2025-03-25 - 重视篡改和勒索事件情报分析才能有效应对网络威胁

关于网络安全的防守，从来都被认为是没有攻不破的系统，只是攻击方的资源投入多少的问题。所以如何有效投入资源而使攻击方意识到投入大于收益，从而放弃攻击，是防守方的工作重点。

要有效投入资源，那就必须清楚掌握攻防态势，做好网络安全事件的情报分析。也就是说，知己知彼，百战不殆，这8个字永不过时。

篡改和勒索这两种网络安全事件其实是最容易获得的、对防守工作有参考价值的网络安全情报。因为这两种事件本质上是一定会公开的，只是公开的程度有所区别，能够直接获得的信息量也不同。作为防守方，需要基于供应链关系，自行发掘更多的信息供自己利用。

就如笔者之前每月写给企业自己内部参考用的网络及数据安全月报，重点笔墨就落在最近一个月发生的、有参考价值的网络安全事件的分析。

篡改事件本质属于伤害性不高，侮辱性极强。当然这伤害性仅指财务上的直接伤害，一旦发生篡改事件，各种非财务性质的连带伤害并不是说笑的，懂的都懂。

作为网络安全防守职责人员，在分析篡改事件时，应冷静无视篡改的是什么内容，集中于分析篡改究竟是如何得手。

篡改事件发生后，通常苦主的网站已经关闭，不可能直接对其进行分析。但由于篡改事件的信息通常会带有网址和截图，那就提供了分析的可能性。

首先就是基于网址本身以及DNS解析去分析。这是基本操作。简单几个例子：