搜索

[2564] 2016-01-19_如何从威胁数据当中提取出威胁情报

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2016-01-19_如何从威胁数据当中提取出威胁情报 如 何 从 威 胁 数 据 当 中 提 取 出 威 胁 情 报 E 安 全   2 0 1 6 - 0 1 - 1 9 威 胁 情 报 供 给 能 力 已 经 成 为 各 类 组 织 机 构 内 网 络 安 全 体 系 的 重 要 组 成 部 分 。 目 前 已 经 有 多 家 安 全 方 案 供 应 商 针 对 最 新 恶 威 胁 情 报 供 给 能 力 已 经 成 为 各 类 组 织 机 构 内 网 络 安 全 体 系 的 重 要 组 成 部 分 。 目 前 已 经 有 多 家 安 全 方 案 供 应 商 针 对 最 新 恶 意 软 件 手 段 、 恶 意 域 名 、 网 站 、 意 软 件 手 段 、 恶 意 域 名 、 网 站 、 I P 地 址 以 及 基 于 主 机 的 违 规 指 标 （ 简 称 地 址 以 及 基 于 主 机 的 违 规 指 标 （ 简 称 I o C ） 提 供 与 安 全 威 胁 相 关 的 情 报 反 馈 。 ） 提 供 与 安 全 威 胁 相 关 的 情 报 反 馈 。 而 这 些 威 胁 反 馈 方 案 的 本 质 思 路 可 谓 大 同 小 异 。 恶 意 人 士 的 行 动 速 度 正 变 得 越 来 越 快 ， 而 强 大 的 情 报 供 应 能 力 则 将 使 安 全 供 应 商 得 以 快 速 反 应 并 共 享 与 实 际 出 现 的 最 新 威 胁 相 关 联 的 重 要 信 息 。 这 些 策 略 无 疑 会 给 情 报 订 阅 用 户 带 来 诸 多 助 益 。 企 业 能 够 通 过 这 种 众 包 方 式 快 速 获 得 关 键 信 息 ， 同 时 实 现 恶 意 软 件 特 征 签 名 的 快 速 交 付 。 然 而 ， 此 类 方 案 的 局 限 同 样 不 容 忽 视 。 在 大 多 数 情 况 下 ， 威 胁 供 应 机 制 交 付 特 征 签 名 的 速 度 仍 远 远 不 及 攻 击 者 的 行 动 节 奏 。 特 定 恶 意 负 载 、 U R L 以 及 I P 地 址 的 存 在 时 间 可 能 相 当 短 暂 ， 这 意 味 着 其 往 往 只 会 被 应 用 在 一 次 真 正 有 针 对 性 的 攻 击 活 动 当 中 。 2 0 1 5 年 V e r i z o n 数 据 泄 露 调 查 报 告 当 中 详 尽 说 明 了 这 项 结 论 。 V e r i z o n 发 布 的 这 份 报 告 指 出 ， 实 际 攻 击 活 动 中 所 使 用 的 约 7 0 % 到 9 0 % 的 恶 意 软 件 为 专 门 针 对 受 害 组 织 所 特 意 打 造 。 很 明 显 ， 如 果 某 项 威 胁 已 经 被 使 用 过 一 次 ， 那 么 单 凭 快 速 特 征 签 名 已 经 不 足 以 解 决 问 题 。 学 习 与 测 试 学 习 与 测 试 这 类 问 题 的 核 心 在 于 ， 我 们 必 须 立 即 着 手 了 解 情 报 与 数 据 之 间 的 区 别 。 情 报 的 作 用 是 帮 助 我 们 更 好 地 做 好 评 估 及 解 决 前 所 未 有 之 新 型 问 题 的 准 备 。 而 在 另 一 方 面 ， 数 据 则 类 似 于 测 试 中 的 固 有 答 案 。 如 果 测 试 所 使 用 的 具 体 问 题 发 生 变 化 ， 那 么 我 们 自 然 会 因 此 陷 入 巨 大 的 麻 烦 当 中 。 而 大 多 数 威 胁 信 息 供 应 手 段 中 包 含 的 具 体 内 容 其 实 属 于 后 一 种 ， 也 就 是 威 胁 数 据 ， 其 中 包 含 的 各 项 细 化 指 标 与 当 前 已 经 出 现 在 真 实 世 界 中 的 威 胁 可 谓 一 一 对 应 。 尽 管 安 全 行 业 正 努 力 追 踪 越 来 越 多 的 指 标 并 不 断 提 升 更 新 速 度 ， 但 这 类 方 案 多 年 来 仍 然 面 临 着 一 大 根 本 性 挑 战 — — 保 护 者 的 行 动 永 远 落 后 于 恶 意 人 士 。 而 更 重 要 的 是 ， 实 际 情 报 绝 不 能 单 纯 来 自 外 界 。 根 据 原 有 测 试 给 出 答 案 不 足 以 解 决 问 题 ， 企 业 还 需 要 在 内 部 拥 有 “ 大 脑 ” ， 并 利 用 其 从 既 有 事 故 中 学 习 经 验 且 据 此 评 估 新 的 、 未 知 的 威 胁 。 这 意 味 着 检 测 手 段 必 须 不 断 发 展 ， 从 而 超 越 旧 有 个 别 威 胁 并 更 广 泛 地 适 用 于 新 的 恶 意 特 征 及 设 计 思 路 ， 同 时 实 现 全 部 威 胁 活 动 信 息 的 彼 此 共 享 。 解 决 威 胁 情 报 难 题 的 新 思 路 解 决 威 胁 情 报 难 题 的 新 思 路 好 消 息 是 ， 目 前 安 全 业 界 已 经 开 始 在 这 些 领 域 取 得 进 展 。 数 据 科 学 与 机 器 学 习 模 型 正 全 面 交 付 新 的 威 胁 审 视 角 度 。 相 较 于 以 往 将 单 一 威 胁 同 单 一 特 征 或 者 I o C 相 映 射 的 一 对 一 方 式 ， 如 此 的 数 据 科 学 模 型 能 够 对 威 胁 进 行 批 量 分 析 ， 从 而 了 解 其 间 存 在 哪 些 共 通 点 。 这 会 给 真 实 世 界 带 来 巨 大 影 响 ， 因 为 安 全 性 将 不 再 取 决 于 我 们 此 前 是 否 见 过 同 样 的 威 胁 活 动 。 相 反 ， 我 们 将 能 够 根 据 全 部 以 往 威 胁 信 息 评 估 任 何 已 经 或 者 可 能 出 现 的 新 型 威 胁 。 如 果 “ 它 走 路 像 恶 意 软 件 、 叫 声 像 恶 意 软 件 ” ， 那 么 这 就 是 一 种 新 型 恶 意 软 件 — — 即 使 我 们 从 未 真 正 接 触 过 它 。
这 些 模 型 也 能 够 基 于 内 部 以 及 外 部 信 息 进 行 学 习 。 许 多 极 难 把 握 的 攻 击 活 动 ， 例 如 内 部 人 员 威 胁 或 者 利 用 被 盗 凭 证 实 施 的 攻 击 ， 只 能 在 与 正 常 网 络 运 行 情 况 相 比 较 时 才 能 被 检 测 出 来 。 很 明 显 ， 每 套 网 络 环 境 都 有 其 特 殊 性 ， 而 通 过 该 本 地 网 络 实 现 的 用 户 行 为 必 须 得 到 持 续 监 控 与 学 习 。 当 然 ， 更 强 的 “ 大 脑 ” 与 质 量 更 出 色 的 数 据 供 应 之 间 并 不 存 在 排 斥 关 系 。 二 者 都 需 要 在 长 远 角 度 得 到 保 证 。 这 种 立 足 于 扩 展 与 共 享 型 数 据 源 的 协 作 型 学 习 将 带 来 显 而 易 见 的 回 报 。 不 过 要 想 让 这 类 方 案 实 际 起 效 ， 企 业 必 须 要 拥 有 能 够 切 实 运 用 这 些 数 据 的 “ 大 脑 ” 。 以 S T I X 与 T A X I I 为 代 表 的 此 类 共 享 模 型 能 够 识 别 并 共 享 与 威 胁 行 为 相 关 的 各 类 信 息 。 不 过 就 目 前 来 看 ， 提 供 此 类 行 为 分 析 手 段 的 信 息 供 应 方 案 还 非 常 有 限 ， 也 鲜 有 企 业 做 好 对 其 进 行 处 理 与 利 用 的 准 备 。 再 次 强 调 ， 最 重 要 的 因 素 不 仅 仅 是 获 取 数 据 ， 而 更 多 地 是 如 何 在 其 发 生 的 同 时 加 以 利 用 。 而 这 也 将 成 为 决 定 威 胁 情 报 工 作 是 否 成 功 的 先 决 条 件 。 外 部 数 据 绝 不 会 凭 空 转 化 为 情 报 ， 我 们 更 应 该 将 其 视 为 一 种 “ 燃 料 ” ， 并 利 用 它 推 进 我 们 的 情 报 引 擎 。 如 果 无 法 实 现 正 确 的 执 行 顺 序 ， 那 么 我 们 投 入 了 大 量 资 金 的 安 全 分 析 体 系 极 有 可 能 无 法 带 来 任 何 额 外 价 值 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理