2022年03月02日
今年以來，國家對“挖礦”行為的打擊力度逐步加大，在全國范圍內廣泛開展了對“挖礦”的整改。
2021.09
國家發展改革委等10部門聯合發布通知，要求全面整治虛擬貨幣“挖礦”活動，嚴禁以數據中心的名義開展虛擬貨幣“挖礦”活動。
2021.11
國家發展改革委舉行新聞發布會表示，我國將以產業式集中式“挖礦”、國有單位涉及“挖礦”和比特幣“挖礦”為重點，全面整治虛擬貨幣“挖礦”活動。
2021.12
海南、陜西、云南、浙江等地相繼出臺相關政策或披露專項整治情況。今年以來，為實現虛擬幣挖礦“清零”目標，已有15個省份開展針對虛擬幣“挖礦”的專項整治。
在此背景下，一輪輪的通報讓網絡管理者們頭大，如何才能通過“挖礦”處置，建立長效能力，下次類似事件不要狼狽應對？
“挖礦”查詢的技術本質
“挖礦”的查詢難么？說起來還真不難。
被監管部門通報“挖礦”，一般有三種形式：
DNS查詢了"挖礦"域名
HTTP/HTTPS訪問了“挖礦”域名
訪問了礦池或者虛擬貨幣服務器的目標IP
針對這些情形，我們可以從以下兩個方向入手：
1）威脅情報機制
這是一種常用的技術手段，各個威脅情報廠商有相對豐富的的礦機樣本，用戶在使用中，只需在安全設備上開啟該功能進行檢測即可，這種方式適用于上面的前兩種形式。
2）流量識別機制
“挖礦”相關的流量，也能夠視為是一種應用協議。因此，通過流量識別設備精準的應用識別能力，即可針對網絡中的“虛擬貨幣”協議直接識別，快速發現“挖礦”行為，這種方式適用于上面的第三種形式。
ps. 通報里通常包含很多有用的信息，包括時間、目標IP、域名等，在查詢時候也不要忘記利用。
上面的查詢方式，其實有一個點：查詢簡單方便。但查詢的便捷是有前提的，即網絡大數據技術能力的建設。說白了，數據在手穩如狗，需要的時候動動手指點下查詢就行，才不至于病急亂投醫。
另外一個例子是最近討論火熱的Log4j2漏洞，它的查詢也很簡單（當然，前提是保存了URL記錄）：直接查詢URL關鍵字包含“jndi:”的記錄即可發現大量可疑線索，供詳細分析。
那么，如何建設這樣的大數據技術能力呢？
網絡大數據技術能力建設
1）選擇合適的探針
簡單來說，探針是網絡大數據的起點。探針設備提供的一手數據完整、準確與否，都關系著最終的分析結果。
2）大數據分析技術
所謂“大數據”，并非是大量數據的簡單堆砌，大數據的核心在于對數據的合理處理與分析。
網絡中的原始報文，在經過探針設備的處理后，對常見的數據類型進行提取，形成數據倉庫。而分析設備在此基礎上，應用各種統計、分析工具進行深加工，最終將我們所需的分析結果進行呈現。
3）針對異常的建模
在此之上，如何主動持續地分析發現新的異常線索呢？下面的兩種建模方式值得我們選擇：
■已知中尋找異常
所謂大隱隱于市，異常的通信內容隱蔽偽裝在常用協議中，是很多惡意應用的常用手段。如果能對已經識別的協議，根據協議、目標去向、域名、URL、DNS請求、用戶身份、地理位置、UA等元數據，建立數據倉庫，然后再根據它們的波動、差分、排序等統計規律尋找異常變化，最后對鎖定的異常變化會話數據進行深度的原始數據分析，就可以找到很多問題的答案。
■未知中排除正常
通常情況下，被識別引擎確定為未知的協議數據有三種：1）小眾協議、2）已知協議數據的漏識別，以及3）廣泛使用的非正常協議。可以利用同目標其他識別結果的交叉校驗，排除大量第二種情況，然后再結合交叉地理位置、使用頻度等情況，剩余的1)和3)就會快速的浮出水面。1)和3)也分別是APT類未知威脅發現和黑產類未知威脅發現的重點分析目標。
關于異常分析的更多信息，可以參考我們之前發過的文章：網絡全量數據包抓取，是時候有第二種選擇。
正如在疫情期間，人們的出行記錄、接觸日志、訪客登記等基礎信息變得尤為重要，這種收集所有可能的廣義數據的目的是實現大數據的分析預判，以及第一時間獲得疫情進展。而網絡安全亦是如此，網絡大數據技術能力的建設，能夠幫助網絡管理者對異常流量、威脅行為進行分析，預防安全事件的發生。
對于用戶來說，核心在于建立好長效的網絡大數據收集、查詢、建模的能力，威脅來臨就可以變成一個查詢任務，而不是手忙腳亂去購買新的臨時設備應急。
如果您想排查“挖礦”等行為，或是對網絡大數據能力的建設有興趣，江蘇國駿都可以為您提供相關的解決方案，您可以掃描下方的二維碼聯系我們。
江蘇國駿-打造安全可信的網絡世界
為IT提升價值
http://www.jewellerybykaren.com/
免費咨詢熱線：400-6776-989
關注公眾號
獲取免費咨詢和安全服務