搜索

[11436] 2017-06-08_威胁情报简介及市场浅析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-06-08_威胁情报简介及市场浅析 威 胁 情 报 简 介 及 市 场 浅 析 k u m a   F r e e B u f   2 0 1 7 - 0 6 - 0 8 前 言 前 言 如 今 ， 多 数 如 今 ， 多 数 I T 执 行 者 都 已 经 意 识 到 ， 情 报 是 针 对 高 级 网 络 攻 击 的 有 力 武 器 。 根 据 执 行 者 都 已 经 意 识 到 ， 情 报 是 针 对 高 级 网 络 攻 击 的 有 力 武 器 。 根 据 G a r t n e r 分 析 师 分 析 师 R o b   M c M i l l a n 和 和 K h u s b u P r a t a p 的 说 法 ： 的 说 法 ： 到 2 0 1 8 年 ， 全 球 6 0 % 的 大 型 企 业 将 使 用 商 用 威 胁 情 报 服 务 ， 帮 助 他 们 制 定 安 全 策 略 。 但 是 ， 你 真 的 知 道 威 胁 情 报 是 什 么 么 ？ 网 络 威 胁 情 报 服 务 市 场 当 然 仍 然 相 对 年 轻 ， 而 且 市 场 上 有 哪 些 可 供 选 择 的 方 案 也 不 是 特 别 明 朗 。 本 文 将 就 网 络 威 胁 情 报 的 定 义 、 市 场 行 情 、 厂 商 概 况 等 信 息 进 行 汇 总 整 合 ， 以 期 增 进 读 者 对 威 胁 情 报 的 了 解 。 1 什 么 是 威 胁 情 报 ？ 什 么 是 威 胁 情 报 ？ 1 . 1   为 什 么 会 有 威 胁 情 报 ？ 为 什 么 会 有 威 胁 情 报 ？ 如 今 ， 新 一 代 的 攻 击 者 常 常 向 企 业 和 组 织 发 起 针 对 性 的 网 络 攻 击 。 这 样 的 网 络 威 胁 ， 用 术 语 来 说 就 是 “ 高 级 持 续 性 攻 击 ” （ D a l y ( 2 0 0 9 ) ） 。 这 种 针 对 特 定 企 业 或 行 业 的 攻 击 ， 一 般 经 过 了 精 心 的 策 划 ， 攻 击 方 法 错 综 复 杂 ， 常 导 致 严 重 的 数 据 泄 露 或 者 破 坏 。 最 近 几 个 备 受 关 注 的 案 例 包 括 ： 网 络 犯 罪 者 向 零 售 商 、 银 行 和 其 他 组 织 发 起 针 对 性 攻 击 ， 以 获 得 经 济 利 益 ； “ 激 进 黑 客 ” （ h a c k t i v i s t ） 和 国 家 背 景 的 黑 客 攻 击 媒 体 、 金 融 组 织 、 政 府 机 构 ， 以 实 现 政 治 目 的 。 其 他 的 案 例 包 括 ： 私 营 或 国 营 企 业 盗 取 国 防 企 业 及 制 造 商 的 工 程 和 业 务 流 程 信 息 ； 懂 金 融 的 黑 客 攻 击 医 疗 和 制 药 公 司 ， 来 获 取 影 响 股 票 价 格 的 内 部 信 息 。 这 些 黑 客 不 断 改 变 现 有 的 攻 击 方 式 ， 开 发 新 的 方 法 ； 单 独 依 赖 防 火 墙 、 入 侵 防 御 系 统 和 反 病 毒 软 件 ， 无 法 阻 止 这 些 黑 客 的 攻 击 。 这
类 攻 击 无 法 通 过 恶 意 程 序 签 名 或 者 过 去 的 攻 击 技 术 报 告 进 行 检 测 。 而 且 ， 实 际 上 ， 大 多 数 企 业 面 临 的 现 状 是 收 到 的 原 始 威 胁 数 据 过 多 ： 有 太 多 警 报 ， 太 多 漏 洞 预 警 和 补 丁 ， 太 多 关 于 各 类 恶 意 软 件 、 钓 鱼 攻 击 和 D D o S 攻 击 的 报 告 。 急 速 增 长 的 针 对 性 网 络 攻 击 直 接 催 生 了 威 胁 情 报 服 务 。 或 者 用 现 在 流 行 的 一 句 话 来 概 括 即 ： 攻 防 不 对 等 攻 防 不 对 等 — — 而 威 胁 情 报 的 出 现 就 而 威 胁 情 报 的 出 现 就 是 为 了 尽 可 能 消 除 这 种 不 对 等 。 是 为 了 尽 可 能 消 除 这 种 不 对 等 。 1 . 2   威 胁 情 报 的 定 义 威 胁 情 报 的 定 义 行 业 内 关 于 “ 威 胁 情 报 ” 的 讨 论 很 多 ， 但 是 这 个 词 的 定 义 却 各 有 各 的 说 法 ， 但 大 多 数 文 献 中 援 引 的 是 G a r t n e r 在 2 0 1 4 年 发 表 的 《 安 全 威 胁 情 报 服 务 市 场 指 南 》 （ M a r k e t   G u i d e   f o r   S e c u r i t y   T h r e a t   I n t e l l i g e n c e   S e r v i c e ） 中 提 出 的 定 义 ， 所 以 我 们 也 来 看 看 G a r t n e r 的 威 胁 情 报 定 义 ， 即 ： “ 威 胁 情 报 是 关 于 I T 或 信 息 资 产 所 面 临 的 现 有 或 潜 在 威 胁 的 循 证 知 识 ， 包 括 情 境 、 机 制 、 指 标 、 推 论 与 可 行 建 议 ， 这 些 知 识 可 为 威 胁 响 应 提 供 决 策 依 据 。 ” 如 果 认 为 G a r t n e r 为 威 胁 情 报 所 下 的 定 义 比 较 让 人 费 解 ， 我 们 可 以 参 考 J o n   F r i e d m a n 和 M a r k   B o u c h a r d 在 2 0 1 5 年 发 表 的 《 网 络 威 胁 情 报 权 威 指 南 》 （ D e f i n i t i v e   G u i d e   t o   C y b e r   T h r e a t   I n t e l l i g e n c e ） 中 对 威 胁 情 报 所 下 的 定 义 ： “ 对 敌 方 的 情 报 ， 及 其 动 机 、 企 图 和 方 法 进 行 收 集 、 分 析 和 传 播 ， 帮 助 各 个 层 面 的 安 全 和 业 务 成 员 保 护 企 业 关 键 资 产 。 ” 信 息 信 息 v s 情 报 情 报 威 胁 情 报 与 普 通 的 威 胁 数 据 源 有 什 么 差 别 ？ d a r k r e a d i n g 对 比 了 传 统 的 信 息 与 情 报 ， 可 以 帮 助 我 们 理 解 情 报 的 特 点 ： i S i g h t   P a r t n e r s 将 威 胁 信 息 服 务 分 为 三 种 不 同 的 阶 段 ： 签 名 与 信 誉 源 签 名 与 信 誉 源 ， 威 胁 数 据 源 威 胁 数 据 源 和 网 络 威 胁 情 报 网 络 威 胁 情 报 。
签 名 与 信 誉 源 签 名 与 信 誉 源 ， 一 般 指 的 是 恶 意 程 序 “ 签 名 ” （ 文 件 哈 希 ） 、 U R L 信 誉 数 据 和 入 侵 指 标 ， 有 时 也 包 括 一 些 基 本 的 数 据 （ 例 如 “ 今 日 1 0 大 恶 意 程 序 威 胁 ” ） 。 威 胁 数 据 源 的 主 要 价 值 在 于 提 升 下 一 代 防 火 墙 （ N G F W ） 、 入 侵 防 御 系 统 （ I P S ） 、 安 全 网 关 （ S W G ） 、 反 恶 意 程 序 和 反 垃 圾 邮 件 包 以 及 其 他 技 术 的 有 效 性 。 签 名 与 信 誉 源 是 纵 深 防 御 策 略 的 其 中 一 面 ， 但 这 类 服 务 存 局 限 性 。 签 名 与 信 誉 源 能 够 阻 挡 多 数 攻 击 ， 但 却 无 法 阻 挡 没 有 签 名 的 针 对 性 攻 击 。 签 名 与 信 誉 源 针 对 个 体 威 胁 指 标 提 供 数 据 ， 却 无 法 提 供 上 下 文 ， 无 法 帮 助 企 业 识 别 ， 企 业 自 身 、 企 业 员 工 或 者 客 户 是 否 已 经 成 为 攻 击 目 标 。 大 量 的 签 名 和 信 誉 分 值 ， 也 会 让 S I E M 系 统 和 防 火 墙 产 生 大 量 告 警 ， 而 如 此 大 量 的 数 据 安 全 团 队 是 无 法 评 估 的 。 威 胁 数 据 源 威 胁 数 据 源 ， 对 常 见 恶 意 程 序 和 攻 击 活 动 的 波 及 范 围 、 源 头 和 目 标 进 行 统 计 分 析 。 某 些 安 全 研 究 团 队 针 对 特 定 恶 意 程 序 发 布 的 攻 击 解 析 ， 或 者 对 高 级 、 多 阶 段 攻 击 的 攻 击 顺 序 观 察 ， 都 属 于 此 类 。 威 胁 报 告 对 于 安 全 管 理 平 台 （ S O C ） 和 应 急 响 应 团 队 （ I R t e a m ） 是 很 有 价 值 的 ， 能 够 帮 助 他 们 分 辨 攻 击 模 式 。 但 是 大 多 数 “ 威 胁 实 验 室 ” 所 作 的 分 析 都 有 明 显 的 缺 陷 。 数 据 收 集 是 被 动 的 （ “ 我 们 在 防 火 墙 和 网 络 传 感 器 上 看 到 了 什 么 ？ ” ） ， 经 常 与 该 供 应 商 客 户 群 的 地 理 位 置 和 行 业 情 形 有 关 。 这 类 分 析 是 后 顾 型 的 （ “ 过 去 六 个 月 我 们 在 网 络 攻 击 中 观 察 到 了 什 么 ” ） 。 这 类 分 析 无 法 用 于 识 别 黑 客 的 新 策 略 和 技 术 。 威 胁 情 报 威 胁 情 报 包 含 了 前 两 者 的 基 础 数 据 ， 但 同 时 在 几 个 重 点 方 面 作 了 提 升 ， 包 括 在 全 球 范 围 内 收 集 及 分 析 活 跃 黑 客 的 信 息 和 技 术 信 息 ， 也 就 是 说 持 续 监 控 黑 客 团 体 和 地 下 站 点 ， 了 解 网 络 犯 罪 者 和 激 进 黑 客 共 享 的 信 息 、 技 术 、 工 具 和 基 础 设 施 。 此 类 服 务 还 要 求 其 团 队 拥 有 多 样 化 的 语 言 能 力 和 文 化 背 景 ， 以 便 理 解 全 球 各 地 黑 客 的 动 机 和 关 系 。 另 外 ， 威 胁 情 报 以 对 手 为 重 点 ， 具 有 前 瞻 性 ， 针 对 攻 击 者 及 其 战 术 、 技 术 与 程 序 （ T T P ） 提 供 丰 富 的 上 下 文 数 据 。 数 据 可 能 包 括 不 同 犯 罪 者 的 动 机 与 目 标 ， 针 对 的 漏 洞 ， 使 用 的 域 、 恶 意 程 序 和 社 工 方 式 ， 攻 击 活 动 的 结 构 及 其 变 化 ， 以 及 黑 客 规 避 现 有 安 全 技 术 的 技 巧 。 针 对 攻 击 方 的 威 胁 情 报 应 该 包 含 的 要 点 包 括 了 ： -   攻 击 者 身 份 ： 威 胁 情 报 需 要 能 够 帮 助 企 业 将 攻 击 / 恶 意 活 动 最 终 溯 源 至 相 应 组 织 （ 网 络 犯 罪 团 体 、 黑 客 、 政 府 / 国 家 机 构 等 ） -   攻 击 的 原 因 ： 了 解 地 方 动 机 ， 以 及 他 们 会 在 攻 击 中 投 入 多 少 精 力 （ A P T 或 仅 是 投 机 型 攻 击 ） ， 及 其 针 对 性 有 多 强 等 -   攻 击 目 的 ： 了 解 攻 击 者 的 目 的 ， 对 于 企 业 和 组 织 基 于 资 产 重 要 性 调 整 响 应 优 先 级 也 是 有 意 义 的
-   具 体 是 怎 么 做 的 ： 也 就 是 所 谓 的 T T P （ T a t i c s 策 略 、 T e c h n i q u e 技 术 和 P r o c e d u r e 程 序 ） ， 这 其 中 也 包 含 了 攻 击 者 所 用 的 工 具 、 基 础 设 施 等 -   攻 击 者 的 位 置 ： 结 合 地 方 所 在 国 家 ， 以 及 其 地 缘 政 治 状 况 ， 自 然 能 够 帮 助 企 业 和 组 织 更 好 地 理 解 地 方 情 况 -   如 何 组 织 情 报 ： 包 括 I O C 一 类 的 技 术 指 标 （ 比 如 I P 地 址 、 哈 希 值 等 ） 提 供 的 信 息 可 用 来 更 准 确 地 检 测 和 标 记 恶 意 行 为 -   如 何 缓 解 攻 击 ： 企 业 可 用 以 保 护 自 身 的 信 息 威 胁 情 报 针 对 不 同 客 户 进 行 个 性 化 定 制 。 真 正 的 威 胁 情 报 服 务 会 收 集 每 个 客 户 的 环 境 数 据 和 情 报 要 求 ， 针 对 客 户 企 业 所 处 行 业 、 技 术 和 特 定 环 境 作 出 分 析 。 定 制 化 的 信 息 能 够 给 企 业 提 供 充 足 的 上 下 文 信 息 ， 企 业 可 依 据 自 身 的 特 定 需 求 和 风 险 状 况 ， 来 设 定 优 先 级 、 作 出 最 佳 决 策 ， 而 不 是 根 据 整 个 行 业 的 普 遍 情 况 。 1 . 3   威 胁 情 报 的 部 署 威 胁 情 报 的 部 署 G a r t n e r 认 为 ， 情 报 是 过 程 的 产 物 ， 而 非 独 立 数 据 点 的 合 集 。 G a r t n e r 刻 画 了 威 胁 情 报 的 生 命 周 期 威 胁 情 报 的 生 命 周 期 ： 其 中 各 项 具 体 含 义 如 下 ： 定 向 ： 定 义 目 标 并 完 善 收 集 ： 从 多 种 开 放 或 封 闭 的 源 收 集 数 据 ； 电 子 的 、 人 工 的 处 理 ： 如 有 需 要 ， 翻 译 ； 进 行 可 靠 性 评 估 ； 核 对 多 个 源 分 析 ： 判 断 此 信 息 的 意 义 ； 评 估 信 息 的 重 要 性 ； 推 荐 相 应 措 施 传 递 ： 将 情 报 传 递 给 客 户 反 馈 ： 依 照 需 求 调 整
将 威 胁 情 报 和 内 部 信 息 相 关 联 ， 企 业 或 组 织 对 于 攻 击 会 有 更 清 晰 的 认 识 ， 也 能 够 对 威 胁 进 行 事 先 防 御 。 那 么 这 些 威 胁 情 报 究 竟 具 体 是 怎 么 应 用 到 安 全 策 略 中 的 呢 ？ 一 般 来 说 ， 基 于 受 众 的 差 异 ， 威 胁 情 报 包 含 两 个 不 同 的 层 面 。 第 一 种 威 胁 情 报 是 “ 战 略 层 面 ” 的 ， 也 就 是 供 人 阅 读 的 。 这 类 威 胁 情 报 不 需 要 非 常 技 术 ， 主 要 为 各 类 高 管 准 备 （ 如 C E O 、 C O O 、 C T O 等 ） ， 让 他 们 能 够 了 解 威 胁 对 于 业 务 连 续 性 的 影 响 ， 帮 助 他 们 做 出 正 确 的 决 策 。 这 类 威 胁 情 报 的 典 型 呈 现 方 式 就 是 报 告 。 另 一 类 是 “ 可 操 作 层 面 ” 的 ， 或 者 说 是 可 机 读 的 数 据 — — 安 全 设 备 能 够 利 用 这 些 数 据 来 加 固 安 全 性 ， 比 如 上 面 提 到 S I E M 和 威 胁 情 报 的 配 合 。 这 些 数 据 很 多 是 X M L 格 式 化 过 的 ， 易 于 处 理 。 所 以 说 威 胁 情 报 本 身 对 于 企 业 内 部 各 个 层 面 的 人 而 言 都 是 有 意 义 的 ， 包 括 S O C （ 安 全 运 营 中 心 ） 分 析 师 、 事 件 响 应 团 队 ， 甚 至 到 做 出 决 策 的 董 事 会 。 威 胁 情 报 主 要 服 务 威 胁 情 报 主 要 服 务 G a r t n e r 的 《 安 全 威 胁 情 报 服 务 市 场 指 南 》 对 威 胁 情 报 服 务 进 行 了 切 分 ： 由 于 G a r t n e r 的 这 份 市 场 指 导 只 着 重 于 第 一 和 第 三 类 ， 也 就 是 核 心 威 胁 情 报 ， 我 们 也 就 针 对 这 一 部 分 作 一 些 说 明 。 这 里 的 “ 获 取 和 分 析 获 取 和 分 析 ” 可 理 解 为 收 集 自 各 种 源 （ 如 电 子 或 人 工 的 ） “ 纯 粹 ” 的 情 报 ， 融 合 了 类 似 黑 客 意 图 等 内 容 ， 内 容 可 包 含 人 工 叙 述 式 的 分 析 — — 专 为 客 户 定 制 ， 同 时 也 包 含 部 分 预 测 内 容 。 “ 实 时 监 测 与 通 知 实 时 监 测 与 通 知 ” 则 反 映 了 更 广 阔 范 围 的 信 息 ， 是 对 情 报 更 为 具 体 的 呈 现 ， 也 是 这 块 市 场 的 真 正 支 点 。 这 部 分 主 要 相 关 那 些 已 经 发 生 的 活 动 信 息 ， 并 且 是 从 技 术 角 度 来 进 行 解 读 的 。 这 种 情 报 不 包 含 指 标 之 外 的 大 量 分 析 ， 也 不 给 出 黑 客 攻 击 意 图 等 深 度 信 息 。 比 如 说 僵 尸 网 络 C & C   I P 地 址 信 息 ， 就 属 于 此 类 情 报 的 典 型 。 1 . 4   威 胁 情 报 的 主 要 优 点 威 胁 情 报 的 主 要 优 点 让 威 胁 更 加 清 晰 可 见 让 威 胁 更 加 清 晰 可 见 熟 悉 当 地 语 言 、 行 话 的 研 究 人 员 能 够 在 新 的 地 点 发 现 新 型 威 胁 团 体 ， 发 现 他 们 使 用 的 新 恶 意 程 序 变 种 和 新 的 社 工 方 式 。 威 胁 情 报 帮 助 企 业 安 全 人 员 了 解 新 的 入 侵 威 胁 指 标 （ I O C ） 及 其 他 信 息 ， 以 预 防 和 检 测 更 多 攻 击 。 威 胁 情 报 还 可 帮 助 I T 管 理 人 员 和 安 全 分 析 师 了 解 哪 些 应 用 、 系 统 和 用 户 群 最 有 可 能 遭 受 攻 击 ， 从 而 优 先 保 护 这 些 高 风 险 目 标 。 更 快 速 响 应 针 对 性 攻 击 更 快 速 响 应 针 对 性 攻 击 威 胁 情 报 会 为 客 户 安 全 团 队 提 供 详 尽 的 信 息 ， 帮 助 他 们 了 解 哪 些 威 胁 最 有 可 能 影 响 客 户 所 处 行 业 及 该 企 业 本 身 环 境 。 由 此 ， 客 户 可 以 只 关 注 与 其 自 身 紧 密 相 关 的 攻 击 产 生 的 预 警 和 通 知 。 威 胁 情 报 提 供 含 有 上 下 文 信 息 的 威 胁 分 析 ， 能 令 S I E M 工 具 自 动 提 升 真 正 有 意 义 的 预 警 的 优 先 级 。 安 全 团 队 可 获 得 所 需 的 上 下 文 ， 以 识 别 特 定 攻 击 者 的 攻 击 模 式 。
威 胁 情 报 还 可 帮 助 企 业 优 化 漏 洞 修 复 ， 更 快 速 响 应 紧 急 威 胁 。 企 业 不 再 根 据 “ 高 危 / 重 要 / 中 危 / 低 危 ” 这 样 简 单 粗 暴 的 评 级 ， 来 决 定 应 优 先 修 复 哪 些 漏 洞 ， 威 胁 情 报 可 以 为 他 们 提 供 每 个 漏 洞 的 详 情 ， 包 括 漏 洞 的 原 理 、 利 用 的 难 易 程 度 以 及 外 界 是 否 已 经 出 现 利 用 方 法 或 工 具 。 优 先 次 序 安 排 得 当 则 可 以 缩 短 对 紧 急 威 胁 的 响 应 时 间 ， 而 不 是 浪 费 时 间 去 修 复 一 些 “ 高 危 ” 但 实 际 没 有 风 险 的 漏 洞 。 改 善 管 理 层 沟 通 改 善 管 理 层 沟 通 如 何 与 业 务 经 理 、 执 行 层 和 董 事 会 沟 通 安 全 问 题 的 相 关 信 息 ， 是 C I S O 常 常 面 临 的 挑 战 。 这 种 情 况 就 导 致 在 面 对 真 正 的 安 全 威 胁 时 ， 相 关 部 门 无 法 获 得 其 他 部 门 的 配 合 和 资 金 支 持 。 威 胁 情 报 提 供 的 信 息 ， 可 以 将 攻 击 者 具 象 化 ， 明 确 其 动 机 ， 帮 助 C I S O 将 网 络 威 胁 转 换 为 业 务 风 险 。 C I S O 可 以 通 过 威 胁 情 报 获 得 更 多 业 务 风 险 相 关 术 语 ， 汇 报 时 ， 没 有 技 术 背 景 的 领 导 层 也 能 够 理 解 。 安 全 管 理 人 员 在 与 C F O 或 其 他 管 理 层 汇 报 时 ， 不 必 继 续 使 用 技 术 术 语 （ 如 ， “ 上 周 我 们 评 估 了 1 0 0 0 条 预 警 ， 阻 止 了 2 0 0 个 恶 意 程 序 ” ） ， 而 可 以 这 样 说 — — “ 上 周 ， 有 黑 客 试 图 破 坏 我 们 的 网 站 ， 损 坏 公 司 品 牌 ， 我 们 成 功 阻 止 了 他 。 ” 加 强 策 略 规 划 和 投 资 加 强 策 略 规 划 和 投 资 威 胁 情 报 能 够 针 对 新 的 攻 击 者 和 威 胁 提 供 确 实 的 证 据 和 详 尽 的 分 析 。 此 类 信 息 可 以 指 导 企 业 就 安 全 方 面 作 出 更 好 的 规 划 和 投 资 决 策 ， 以 改 善 其 安 全 形 势 ， 与 此 同 时 又 可 以 减 少 不 必 要 的 风 险 和 开 支 。 反 之 ， 威 胁 情 报 能 够 分 析 出 某 些 威 胁 与 特 定 的 行 业 或 企 业 类 型 不 相 关 ， 帮 助 企 业 避 免 将 有 限 的 资 源 放 置 在 错 误 的 位 置 。 2   威 胁 情 报 市 场 现 状 威 胁 情 报 市 场 现 状 2 . 1   调 查 对 象 调 查 对 象 由 于 国 内 威 胁 情 报 市 场 还 比 较 不 成 熟 ， 我 们 也 没 有 国 内 的 数 据 ， 因 此 依 然 以 国 际 市 场 的 数 据 作 为 参 考 。 S A N S 在 去 年 8 月 发 布 了 《 S A N S 网 络 威 胁 情 报 调 查 》 （ T h e   S A N S   S t a t e   o f   C y b e r   T h r e a t   I n t e l l i g e n c e   S u r v e y :   C T I   I m p o r t a n t   a n d   M a t u r i n g ） 。 S A N S 选 取 了 全 球 2 2 0 个 企 业 ， 涉 及 I T 、 政 府 、 银 行 和 金 融 、 制 造 、 教 育 、 医 疗 、 咨 询 和 通 信 等 行 业 。 其 中 规 模 超 过 5 0 0 0 人 的 企 业 占 比 4 8 % 。 2 . 2   项 目 成 熟 度 项 目 成 熟 度
在 2 0 1 4 和 2 0 1 5 年 的 调 查 中 ， 许 多 安 全 人 员 也 还 不 清 楚 威 胁 情 报 到 底 是 什 么 ， 以 及 如 何 更 好 地 使 用 威 胁 情 报 。 但 即 便 在 前 两 年 的 调 查 中 ， 已 经 有 4 8 % 的 企 业 反 映 依 据 威 胁 情 报 后 采 取 的 预 防 措 施 ， 能 够 减 少 安 全 事 件 的 数 量 。 -   9 4 % 的 受 访 企 业 表 示 目 前 已 有 威 胁 情 报 项 目 ； -   2 8 % 的 企 业 表 示 其 威 胁 情 报 项 目 正 处 于 萌 芽 或 不 成 熟 的 阶 段 ； -   约 4 1 % 的 企 业 表 示 其 威 胁 情 报 项 目 正 在 企 业 环 境 中 逐 渐 成 熟 ； -   2 6 % 的 企 业 认 为 其 项 目 已 经 成 熟 或 非 常 成 熟 。 2 . 3   具 体 的 改 进 之 处 具 体 的 改 进 之 处 6 4 % 的 受 访 企 业 表 示 威 胁 情 报 改 善 了 企 业 的 安 全 状 况 和 响 应 能 力 ， 3 % 认 为 报 没 有 改 善 ， 其 他 则 表 示 改 善 状 况 “ 不 明 ” 。 这 个 数 据 与 2 0 1 5 年 的 调 查 数 据 较 为 一 致 。 上 述 6 4 % 的 企 业 认 为 具 体 的 改 进 之 处 如 下 ： -   7 3 % 认 为 能 够 做 出 更 好 、 更 明 智 的 决 策 ； -   7 1 % 认 为 威 胁 更 加 可 视 化 ， 但 也 有 3 4 % 不 明 确 -   5 8 % 认 为 安 全 响 应 更 快 、 更 准 确 -   5 3 % 表 示 对 未 知 威 胁 的 检 测 有 所 提 升 -   4 8 % 表 示 安 全 事 件 减 少 -   3 9 % 表 示 威 胁 情 报 有 效 减 少 了 事 件 的 影 响 2 . 4   威 胁 情 报 来 源 威 胁 情 报 来 源 随 着 安 全 团 队 越 来 越 习 惯 于 使 用 威 胁 情 报 数 据 ， 许 多 安 全 团 队 一 直 在 寻 找 新 的 以 及 不 同 的 源 。 目 前 ， -   7 4 % 从 公 共 情 报 源 获 取 情 报 ； -   7 0 % 采 用 威 胁 情 报 供 应 商 的 商 业 源 ； -   约 5 7 % 使 用 开 源 情 报 源 ； -   4 6 % 使 用 内 部 数 据
供 应 商 提 供 的 威 胁 情 报 供 应 商 提 供 的 威 胁 情 报 在 上 述 采 用 威 胁 情 报 供 应 商 的 企 业 中 ， 5 6 % 收 集 并 分 析 I D S 、 I P S 、 U T M 和 防 火 墙 系 统 产 生 的 预 警 信 息 ， 4 7 % 的 数 据 来 源 于 端 点 安 全 供 应 商 ， 4 4 % 来 源 于 S I E M 供 应 商 。 而 在 去 年 ， 来 源 主 要 是 端 点 安 全 供 应 商 ， 其 次 是 I D S 、 I P S 、 防 火 墙 和 威 胁 情 报 平 台 供 应 商 。 其 中 一 项 比 较 有 趣 的 数 据 是 ， 只 有 2 5 % 的 受 访 企 业 采 用 了 专 用 威 胁 情 报 服 务 ， 这 个 数 据 让 人 比 较 意 外 。 这 就 意 味 着 ， 企 业 采 用 的 大 部 分 数 据 是 来 自 比 较 传 统 的 供 应 商 。
2 . 5   威 胁 情 报 主 要 用 途 威 胁 情 报 主 要 用 途 S A N S 今 年 调 查 了 受 访 企 业 使 用 威 胁 情 报 数 据 的 主 要 用 途 ， 根 据 统 计 结 果 ， 三 个 最 重 要 的 用 途 为 ： 在 出 口 处 （ 如 防 火 墙 ） 拦 截 恶 意 域 或 I P 地 址 （ 6 3 % ） 为 调 查 或 事 件 评 估 提 供 上 下 文 （ 5 0 % ） 检 查 D N S 服 务 器 日 志 ， 以 发 现 恶 意 域 或 I P 地 址 （ 3 0 % ） 其 他 用 途 还 包 括 ： 在 端 点 主 动 寻 找 文 件 系 统 指 标 指 示 器 ， 为 团 队 及 管 理 层 提 供 趋 势 数 据 和 报 告 ， 结 合 内 部 生 成 指 标 与 商 业 指 标 进 行 攻 击 溯 源 ， 为 恶 意 流 量 定 制 I D S 签 名 ， 在 端 点 主 动 寻 找 注 册 指 示 器 ， 从 商 用 资 源 库 下 载 恶 意 程 序 样 本 、 逆 向 工 程 以 获 得 更 多 指 标 2 . 6   威 胁 情 报 与 防 御 响 应 体 系 的 整 合 威 胁 情 报 与 防 御 响 应 体 系 的 整 合 为 了 将 威 胁 情 报 数 据 用 于 防 御 与 响 应 体 系 ， 4 1 % 的 企 业 表 示 正 使 用 供 应 商 提 供 的 A P I ， 而 3 6 % 的 企 业 正 建 设 自 己 的 A P I ， 来 将 威 胁 情 报 数 据 整 合 至 安 全 工 具 与 进 程 中 。 还 有 企 业 使 用 情 报 供 应 商 、 第 三 方 整 合 工 具 等 ， 具 体 情 况 如 下 图 所 示 。
2 . 7   威 胁 情 报 的 处 理 威 胁 情 报 的 处 理 根 据 统 计 数 据 ， 用 于 管 理 威 胁 情 报 源 的 主 要 工 具 为 S I E M 系 统 。 第 二 常 用 的 为 入 侵 监 测 平 台 ， 商 用 威 胁 情 报 管 理 平 台 为 第 三 ， 有 5 2 % 的 企 业 正 在 使 用 。 开 源 威 胁 情 报 平 台 使 用 频 率 较 低 ， 有 4 3 % 的 企 业 在 使 用 ， 并 且 需 要 与 其 他 工 具 整 合 及 协 作 。 其 他 的 还 包 括 自 主 开 发 的 工 具 、 分 析 平 台 、 商 业 情 报 工 具 和 取 证 工 具 等 。 2 . 8   威 胁 情 报 管 理 解 决 方 案 威 胁 情 报 管 理 解 决 方 案 3 5 % 的 安 全 团 队 利 用 恶 意 程 序 信 息 共 享 平 台 （ M I S P ） ；
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理