ASRC 2018 威胁情报专项收集计划

上报地址：https://security.alibaba.com/（请注明来自安全客）

 

计划简介

威胁情报已不是一项新的事物，它不像漏洞那样纯技术，更加丰富多彩。ASRC于2015年9月推出《阿里巴巴集团威胁情报定级标准V2.0》，自发布以来收到了来自上百名白帽的上千条情报，我们也发出了数十万的奖励。
2018年，我们希望能更聚焦、更专注于业务关注的痛点情报，故发布《2018威胁情报专项收集计划》，相关情报我们会同比有更强的意愿接收及给出更好的奖励。
当然其他类型的各类情报也还是正常收集。

 

活动时间

2018年6月6日 – 2019年3月31日

 

活动地址

上报地址：https://security.alibaba.com/（请注明来自安全客）

定级标准：https://security.alibaba.com/announcement/announcement?id=80

 

主办方

阿里安全响应中心

 

范围

以下情报范围均为阿里系相关情报
1.数据情报
外部在大量收集我们会员或交易数据的各类平台、工具及人的情报，如批量爬取手机号、会员信息等。

2.黄牛相关
黄牛软件：软件保证可用，可下载，需要提供可抢购成功的证据，需要提供软件账号。非淘系抢购软件不接收。
黄牛软件作者及总代理：提供黄牛软件作者和总代理的QQ等存在可联系的方式数据。
黄牛技术：被证明能用于突破阿里系黄牛防控的技术或者手法。

不接收的范围：
黄牛软件使用者：如单个发现某人使用黄牛软件抢购。
黄牛软件小代理：如普通的黄牛软件二级分销商，普通卖家等。
黄牛抢购情报：发现黄牛的抢购目标之类的，或者查询抢购清单类的，当前暂不关注。
非黄牛软件情报：使用批量付款工具的行为不属于黄牛产业链，当前暂不关注。

3.评价相关
阿里系商品评价：能通过技术手段或其他手段影响评价体系的工具、手法等，需要有相关例子作为证明。

4.手机接码相关
接码软件：软件保证可用可下载（最好上传网盘），软件功能保证可取号、可取短信即可，视频也可作为证明。
接码平台：保证可访问可取号
寄售平台上的手机接码相关情报：如来自一些寄售平台上在出售的手机接码链接或软件（大多为低危）
拉新薅羊毛方法：包括但不限于IP、设备等绕过方法类情报。

5.钓鱼相关
大型钓鱼站点后台地址：通过欺诈、网络劫持、seo等多种方式吸引了大量流量的钓鱼后台，积累了大量买家数据的，可以直接将相关后台进行举报，需要证明后台有大量数据，也可以提供相关证明方式。
大型钓鱼站点后台源码：市面上较为通用的钓鱼网站源码

6.搜索相关
能提高淘系平台商品或店铺的搜索权重、排名等数据的软件工具、技术手法、网站平台，需要保证软件、网站平台的可用性，手法类需要有证明可行的证据，包括但不限于截图、视频等。如卡位升排名卡首屏类软件、工具、平台。

基于按键精灵类的模拟点击软件或手法不要。

以上情报定级规则：
除寄售平台上的手机接码相关情报大多是低危情报外，其他类型情报一经确认危害最低为中危，具体视相关软件的使用量、涉及资金量、影响面而定。
重复上报的技术、软件、平台等情报将被驳回，软件请上传到网盘后附上链接，软件和平台需要可用、可访问。

 

无效情报

无效情报是指错误、无意义或根据现有信息无法调查利用的威胁情报，例如：
上报虚假捏造或人为制造情报信息的；
上报可能刷单、炒信的QQ群号，且未提供其他有效信息的；
通过社工等手段诱导客服进行相关操作的；
上报已发现或失效情报的。

 

评分标准通用原则

1. 评分标准仅适用于可威胁到阿里巴巴集团产品和业务相关的情报。与阿里巴巴集团完全无关的情报，不计贡献值；
2. 由于情报分析调查的时间较长，因此确认周期相比漏洞的时长较长；
3. 由于情报的时效性，报告已知或已失效的情报不计分；
4. 同一情报，首位报告者计贡献值，其他报告者均不计；
5. 涉及到与阿里巴巴安全的情报，在情报未处理完成前公开的，不计分；
6. 非核心业务的情报等级将结合情报影响程度作降级判定；
7. 人为自行制造安全威胁或安全事件情报的不计分，同时阿里巴巴将保留采取进一步法律行动的权利。

本活动自2018年6月8日起执行，ASRC负责本活动的解释和更新。