许多人查看自己的日志以查找来自外部的攻击。但谁会定期向源头报告此类攻击？我主要想象这种情况发生在来自知名组织网络内部的尝试（例如，来自大学或企业或 ISP 内的受感染机器）。
有多少组织欢迎此类报告并倾向于有效处理它们？有没有办法识别那些做的？
有哪些工具可以帮助识别此类攻击并进行此类报告？
- 识别对报告有用的滥用行为
- 寻找向谁报告
- 包括有助于组织追踪攻击来源和/或谁负责的信息
- 处理被退回的报告，还是其他什么？
另请参阅：检测网站攻击尝试
识别和报告源自知名组织内部的黑客攻击的工具？
信息安全
工具
身份证
披露
僵尸网络
2021-08-15 06:50:12
1个回答
将这一点归结为艺术的组织是全球安全即服务公司。他们是唯一大到足以与 ISP、财富 350 强等公司挂钩的参与者。他们还与组织合作以了解他们的资产登记 - 帮助清除可能真实的攻击。
如果您不使用其中之一来管理您的外围安全，则需要将识别外围攻击的工作量传递给主要部分的脚本或设备 - 对于大多数组织来说，尝试攻击的次数太多了。
如果您可以实施外围设备以放弃基本攻击，则应该注意常规端口扫描。您可能检测到从该设备入站但报告无用的滥用类型包括与您的基础设施不匹配的利用尝试（例如 Windows 对 Unix 机器的攻击）、暴力攻击等。
如果攻击来自注册公司，您可能会很幸运——例如，向 HP 的滥用联系人报告可以得到非常快的结果——因为大公司不希望在处理涉及攻击的计算机时产生法律后果。
-------- 这么多好东西 --------
找出向谁报告是一个主要问题。查找 ARIN、RIPE 或您所在地区的同类 - 您会发现“坏人”的 whois 记录不太可能是正确的，并且无论如何大量自动扫描和攻击来自受感染的家用计算机或僵尸网络，所以当您可能与 ISP 有联系，但他们可能无权做任何事情。无论如何，他们可能已经将子网外包给其他 ISP，或者他们可能只是不想参与其中。
根据经验，如果您是为财富 350 强公司工作的安全人员，那么您更有可能采取行动，否则您必须期待反弹或被忽略的通信。解决这个问题的方法通常是联系他们的 CEO、CISO 或营销总监 :-)
在要包含的信息方面 - 日志和任何时间戳偏移信息是要传递的关键项目。