网络侦察概述及工具介绍(一)
2023-9-25 17:30:7 Author: mp.weixin.qq.com(查看原文) 阅读量:6 收藏

一.  前言

侦察(Reconnaissance),原本是军事术语,指“利用目视观测或其他侦测方法,以获取有关之敌情、天然及地形等情报资料,为作战及战斗指导之依据[1]。ATT&CK矩阵中,网络侦察是攻击者在执行攻击前的一个阶段,攻击者通过侦察来收集关于目标网络和系统的信息,了解目标的弱点和漏洞,从而更有针对性地进行后续攻击,提高攻击成功的概率。20世纪末美国军方提出的C4ISR(Command, Control, Communications, Computers, Intelligence, Surveillance, and Reconnaissance)概念,侦察是C4ISR体系中的一个重要组成部分,用于收集敌方军事力量和战场情况的信息,为作战决策提供数据支持。不难看出,C4ISR和ATT&CK都强调了侦察的重要性。所以,本文将初步聊聊网络空间的侦察技术以及相关工具。

二.网络侦察概述

网络侦察使用多种技术和方法来收集情报和信息。

2.1 

网络侦察对象

网络侦察根据对象可以分为:国家、组织、军事目标、敌对势力、特定个人。

  • 国家

国家、政府或政治实体,情报机构可能对它们的政策、决策和外交活动感兴趣。

  • 组织

政府部门、军队、情报机构、国际组织、非政府组织、跨国公司等。

  • 军事目标

关键基础设施、军事设施、科技研发机构等,这些目标可能涉及国家安全和战略。

  • 敌对势力

情报机构可能对竞争对手、敌对势力、情报对手进行侦察,以了解他们的动向和意图。

  • 个人

特定的个人,如政治领袖、军事指挥官、重要企业家、恐怖分子、犯罪团伙成员等。

2.2 

网络侦察方式

常见的网络侦察方式包括:
  • 主动探测

使用网络扫描工具探测目标网络的资产、漏洞等信息,以便进行后续攻击或深入侦察。

  • 被动监测

截获网络通信或部署蜜罐,获取目标的数据包和信息,从中分析和提取有用的情报。

  • 开源情报(OSINT)

通过公开渠道收集、整理、分析和利用各种公开可获得的信息来获取情报的过程。这些公开渠道包括互联网、社交媒体、新闻、公共数据库、论坛、博客和其他在线资源。

  • 社交工程

通过欺骗、操纵和利用人们的心理、社会工作方式和人际关系来获取机密信息、获得未经授权的访问权限或实施其他恶意行为。

三.  网络侦察工具

3.1 

Maltego

  • 简介

Maltego是一款功能强大的信息收集和挖掘工具,由南非公司Paterva开发和推出。该公司成立于2007年,总部位于南非开普敦。Maltego的主要目标是帮助用户从开源OSINT和网络情报(NETINT)收集、分析和可视化情报。

图1. Maltego图形界面

  • 功能

主要功能包括从多个公共数据源获取数据,然后将这些数据整合成图形化的关联图。Maltego以图形节点和边缘的形式展示数据,使用户可以轻松跟踪实体之间的关联。它还支持插件机制,允许用户根据需求扩展功能,并集成其他数据源和API,部分API需要用户配置token。
  • 评价
Maltego优势是有丰富的数据源,目前支持95个外部数据源,关联数据通过图谱展示,便于分析。需要本地安装Java应用,功能界面相对复杂,有一定的上手难度。

3.2 

SpiderFoot

  • 简介

SpiderFoot是一款开源的情报收集和侦察工具,由英国安全专家Steve Micallef于2008年首次发布的。旨在帮助安全专业人员、渗透测试人员和研究人员收集和分析目标信息。它提供了丰富的功能和多种数据源,使用户能够从公开和私有来源中获取有关IP地址、域名、子域名、邮箱、社交媒体和网络设备等信息,使用web的方式提供服务。

图2. SpiderFoot图形界面

  • 功能

SpiderFoot能够从多个公开和私有数据源收集信息,并将这些信息整合在一个平台上,形成全面的目标情报。支持对目标进行主动扫描和侦察,帮助用户发现目标系统的弱点和漏洞。以图形化方式展示数据,通过节点和边缘的形式呈现信息关联,使用户更直观地分析和理解收集到的数据。允许用户根据需要编写自定义模块,扩展功能和添加其他数据源。

  • 评价
SpiderFoot整合了多个公开和私有数据源,并且提供图形化界面,允许用户编写自定义探测模块,最重要的是开源免费。

3.3 

Lampyre

  • 简介

Lampyre是一款专为开源情报收集(OSINT)而设计的付费应用程序,其公司位于匈牙利。该工具可用于调查、网络威胁情报、犯罪分析和金融分析等领域。Lampyre提供终端应用,也可以访问其SaaS服务,进行检索数据。

图3. Lampyre图形界面

  • 功能

Lampyre支持超过100个数据源的情报查询,从多个数据源获取信息,并对这些数据进行处理,对数据的关联和分析。支持从文件导入数据,提供Python API,支持扩展外部的数据源。用户可以快速获取、处理和分析数据,以做出更明智的决策。

  • 评价

Lampyre需要付费试用,从官网的演示视频来看,感觉像是Maltego上做了扩展优化的下一代产品,而且用户社交网络关联分析功能效果很不错。

3.4 

Shodan

  • 简介

Shodan大家已经非常熟悉了,非常出圈的一款网络空间搜索引擎,专门用于搜索连接到互联网的设备和系统。Shodan是由美国程序员John Matherly于2009年创建的公司,总部位于美国加利福尼亚州。

图4. Shodan图形界面

  • 功能

Shodan可以帮助用户探测连接到互联网的设备和系统,如服务器、路由器、摄像头等,从而获取这些设备的详细信息。用户可以通过关键词搜索连接到互联网的设备,获取相关信息,并且提供一个可视化地图,展示全球范围内连接到互联网的设备的分布情况,帮助用户直观了解设备的全球分布情况。支持监控特定设备或系统的状态和信息变化,让用户及时了解设备的状态和漏洞情况。Shodan还可以进行资产图像搜索,用户可以通过图像搜索功能找到连接到互联网的设备的图像和截图。

  • 评价

Shodan是笔者认为目前网络空间搜索引擎中综合能力最强的产品,数据主要聚焦在网络资产上,数据老化及时,搜索结果存活率高。资产识别较深,支持动态爬取版本信息,资产标签维度丰富。并可以根据需求对资产更新进行监测,以及可以实时的扫描资产。不足之处,对某些地区的数据覆盖度不全,另外不支持中文检索。

3.5 

Google

  • 简介

Google搜索引擎作为全球最流行的搜索引擎之一,它能够提供广泛的搜索结果,包括网页内容、新闻、图像、视频和其他类型的信息。在OSINT领域,从业者经常使用Google搜索来发现有价值的信息,并进行情报收集和分析。

  • 功能
通过Google搜索,可以获取目标组织、网站或个人的信息,包括网站域名、IP地址、电子邮件地址、社交媒体账号等。可以发现公开已知的漏洞,以及检索漏洞利用工具。配合GHDB(Google Hacking Database),能快速发现互联网中存活的有脆弱性的服务。搜索目标组织或网站相关联的其他网站、子域名和关联资源,帮助确认域名所有权。另外谷歌的图像相似搜索、文本检测等功能,可以快速提取图像中的情报信息。
  • 评价

很多场景中,Google是开源的情报收集的起点。

四.  总结

文介绍了网络侦察的基本概念和5款工具。对网络空间测绘提供了重要的数据基础,但是在海量的数据中如何获取高价值的情报,就需要配合网络侦察技术手段进行深挖分析。网络侦察收集到的情报可指导网络空间测绘的探测策略,两者有效的结合,才可以提高网络安全的整体水平。更多的网络侦察工具,请关注接下来的文章。
特别提醒:使用境外开发的软件可能带来安全风险,使用前请充分考虑合规性,根据具体业务场景进行评估,避免敏感信息泄露和违反相关法律法规。

参考文献

1. https://zh.wikipedia.org/zh-hans/%E5%81%B5%E5%AF%9F

2. https://seon.io/resources/comparisons/osint-software-tools/

3. https://www.maltego.com/

4. https://github.com/smicallef/spiderfoot

5. https://www.shodan.io/

6. https://www.exploit-db.com/google-hacking-database

7. https://hashdork.com/zh-TW/%E9%96%8B%E6%BA%90%E6%83%85%E5%A0%B1%E5%B7%A5%E5%85%B7/

内容编辑:创新研究院 桑鸿庆
    责任编辑:创新研究院 董炳佑

本公众号原创文章仅代表作者观点,不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权,严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用,转载须注明来自绿盟科技研究通讯并附上本文链接。

关于我们

绿盟科技研究通讯由绿盟科技创新研究院负责运营,绿盟科技创新研究院是绿盟科技的前沿技术研究部门,包括星云实验室、天枢实验室和孵化中心。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。

绿盟科技创新研究院作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一,与清华大学进行博士后联合培养,科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。

我们持续探索信息安全领域的前沿学术方向,从实践出发,结合公司资源和先进技术,实现概念级的原型系统,进而交付产品线孵化产品并创造巨大的经济价值。

长按上方二维码,即可关注我


文章来源: https://mp.weixin.qq.com/s?__biz=MzIyODYzNTU2OA==&mid=2247495923&idx=1&sn=bd8a61b7cf827deb9d4dc48a4f1b80aa&chksm=e84c562cdf3bdf3a0fd6b327b64c49d04513ed05c36f921b3aa040a5d59ef875266760e03ea4&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh