Проактивная защита корпоративного бренда с помощью Censys

Для создания убедительной имитации бренда атакующему необходимо зарегистрировать домен, получить сертификат, настроить сервер и разместить визуальные материалы. Большинство стандартных решений безопасности фокусируются на фиксации уже готовых фишинговых страниц, что делает защиту реактивной. Компания Censys предлагает другой подход: платформа индексирует ключевые элементы интернет-инфраструктуры, позволяя отслеживать активность злоумышленников еще до того, как ресурс станет доступен для жертв. Видя домены, веб-свойства, сертификаты, хосты и записи DNS, специалисты по кибербезопасности могут выявить подготовку к атаке на самых ранних этапах.

TLS-сертификат позволяет вебсайту использовать HTTPS, что является критически важным для киберпреступников, поскольку браузеры предупреждают пользователей о незашифрованных соединениях. Получить сертификат для домена наподобие «{БРЕНД}-support[.]com» можно абсолютно легально и автоматически. Однако современные браузеры требуют фиксации публичных сертификатов в логах Certificate Transparency (CT). Платформа Censys поглощает эти данные, позволяя защитникам отслеживать выпуск сертификатов с упоминанием их бренда через запросы со статусом «precert». Это дает возможность увидеть враждебный домен еще до того, как фишинговая страница будет завершена.

Киберпреступники постоянно усложняют тактики скрытия. Вместо типичных ошибок в словах, они используют название бренда как префикс на собственном домене (например, «google[.]2oauth[.]com»), что на экране мобильного телефона выглядит вполне легитимно. Во время исследования деятельности группировки UNC1151 специалисты Censys выявили использование дефисов вместо точек для имитации украинских порталов (например, «meta-ua[.]cc[.]cd»). Инструментарий платформы позволяет генерировать пермутации и использовать регулярные выражения, чтобы автоматически находить такие нестандартные структуры среди миллиардов записей.

Если домен не содержит названия компании, злоумышленники вынуждены копировать оригинальный контент, чтобы страница выглядела убедительно. Часто они не просто загружают файлы, а вставляют прямые ссылки на легитимные активы. Например, один из клонов страницы Roblox напрямую загружал ресурсы с официальной инфраструктуры компании. Другой показательный пример касается расследования фишинга под видом почтовой службы USPS: киберпреступники скопировали оригинальный HTML-код вместе с рабочим тегом Google Analytics 4. В результате каждое загрузка фишингового сайта фиксировалась в реальной аналитике жертвы. Поиск собственных идентификаторов или хешей фавиконов позволяет находить такие клоны с высокой точностью.

Каждый хост в базе Censys получает оценку репутации от 0 до 100 на основе модели машинного обучения, которая учитывает индикаторы компрометации, уязвимости и данные WHOIS. Это помогает быстро отфильтровать информационный шум. Более того, инструмент Censys Investigator позволяет найти всю сеть злоумышленника, имея только один индикатор. Во время анализа подделок Roblox платформа преобразовала 3 подозрительных домена в кластер из 32 участников, основываясь на идентичных хешах баннеров и структуре страниц. А сохранение исторических данных DNS позволяет отслеживать инфраструктуру, которая постоянно изменяет IP-адреса.

Обнаружение угрозы — это только половина дела; для ее устранения нужно отправить запрос соответствующему провайдеру (Takedown). Данные Censys позволяют четко различать конечные серверы злоумышленников (Origin), промежуточные узлы защиты типа CDN/WAF (Edge) и скомпрометированные устройства или прокси (Relay). Жалобы на Edge-адреса, обслуживающие тысячи легитимных сайтов, не дадут результата. Платформа автоматически маркирует эти узлы и предоставляет актуальные контакты отделов злоупотреблений (abuse contacts) реальных хостинг-провайдеров, что существенно ускоряет процесс ликвидации враждебных ресурсов.

Главная структурная слабость киберпреступников заключается в том, что для успешной имитации они вынуждены использовать оригинальные цифровые артефакты бренда. Системный мониторинг инфраструктурных следов с помощью решений Censys позволяет компаниям превратить пассивную защиту в проактивный процесс киберразведки, останавливая атаки еще до того, как они достигнут пользователей.

Компания iiTD как дистрибьютор предлагает передовые решения для защиты информационных активов и сетевой инфраструктуры. Экспертная команда обеспечивает полный супровождение проектов от оценки потребностей до внедрения систем аналитики поверхности атаки, помогая партнерам находить теневую инфраструктуру и надежно защищать корпоративные бренды от киберугроз.