【小兕课堂】威胁情报知识入门

admin 2022年11月4日18:31:17安全闲碎评论26 views3109字阅读10分21秒阅读模式

在过去,为了防止爆发网络安全事件,企业的应对方式就像“救火队”,主要采取流量检测、行为感知、收集与分析等防御手段,通过部署防火墙、入侵检测系统等安全产品,配置相应访问控制策略和审计策略,对网络安全状况进行监测和管控,并在发生攻击后进行应急响应和备份恢复等。


这样的防御具有一定的狭隘性和滞后性,受限于对攻击及整体态势的识别和溯源,大多也只是“就事论事”,容易造成同类攻击的反复中招和影响。如今,业界普遍认同被动防御已经远远不够,需要实时掌握敌方的动态和趋势,以做出更完备的分析和响应。威胁情报,就像这八百里加急快报送来的敌情


急速增长的针对性网络攻击直接催生了威胁情报服务。或者用现在流行的一句话来概括:攻防不对等;而威胁情报的出现就是为了尽可能消除这种不对等。

【小兕课堂】威胁情报知识入门


1、什么是威胁情报?

根据Gartner在2014年发表的《安全威胁情报服务市场指南》中提出的定义:

威胁情报是关于IT或信息资产所面临的现有或潜在威胁的循证知识,包括情境、机制、指标、推论与可行建议,这些知识可为威胁响应提供决策依据。


另外,我们也可以参考2015年发表的《网络威胁情报权威指南》中对威胁情报所下的定义:

对敌方的情报,及其动机、企图和方法,进行收集、分析和传播,帮助各个层面的安全和业务成员保护企业关键资产。


简言之,威胁情报可以帮助企业快速了解到攻击方对自身的威胁信息,从而帮助提前做好威胁防范、调整防御策略,预知攻击的发生,从而实现较为精准的动态防御,更高效地进行事后攻击溯源。


2、威胁情报的要点

威胁情报包含了签名与信誉源、威胁数据源,还包括在全球范围内收集及分析活跃黑客的信息和技术信息,了解网络犯罪者和激进黑客共享的信息、技术、工具和基础设施。


威胁情报以对手为重点,具有前瞻性,针对攻击者及其战术、技术与程序(TTP)提供丰富的上下文数据。数据可能包括不同犯罪者的动机与目标、针对的漏洞、使用的域、恶意程序、社工方式、攻击活动的结构及其变化,以及黑客规避现有安全技术的技巧。


威胁情报要点:

攻击者身份

威胁情报需要能够帮助企业将攻击/恶意活动最终溯源至相应组织


攻击的原因

了解地方动机,在攻击中投入多少精力(APT或仅是投机型攻击),及其针对性强度等


攻击目的

判断攻击者的目的,帮助企业和组织基于资产重要性调整响应优先级


攻击过程

TTP(Tatics策略、Technique技术和Procedure程序),包含攻击者所用的工具、基础设施等


攻击者的定位

攻击者所在国家,地缘政治状况


如何组织情报

包括IOC等的技术指标,可用来更准确地检测和标记恶意行为


如何缓解攻击

企业用以保护自身资产的信息


3、威胁情报的部署与服务

威胁情报针对不同客户进行个性化定制。威胁情报服务需要收集每个客户的环境数据和情报要求,针对客户企业所处行业、技术和特定环境作出分析。


定制化的信息能够给企业提供充足的上下文信息,企业可依据自身的特定需求和风险状况,来设定优先级、作出最佳决策。


Gartner的《安全威胁情报服务市场指南》对威胁情报服务进行了切分:

【小兕课堂】威胁情报知识入门

这里的“获取和分析”可理解为收集自各种源(如电子或人工的)“纯粹”的情报,融合了黑客意图、安全专家分析预测等内容。


“实时监测与通知”反映了更广阔范围的信息,是对情报更为具体的呈现,是从技术角度来解读已经发生的活动信息。


一般来说,基于受众的差异,威胁情报包含两个不同的层面


第一种威胁情报是“战略层面”的,也就是供人阅读的。这类威胁情报不需要非常技术,主要为各类高管准备(如CEO、COO、CTO等),让其能够了解威胁对于业务连续性的影响,帮助做出正确的决策。


另一类是“可操作层面”的:可机读的数据——安全设备能够利用这些数据来加固安全性,比如SIEM和威胁情报的配合,对数据进行XML格式化,便于处理。


所以说威胁情报本身对于企业内部各个层面的人而言都是有意义的,包括SOC分析师、事件响应团队、做出决策的董事会。


4、威胁情报的主要优点

让威胁更加清晰可见

安全专家能够在新的地点发现新型威胁团体,发现不法分子使用的新恶意程序和社工方式。威胁情报帮助企业安全人员了解新的入侵威胁指标(IOC)及其他信息,以预防和检测更多攻击。


更快速响应针对性攻击

威胁情报会为客户安全团队提供详尽的信息,帮助企业了解哪些威胁最有可能影响客户所处行业及企业本身环境。威胁情报还可帮助企业优化漏洞修复,更快速响应紧急威胁。威胁情报可以为企业提供每个漏洞的详情,包括漏洞的原理、利用的难易程度以及外界是否已经出现利用方法或工具。


改善管理层沟通

如何与业务经理、执行层和董事会沟通安全问题的相关信息,是CISO常常面临的挑战。这种情况会导致在面对真正的安全威胁时,相关部门无法获得其他部门的配合和资金支持。威胁情报提供的信息,可以将攻击者具象化,明确其动机,帮助CISO将网络威胁转换为业务风险,通过威胁情报获得更多业务风险相关术语,便于没有技术背景的关联部门理解。


加强策略规划和投资

威胁情报能够针对新的攻击者和威胁提供确实的证据和详尽的分析,可以指导企业就安全方面作出更好的规划和投资决策,以改善其安全形势;同时又也可以减少不必要的风险和开支。


5、威胁情报的行业需求

政府单位

勒索病毒和钓鱼欺诈的高发领域,高级威胁事件发现能力普遍较弱,安全运营人员短缺,威胁检测分析工作主要依靠厂商人员,安全运营工作自主化、自动化、智能化、可视化程度低。需要将情报能力融入传统政务安全,建立检测、分析、响应三位一体的安全体系,依靠取证溯源提升安全专业能力。


金融

饱受钓鱼欺诈、安全漏洞及数据泄露的侵害,针对已经进入内网的威胁无法进行及时发现、响应,安全人员无法定位关键威胁并进行处置。需要提升内网失陷威胁检测能力,用情报赋能安全产品的分析能力。


互联网

长期面对层出不穷的新型攻击手段与未知威胁,攻击呈现出复杂性、隐蔽性、针对性的趋势,被动防御模式很容易被绕过。构建情报驱动的业务安全体系迫在眉睫,以实现云端和本地的全面监控。


能源

内网易被感染,隔离内网无法做到万无一失。企业通常分支机构多、分布地域广,资深安全分析人员短缺,安全运营集中管控难度大。隔离内网威胁检测能力和威胁事件分析及处置能力需要提升,运用情报加持总部分部集中管控,一点感知、全网联动。


医疗

信息系统安全建设能力相对其他行业薄弱,医院业务系统80%部署于虚拟化环境,缺乏东西向安全防护,终端数量多、分布范围广,运维工作难度大。利用情报辅助及时发现、处理潜在威胁,加强对未知威胁的感知,加强对终端安全管理和数据中心虚拟化安全防护。

【小兕课堂】威胁情报知识入门


赛欧思安全研究实验室

“赛欧思安全研究实验室”致力于“网络空间综合治理”相关技术研究和解决方案的定义,是郑州赛欧思科技有限公司建立至今,在网络安全研究和安全研发领域核心团队之一。实验室提出的“网络空间综合治理技术体系框架”,由“网络空间测绘”能力、“威胁情报分析”能力和“安全监测检测”能力三部分构成,在着重互联网资产元数据采集的基础上,紧贴网络安全业务需求模型,构建出支撑各项安全管理(监管、自管)需求的数据、能力和知识情报。

【小兕课堂】威胁情报知识入门

了解更多,加入我们

【小兕课堂】威胁情报知识入门

1、加入“交流群”

即在整个网页页面的右下角

扫描二维码,进入微信群

即可与开发人员进行实时交流

【小兕课堂】威胁情报知识入门

该二维码每周会轮换

建议由官网-威胁感知页面进入

https://tai.socmap.net/


2、给小兕写邮件

如果有建议或者意见

或者想要在情报专刊投稿

都可以给小兕写邮件

邮箱地址

[email protected]

小兕会在48小时内回复

【小兕课堂】威胁情报知识入门
【小兕课堂】威胁情报知识入门
【小兕课堂】威胁情报知识入门

点击阅读原文

探索更多精彩

【小兕课堂】威胁情报知识入门

原文始发于微信公众号(郑州赛欧思科技有限公司):【小兕课堂】威胁情报知识入门

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月4日18:31:17
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【小兕课堂】威胁情报知识入门 http://cn-sec.com/archives/1390703.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: