8.2 威胁情报与泄露凭证监测
8.2 威胁情报与泄露凭证监测
本节摘要：本节给检测底座接上"外部视角"：泄露凭证监测让组织在用户口令流进黑市时第一时间知道，攻击者情报（基础设施指纹、攻击手法通报）让检测规则提前装填。情报的价值不在收集在消费——本节的落点是把情报接进注册改密、登录风控与告警规则的运营闭环。
把别人挨过的打变成自己的情报
终局总攻的第二天，蓝队收到情报平台的推送：某第三方泄露事件新增了一批凭证，其中三十多个邮箱属于本组织域名。这不是假设——外部世界的每一次泄露，都可能是你家用户口令的预告片。威胁情报的本质是把攻击的准备阶段透明化：泄露库是"弹药已装填"，恶意域名与基础设施指纹是"阵地已布好"，手法通报是"剧本已写完"。防御方拿到这些，就能在攻击发起前完成拦截条件部署。
情报按用途分层：战略层（行业趋势，给管理层看方向）、战术层（攻击者手法与动机，给架构与流程找缺口）、运营层（可直接机读的失陷指标，给设备装规则）、以及最贴近本册主线的泄露凭证情报。前三层解决"知道会来"，最后这层解决"已经来了"。
泄露凭证监测
泄露核查的技术核心是隐私保护的查询方式：既要把用户口令与泄露库比对，又不能把明文口令交给第三方。主流方案基于 k-匿名化前缀查询——只传口令摘要的前几位，服务端返回同前缀的全部候选，本地再精确比对：
# 本地靶场：泄露核查的调用形态（k-匿名前缀方案语义示例） import hashlib def check_breach(password: str) -> bool: digest = hashlib.sha256(password.encode()).hexdigest().upper() prefix = digest[:5] # 只外发前缀，不外发口令 candidates = breach_api.query(prefix) # 返回该前缀下的全部后缀集合 return digest[5:] in candidates # 本地精确比对 # 接入点一：注册与改密——命中即拒绝，提示更换（口令治理节的黑名单由此扩容） # 接入点二：存量比对——企业邮箱维度的泄露通知（配合统一认证强制轮换） # 接入点三：登录风控——该账号口令已在外部泄露 → 提升认证要求并引导改密
邮箱维度的存量比对更值得运营：用组织域名去匹配泄露通告（多数情报平台按域名提供订阅），命中清单回来后不必逐个口令核查——按"邮箱已泄露"直接触发强制改密与 MFA 开通，把处置粒度放在账号级，干净利落。
敌情情报的接入与消费
运营层情报（失陷指标：恶意 IP、域名、文件哈希）的消费要避免"只进不出"的情报池——收了一百万条指标，设备一条没用上，等于没买。正确姿势是管道化：情报源订阅 → 去重与置信度标注 → 按设备能力分发（防火墙吃地址、网关吃域名、终端吃哈希）→ 命中回传与时效清理。
# 情报消费管道（配置语义示例） feeds: - source: community-blocklist # 社区恶意地址库 confidence: medium action: monitor # 中置信先观察 ttl_days: 7 - source: sector-cert # 行业应急组织的定向通报 confidence: high action: block # 高置信直接阻断 ttl_days: 30 routing: ip_indicators: [edge_firewall, ids] domain_indicators: [dns_resolver, proxy] hash_indicators: [endpoint_agent] feedback: hit_to: soc_dashboard # 命中进值班看板，人工复核误报 expired: purge # 到期自动清理，防陈旧指标误伤
高置信与低置信的动作必须分级：定向通报的高置信指标可直接阻断；社区来源的中低置信先观察记日志，命中频次达标再升级动作。这套分级是误报治理的命根——情报驱动的封禁一旦误伤核心业务，管理层对整个体系的信任就会清零。
运营闭环
情报运营的日常节奏：每日晨会看前夜的情报命中与新增泄露订阅；每周把高置信新指标的下发覆盖率过一遍；每月评估各情报源的实际检出贡献，淘汰只占存储不出活的水源。把泄露凭证的处置做成看板指标：命中的邮箱数、已完成强制改密的比例、平均完成时长——数字摆在那里，跨部门的推动才有抓手。
情报工作的价值判断一句话：你的用户口令在黑市上流通了几个月而你毫无知觉，这本身就是最大的情报失败。订阅域名维度的泄露通告，是最便宜的"提前知情权"。
情报消费的三个成熟度台阶
情报体系不是一步到位的工程，可以按三段台阶往上走，每一段都有独立价值。台阶一（被动订阅）：域名维度的泄露通告 + 行业通报的邮件订阅，成本近乎为零，收获的是"知道自己该知道的事"——多数组织停在这台阶上就已经赢过同行一半。台阶二（管道化消费）：失陷指标接入设备、命中回流看板、分级动作（观察与阻断分开），收获的是"情报自动变成拦截条件"，误报治理与指标时效管理从这一阶开始成为必修课。台阶三（双向协同）：向社区与行业应急组织回传本方观测到的攻击基础设施（脱敏后），换取更早的定向通报，收获的是"从情报消费者变成节点"——大型组织与关键信息基础设施运营者值得走到这一阶。
自评所在台阶后，升级的优先动作其实很统一：先把已订阅的情报用起来，再考虑订阅更多。情报圈最常见的浪费不是缺源，是源远大于消费能力——指标堆在池子里过期，命中没人看，最终整个体系被"狼来了"的疲劳感拖垮。消费能力（分发管道、值班流程、误报反馈）永远优先于采集能力，这条排序适用于从台阶一到台阶三的每一步。
给台阶一的团队再补一个立即能做的动作：把泄露订阅的邮件直接转进工单系统而非个人邮箱。订阅邮件躺在某个人邮箱里的平均命运是"看过、没空、忘了"，转成工单后每条命中都有状态、有期限、有闭环——工具零成本，差的只是订阅配置里改一个投递地址。同理，行业通报的接收人至少两人（主备），避免单人休假造成情报断档。情报运营的失败大多不是能力问题，是这类最后一公里的流程细节。