冊或登錄賬號時，即使你使用了看似很複雜又符合規則的密碼，但仍然被提示需要更改密碼，這種情況很有可能是你的密碼已經泄漏了。這種情況需要即時檢測判斷。

第三個層面是多層次模型判斷。如果讓所有人都進行復雜的多重驗證，賬號是安全了，但是用户體驗就會很差。所以兩者之間也需要平衡。怎麼辦呢?百度安全基於所有百度產品的訪問數據和情報積累數據，查看哪些訪問來自高危IP、未知IP，哪些訪問來自於惡意的手機(EMA號)，一旦被判斷為可疑賬號，就會進入更加複雜的驗證環節。這樣做就既可以保證大多數用户的使用體驗，也能彌補驗證碼存在盲區的缺點。

這裏的多層次模型判斷，是典型的威脅情報應用場景。把各種來源的惡意IP、惡意IMEI、風險賬號、定向破解、撞庫、惡意爬蟲等等情報信息，放在百度大腦裏進行不斷地學習，讓百度大腦能夠快速地識別出哪些是黑產的惡意行為，哪些是正常的訪問。

上個月，俄羅斯五大銀行遭遇DDoS攻擊，來自30個國家2.4萬台計算機構成的殭屍網絡持續不間斷的攻擊，結果是黑客從俄羅斯央行的代理賬户盜取了20億盧布才算完。

DDoS就像是洪水猛獸，會在很短時間內突然間出現一個很大的流量，讓網站猝不及防。威脅情報能在DDoS黑產對抗中發揮怎樣的作用呢?主要是兩方面：攻擊預警、攻擊溯源。

“我們知道大流量攻擊無外乎來自於幾個方向：海外流量、國內某些黑數據中心的流量，以及大量的各種肉雞流量，過去主要是PC，現在越來越多是攝像頭、路由器等IOT設備。” 馮景輝説，百度安全現在能夠做到在黑客發起攻擊之前，提前5分鐘發出預警。這5分鐘就像是生命線。企業可以在用户沒有感覺到網絡波動之前啓動防禦機制，為保證業務的連續性起到重要的作用。

百度安全憑什麼能做到?這是基於多年來積累下來的全網殭屍網絡的監控能力。百度安全目前掌握了10多萬個殭屍網絡信道和幾萬種家族變種。能夠即時監測殭屍網絡對未知目標發起攻擊。用户如果使用了百度安全的產品，就可以迅速對攻擊進行攔截。

同樣基於殭屍網絡監控，百度安全還可以對攻擊進行溯源，主要應用在兩個方面：一是在事後調取證據，抓獲犯罪嫌疑人。而另一個更重要的作用是從攻擊發起端開始進行全鏈條的攔截。“由於能夠做到提前5分鐘發現攻擊，所以我們從主控端對流量進行調度，從攻擊端到服務器端，每一個關鍵節點，我們都進行了防禦。這樣就避免業務被打垮，網站服務也不會受影響。”

應對隱私竊取：情報信息再加工、再利用，精準度提升20%

今年7月，有用户投訴説接到騷擾電話，對方説電話號碼來源於百度。最終的調查結果是，這是一種打着“網站訪客營銷”旗號的黑產行為。黑產以營銷的名義，對搜索引擎收錄的網站植入惡意代碼，當用户訪問這些網站時，手機號碼、QQ號碼等隱私信息就會被竊取。

網站訪客營銷黑產是已經非常成熟的產業鏈，黑產製造了惡意軟件工具，通過代理商賣給那些不良網站，一級代理商把它包裝成一套服務，不斷變換域名，躲避搜索引擎監管。

應對這種黑產攻擊，威脅情報能做些什麼呢?“傳統的打擊方法是不斷地抓代理商，封鎖代理商的域名。但是這種方法很被動，因為我們後來發現有二級代理商這種隱藏在背後的機構。”馮景輝介紹説，針對一級代理商，通過分析不同代理商的模板行為腳本，挖掘出一些還沒有被舉報的URL，通過百度安全掌握的資產信息來進行反向推導;針對二級代理商，把實際控制人所控制的不同域名等信息挖掘出來，並且進行橫向的打擊，對威脅情報進行再加工、再利用。通過這種情報再加工，百度安全在傳統打擊方法基礎上，將精準度提升了20% “經過一段時間打擊之後，在百度搜索引擎裏邊，非法竊取用户隱私網站數減少94.26%;網民點擊風險網站數量減少80%。”