第二章：情报来源与采集

做威胁情报这行，最常被问到的问题就是：「你们的情报到底从哪来的？」

说实话，这个问题问得特别好。情报的质量，很大程度上取决于源头。源头脏了，后面再怎么分析也是白搭。今天我就把常用的几个情报来源掰开揉碎了讲讲。

2.1 开源情报（OSINT）

OSINT 是我个人用得最多的情报来源。说白了，就是利用公开可获取的信息来做分析。别小看这些公开信息，很多时候关键线索就藏在里面。

核心原则：OSINT 不是简单的「谷歌搜索」，而是有目的、有方法的信息挖掘。

我常用的 OSINT 渠道包括：

搜索引擎高级语法：比如 Google Dork、Shodan、Censys。我记得有一次追踪一个钓鱼团伙，就是用 Shodan 找到了他们用来托管钓鱼页面的服务器。
社交媒体监控：Twitter、Telegram、Reddit。很多黑客喜欢在这些地方「炫耀」战果。
代码托管平台：GitHub、GitLab。我曾经在 GitHub 上发现一个员工不小心上传了包含内网 IP 和密码的配置文件。
WHOIS 与 DNS 记录：查域名注册信息、历史解析记录。
证书透明度日志：crt.sh 是个好东西，能发现攻击者注册的 SSL 证书。

小技巧：做 OSINT 时，建议用虚拟机或者专门的 OSINT 系统（比如 TraceLabs 的 VM）。别用你日常工作的机器，容易留下痕迹。

2.2 商业情报源

开源情报虽然好，但有时候不够深。这时候就得靠商业情报源了。

商业情报源，说白了就是花钱买情报。你想想看，安全厂商每天处理海量数据，他们手里积累的 IOC（威胁指标）和 TTP（战术、技术和流程）信息，比公开渠道要全面得多。

情报类型	典型来源	我个人的使用场景
威胁情报平台	VirusTotal、AlienVault OTX、IBM X-Force	快速查询文件 Hash、IP、域名是否恶意
商业情报订阅	Recorded Future、Anomali、ThreatConnect	做长期追踪和关联分析时用
行业共享组织	FS-ISAC、IT-ISAC	金融、医疗行业的专属情报，质量很高

注意：商业情报不是万能的。我见过有人买了高级订阅就觉得万事大吉，结果漏掉了关键情报。记住，工具只是辅助，分析能力才是核心。

2.3 暗网监控

说到暗网，很多人第一反应就是「违法」「黑客」。其实从威胁情报的角度看，暗网是一个非常重要的情报来源。

为什么？因为攻击者会在暗网上交流技术、出售数据、招募同伙。你不去盯着，就不知道他们在谋划什么。

我常用的暗网监控方式：

Tor 浏览器访问：最基础的方式。但要注意，直接访问暗网站点有风险，建议用专门的监控工具。
暗网搜索引擎：比如 Ahmia、DarkSearch。可以定期搜索关键词。
自动化监控脚本：写个爬虫，定期抓取暗网论坛的帖子。

# 一个简单的暗网监控脚本示例（Python）
import requests
from bs4 import BeautifulSoup

# 注意：实际使用时需要配置 Tor 代理
proxies = {
    'http': 'socks5h://127.0.0.1:9050',
    'https': 'socks5h://127.0.0.1:9050'
}

# 监控的关键词列表
keywords = ['yourcompany', '泄露', '数据库']

def check_darkweb_forum(url):
    try:
        response = requests.get(url, proxies=proxies, timeout=30)
        soup = BeautifulSoup(response.text, 'html.parser')
        # 解析页面内容，匹配关键词
        for keyword in keywords:
            if keyword in soup.get_text():
                print(f'[!] 发现匹配: {keyword} 在 {url}')
                # 这里可以触发告警
    except Exception as e:
        print(f'[-] 访问失败: {e}')

# 定时运行
check_darkweb_forum('http://exampleonion.onion')

避坑指南：我曾经在暗网上追踪一个数据泄露事件，结果不小心点进了一个恶意链接，差点中招。记住，暗网上的链接不要随便点，最好用沙箱环境或者专门的监控服务。

2.4 蜜罐数据采集

蜜罐，说白了就是「钓鱼」。你部署一个看起来有漏洞的系统，等着攻击者来上钩。他们的一举一动，都会被记录下来。

我个人觉得，蜜罐是获取一手攻击数据最好的方式。没有之一。

常见的蜜罐类型：

低交互蜜罐：模拟服务，比如模拟 SSH、HTTP。部署简单，但容易被识破。
高交互蜜罐：真实的系统，攻击者可以真正操作。数据价值高，但风险也大。
蜜标（Honeytoken）：假的文件、数据库记录、API 密钥。一旦被访问，立刻告警。

我常用的蜜罐工具：

工具名称	类型	我的评价
Honeyd	低交互	老牌工具，配置灵活，但维护起来有点麻烦
Dionaea	低交互	专门捕获恶意软件，我用来分析蠕虫传播
T-Pot	多蜜罐平台	一键部署，集成了多种蜜罐，适合新手
Canarytokens	蜜标	轻量级，部署在内部网络，检测横向移动

实战经验：我曾在公司内网部署了十几个蜜罐，结果不到一周就捕获到了内网扫描行为。顺着蜜罐日志，我们找到了一个被植入后门的服务器。嗯，那次行动直接避免了数据泄露。

2.5 情报源的整合与评估

情报源多了，问题也来了：怎么整合？怎么判断哪个情报可信？

我的做法是：建立一个情报源评估矩阵。

评估维度	说明	权重
时效性	情报是否最新？延迟多久？	30%
准确性	历史误报率如何？	40%
覆盖度	是否覆盖我们关注的领域？	20%
成本	获取成本是否合理？	10%

举个例子，VirusTotal 的准确性很高，但免费版有查询次数限制。暗网情报时效性好，但准确性需要交叉验证。商业情报源覆盖度广，但价格不菲。

重要提醒：永远不要只依赖单一情报源。我见过有人只信 VirusTotal 的结果，结果被一个精心构造的免杀样本骗过去了。交叉验证，是情报分析的基本功。

好了，情报来源这块就讲这么多。下一章我们会聊聊怎么把这些情报用起来，做真正的威胁狩猎。记住，采集只是第一步，分析才是关键。

📚 课程目录

第二章：情报来源与采集

2.1 开源情报（OSINT）

2.2 商业情报源

2.3 暗网监控

2.4 蜜罐数据采集

2.5 情报源的整合与评估