monitoring-darkweb-sources

监控暗网来源

何时使用

在以下情况下使用此技能：

• 在暗网论坛上对组织域名、高管姓名和产品品牌建立持续监控
• 调查在勒索软件泄露网站或粘贴网站上发现的数据泄露声明
• 用有关被盗凭据或已策划攻击的背景信息来丰富事件调查

请勿在没有适当运营安全措施的情况下使用此技能——未隔离的暗网浏览会使分析师基础设施暴露于对手的反情报活动。

前提条件

• 商业暗网监控服务（Recorded Future、Flashpoint、Intel 471 或 Cybersixgill）
• 隔离的运营环境：运行在无持久存储的虚拟机中的 Whonix OS 或 Tails OS
• 关键词监控列表：组织域名、关键高管姓名、产品名称、IP 范围、已知凭据
• 确认在您所在司法管辖区被动监控已获授权的法律指导意见

工作流

第 1 步：通过商业服务建立关键词监控

在您的 CTI 平台（例如 Recorded Future Exposure 模块）中配置暗网监控关键词：

• 域名变体：company.com、@company.com、company[dot]com
• 高管姓名：CEO、CISO、CFO 全名
• 产品/品牌名称
• 内部代号或项目名称（如果怀疑泄露范围较广）
• 用于凭据监控的已知电子邮件域名

大多数商业服务（Flashpoint、Intel 471、Cybersixgill）会爬取 XSS、Exploit[.]in、BreachForums 等论坛以及俄语网络犯罪社区，而不会让分析师暴露。

第 2 步：在运营安全下进行人工调查

对于需要直接访问暗网的调查：

环境设置：

1. 使用专用物理机或气隙虚拟机（Whonix + VirtualBox）
2. 仅通过 Tor Browser 连接——切勿通过标准浏览器
3. 使用与组织没有任何关联的掩护身份
4. 切勿使用真实凭据登录任何暗网网站
5. 在调查日志中记录所有会话，并附上时间戳

粘贴网站监控（可通过明网访问，无需 Tor）：

# Hunt paste sites via API
curl "https://psbdmp.ws/api/search/company.com" | jq '.data[].id'
curl "https://pastebin.com/search?q=company.com" # Rate-limited public search

第 3 步：调查勒索软件泄露网站

勒索软件组织维护 .onion 泄露网站。请通过商业服务而不是直接访问来监控这些网站。当出现关于您组织的声明时：

1. 通过商业服务捕获截图证据（不要直接访问）
2. 评估可信度：威胁行为者声称的数据是否与任何已知内部系统相符？
3. 检查时间戳：该声明是近期的还是历史的？
4. 与该时间段内任何已知安全事件或钓鱼活动进行交叉比对
5. 如果声明看起来可信，在公开披露前联系 IR 团队

已知活跃的勒索软件泄露网站运营者（截至 2025 年初）：LockBit（2024 年 2 月被捣毁）、ALPHV/BlackCat（2023 年 12 月被捣毁）、Cl0p、RansomHub、Play。

第 4 步：凭据泄露监控

对于泄露凭据监控：

• Have I Been Pwned Enterprise：针对泄露数据集中的凭据泄露提供域名级通知
• SpyCloud：商业凭据监控，可从犯罪市场进行防破解和明文密码恢复
• Flare Systems：自动监控粘贴网站和暗网市场中的凭据转储

当凭据泄露得到确认时：

1. 立即强制重置受影响账户的密码
2. 检查这些凭据是否可访问任何组织系统（SSO、VPN）
3. 审查从凭据泄露到检测之间这段时间的访问日志，查找未授权访问

第 5 步：记录并上报发现

对于每一条暗网发现：

• 捕获证据（商业服务截图、paste 站点存档）
• 分类严重性：P1（迫在眉睫的攻击威胁或数据正在暴露）、P2（凭据泄露）、P3（一般提及）
• 在规定 SLA 内通知相关利益相关方
• 创建调查工单并关联证据工件
• 对任何提及具名高管或具体攻击计划的发现应用 TLP:RED

关键概念

术语	定义
暗网	可通过 Tor 访问的隐藏服务（.onion 域名），不被标准搜索引擎索引；同时托管合法和犯罪内容
Paste 站点	明网文本分享站点（Pastebin、Ghostbin），常被用于发布窃取的数据或恶意软件配置
勒索软件泄露站点	由勒索软件组织运营的 .onion 站点，用于发布窃取的受害者数据作为勒索筹码
运营安全（OPSEC）	在暗网调查期间保护分析人员身份和组织归属
撞库	自动化使用泄露的用户名/密码对攻击认证系统
窃取日志	由信息窃取恶意软件外泄的数据包，包含保存的浏览器凭据、Cookie 和会话令牌

工具与系统

• Recorded Future Dark Web Module：自动监控暗网来源，并针对组织特定关键词发出告警
• Flashpoint：暗网论坛监控，辅以人工情报以提供犯罪社区背景
• Intel 471：对网络犯罪社区的闭源访问，提供关于威胁行为者的结构化情报
• SpyCloud：凭据泄露监控，可从犯罪市场重新捕获明文密码
• Have I Been Pwned Enterprise：域名级泄露通知 API，用于大规模凭据监控

常见陷阱

• 无 OPSEC 的直接访问：在没有 Tor 和掩护身份的情况下访问暗网论坛，可能向对手暴露分析人员 IP、浏览器指纹和组织归属。
• 对未经验证的说法反应过度：勒索软件组织和论坛发帖者会为勒索或声誉编造攻击声明。在升级至事件响应前先核实。
• 遗漏明网来源：大多数暗网情报项目会遗漏 Telegram 频道、Discord 服务器和 paste 站点，这些都在明网上运营并托管大量犯罪活动。
• 法律审查不足：暗网监控必须由法律顾问审查——被动监控通常合法，但主动参与犯罪市场则不合法。
• 未保存证据：暗网内容消失迅速。发现后立即使用商业服务导出捕获带时间戳的证据。