企业主动防御操作指南

我考虑撰写这篇文章已有一段时间，最终决定付诸实践。本文所述内容在很大程度上取决于您法律上被允许执行的操作，这又取决于您的法人实体/公司所在国家、地区法律法规、影响您的国际法律以及业务本身（例如，与零售企业相比，网络安全公司将拥有更多自由）。因此，如果您决定对对手采取主动防御操作，必须首先与法律顾问确认您的目标并获得他们的批准。

话虽如此，在无所作为和反击对手之间存在多个层级。其中一些相当常见，而另一些则仅由国家层面行为体采用。为简化结构，我创建了一个图表，试图将它们置于某种框架中，帮助您确定在法律允许和技术能力范围内可以执行哪些主动防御操作。如果您不确定从哪里开始，请随意将其作为入门指南；但不要局限于其中提到的内容，根据您的需求和能力进一步发展它。它应该为您提供一个起点。图表下方是对每个提及名称的简要说明。

从低复杂性、低业务风险开始，逐步提升，我们有：

本地诱捕操作

所有可以在公司环境内部实施的网络诱骗手段，如蜜标、蜜罐、蜜网、金丝雀令牌、诱骗/虚假网络等，旨在引诱对手进入高度受控的环境并监控其活动，和/或快速检测并阻止/破坏其操作。

• 主动行动：诱使对手采取行动，使您获得检测和响应的战术优势。
• 复杂性：低/中
• 业务风险：轻微（由于需要对这些诱骗操作保密，可能对员工产生负面影响/看法，以及安全团队内部的复杂流程）

基础设施拆除

通过服务提供商或直接通过托管公司报告并请求拆除恶意基础设施。这包括请求拆除钓鱼域名、恶意软件托管服务器、电子邮件账户等。

• 主动行动：根据拆除类型，这可能是对对手基础设施的降级、拒绝、破坏或摧毁操作，迫使他们付出重建成本。
• 复杂性：低/中
• 业务风险：中等。流程需要明确定义，以避免诸如请求拆除合法基础设施、受到受影响公司的法律问题、在拆除请求中泄露敏感信息等问题。

间接公开披露

多家威胁情报供应商和国家CERT允许匿名报告/公开披露情报报告。此功能允许公司公开披露详细信息，否则将承担后面提到的"公开披露"操作的风险。

• 主动行动：迫使对手改变其TTP（从而增加其操作成本和延迟），使对手的行为和方式全球知晓，这可能使国家行为体或其他公司能够利用这些公开材料作为更激进主动行动的支持证据。
• 复杂性：低
• 业务风险：在仔细进行匿名化处理时风险较小。

主动暗网监控

该术语指获取访问权限并监控对手通信渠道（如Telegram群组、暗网论坛等）的任何操作，以尽早了解针对您业务的任何主动行动并采取适当措施。对于大多数公司来说，这通常通过威胁情报供应商实施。

• 主动行动：渗透到对手的通信平台并收集其活动情报。
• 复杂性：低/中
• 业务风险：通过供应商实施时风险较小。内部开发时风险中等，因为它需要高度纪律、流程、操作安全措施、法律和隐私批准等。

与当局合作

主动联系与网络行动相关的执法和/或情报机构，帮助他们对特定对手采取行动。例如，向他们提供只有您公司掌握的证据、信息等。

• 主动行动：可能促使国家层面针对您的对手采取行动，如起诉、外交/外部行动、制裁、秘密行动等。
• 复杂性：中等
• 业务风险：这会带来企业与特定政府和/或政党关联、意外卷入无关政府问题、成为您合作当局的"代理人"、被其他国家/政府视为国家层面代理人的显著风险。

法律行动

这涉及您公司可能对对手施加的任何形式的法律行动，如停止和终止信、查封恶意基础设施、对特定对手的刑事投诉、制裁等。

• 主动行动：通过法律手段积极公开地破坏和摧毁对手活动。
• 复杂性：中/高
• 业务风险：中/高。这将需要经验丰富的调查员、具有实际法律/起诉经验的数字取证专家、构建刑事案件和管理证据的流程、经验丰富的法律资源、接受公开曝光，当然还要接受现在您的对手知道您掌握的信息，并且当案件进入法庭时，您有可能败诉。

公开披露

这是许多国家行为体的外交政策工具，也可以在私营公司中实施。通过让所有人，特别是国家行为体，了解谁针对了您，您向全球任何其他国家提供了利用这些信息对抗您对手的弹药，而无需您直接参与。

• 主动行动：揭露旨在隐蔽的操作，导致对手改变策略，并给他们的对手机会利用这些披露的材料对付他们。
• 复杂性：中/高
• 业务风险：中/高。这种披露可能带来大量负面报道，也会揭示您掌握的信息。这意味着那些对手下次针对您公司时可能会使用更先进的技术。此外，国家可能要求您在法律行动中提供支持。对于风险较低的方法，请查看"间接公开披露"操作。

远程被动信号情报（SIGINT）

这意味着通过第三方（如数据经纪人或威胁情报供应商）获取信号（通常是原始网络流量或原始通信），这可以帮助您主动发现对手活动。

• 主动行动：检查在组织外部收集的数据，以主动发现并阻止针对您公司的任何对手活动。
• 复杂性：中等
• 业务风险：轻微。唯一风险是确保不使用任何非法或可疑服务，而是依赖行业标准和知名供应商。

远程诱捕操作

此类操作包括创建公司虚假资料、虚假公开暴露服务、带有跟踪令牌的虚假泄露文档等。这是后面讨论的"诱捕行动"的较轻版本。

• 主动行动：通过虚假目标引诱对手进行狩猎，以便在他们针对公司真实资产之前抓住他们。
• 复杂性：中等
• 业务风险：轻微。主要是围绕建立强大流程以避免安全错误，这些错误会危及您的安全状况，并保持这些流程得到良好管理，同时按需知密原则操作。

数据泄露数据利用

这意味着获取数据泄露中的数据，并利用它们揭示对手活动或情报，帮助您主动保护公司。示例包括主动发现用于恶意目的的基础设施、对手使用的账户、去匿名化等。

• 主动行动：利用原本对拥有它们的组织保密的数据，以获得对对手的更多洞察。
• 复杂性：中等
• 业务风险：中等。关于数据泄露数据利用存在许多法律和道德辩论，这可能对公