搜索

[11282] 2017-04-26_威胁情报怎么用？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-26_威胁情报怎么用？ 威 胁 情 报 怎 么 用 ？ Z e n M i n d   F r e e B u f   2 0 1 7 - 0 4 - 2 6 威 胁 情 报 在 国 内 已 经 火 了 几 年 ， 威 胁 情 报 怎 么 用 ， 具 体 的 使 用 场 景 是 什 么 ， 这 方 面 的 话 题 似 乎 较 少 。 下 面 想 根 据 个 人 所 知 ， 谈 谈 这 方 面 ， 不 完 善 准 确 的 地 方 也 请 大 家 指 正 。 有 些 时 候 情 报 和 威 胁 情 报 很 容 易 被 划 等 号 ， 其 实 不 然 。 威 胁 情 报 （ 和 攻 击 者 相 关 ） 、 漏 洞 情 报 （ 和 脆 弱 点 相 关 ） 、 资 产 情 报 （ 内 部 I T 业 务 资 产 和 人 的 信 息 ） ， 都 属 于 情 报 的 范 畴 ， 但 作 用 和 生 产 维 护 方 法 都 不 同 ， 需 要 明 确 区 分 。 它 们 都 是 安 全 分 析 需 要 的 信 息 ， 资 产 和 漏 洞 在 多 年 前 就 一 直 被 重 视 ， 甚 至 安 全 建 设 就 是 被 认 为 是 围 绕 着 资 产 和 漏 洞 的 。 现 实 中 攻 防 对 抗 的 不 断 演 进 ， 让 我 们 不 得 不 进 入 主 动 安 全 建 设 阶 段 （ 或 者 说 自 适 应 安 全 架 构 A S A ） ， 我 们 需 要 更 多 的 去 关 注 威 胁 ， 让 威 胁 情 报 去 引 领 安 全 建 设 ， 进 一 步 的 完 善 检 测 、 分 析 、 预 测 预 防 的 能 力 ， 并 由 此 发 现 防 御 上 的 不 足 ， 给 予 针 对 性 的 完 善 。 这 种 动 态 平 衡 的 安 全 理 念 ， 成 为 被 广 泛 接 受 的 安 全 建 设 指 导 思 路 。 言 归 正 传 ， 下 面 就 具 体 谈 谈 威 胁 情 报 的 种 类 。 基 于 整 体 应 用 场 景 ， 我 们 可 以 将 情 报 分 为 3 类 ： 以 自 动 化 检 测 分 析 为 主 的 战 术 情 报 、 以 安 全 响 应 分 析 为 目 的 的 运 营 级 情 报 ， 以 及 指 导 整 体 安 全 投 资 策 略 的 战 略 情 报 。 战 术 级 情 报 战 术 情 报 的 作 用 主 要 是 发 现 威 胁 事 件 以 及 对 报 警 确 认 或 优 先 级 排 序 。 常 见 的 失 陷 检 测 情 报 （ C n C   情 报 ） 、 I P 情 报 就 属 于 这 个 范 畴 ， 它 们 都 是 可 机 读 的 情 报 ， 可 以 直 接 被 设 备 使 用 ， 自 动 化 的 完 成 上 述 的 安 全 工 作 。 失 陷 检 测 情 报 ， 即 攻 击 者 控 制 被 害 主 机 所 使 用 的 远 程 命 令 与 控 制 服 务 器 情 报 。 情 报 的 I O C 往 往 是 域 名 、 I P 、 U R L 形 式 （ 有 时 也 会 包 括 S S L 证 书 、 H A S H 等 形 式 ） ， 这 种 I O C 可 以 推 送 到 不 同 的 安 全 设 备 中 ， 如 N G F W 、 I P S 、 S I E M 等 ， 进 行 检 测 发 现 甚 至 实 时 阻 截 。 这 类 情 报 基 本 上 都 会 提 供 危 害 等 级 、 攻 击 团 伙 、 恶 意 家 族 等 更 丰 富 的 上 下 文 信 息 ， 来 帮 助 确 定 事 件 优 先 级 并 指 导 后 续 安 全 响 应 活 动 。 使 用 这 类 情 报 是 及 时 发 现 已 经 渗 透 到 组 织 A P T 团 伙 、 木 马 蠕 虫 的 最 简 单 、 及 时 、 有 效 的 方 式 。 I P 情 报 是 有 关 访 问 互 联 网 服 务 器 的 I P 主 机 相 关 属 性 的 信 息 集 合 ， 许 多 属 性 是 可 以 帮 助 服 务 器 防 护 场 景 进 行 攻 击 防 御 或 者 报 警 确 认 、 优 先 级 排 序 工 作 的 。 举 例 利 用 持 续 在 互 联 网 上 进 行 扫 描 的 主 机 I P 信 息 ， 可 以 防 止 企 业 资 产 信 息 被 黑 客 掌 握 （ 很 多 时 候 黑 客 对 那 些 主 机 开 放 了 S M B 端 口 、 那 些 可 能 有 S t r u t s   2   漏 洞 比 企 业 的 网 管 掌 握 的 更 清 楚 ） ； 利 用 在 互 联 网 进 行 自 动 化 攻 击 的 I P 信 息 可 以 用 来 进 行 W e b 攻 击 的 优 先 级 排 序 ；
利 用 I D C 主 机 或 终 端 用 户 主 机 I P 信 息 可 以 用 来 进 行 攻 击 确 认 、 可 疑 行 为 检 测 或 垃 圾 邮 件 拦 截 ； 而 网 关 I P 、 代 理 I P 等 也 都 各 自 有 不 同 的 作 用 ， 相 关 场 景 很 多 ， 就 不 一 一 列 举 了 。 运 营 级 情 报 运 营 级 情 报 是 给 安 全 分 析 师 或 者 说 安 全 事 件 响 应 人 员 使 用 的 ， 目 的 是 对 已 知 的 重 要 安 全 事 件 做 分 析 （ 报 警 确 认 、 攻 击 影 响 范 围 、 攻 击 链 以 及 攻 击 目 的 、 技 战 术 方 法 等 ） 或 者 利 用 已 知 的 攻 击 者 技 战 术 手 法 主 动 的 查 找 攻 击 相 关 线 索 。 第 一 类 活 动 属 于 事 件 响 应 活 动 的 一 部 分 ， 第 二 类 活 动 更 是 有 一 个 高 大 上 的 名 字 “ 安 全 狩 猎 ” 。 事 件 响 应 活 动 中 的 安 全 分 析 需 要 本 地 的 日 志 、 流 量 和 终 端 信 息 ， 需 要 企 业 有 关 的 资 产 情 报 信 息 ， 也 需 要 运 营 级 威 胁 情 报 。 这 种 情 况 下 情 报 的 具 体 形 式 往 往 是 威 胁 情 报 平 台 这 样 为 分 析 师 使 用 的 应 用 工 具 。 有 一 个 和 攻 击 事 件 相 关 的 域 名 或 I P ， 利 用 这 个 平 台 就 有 可 能 找 到 和 攻 击 者 相 关 更 多 攻 击 事 件 及 详 情 ， 能 够 对 攻 击 目 的 、 技 战 术 手 法 有 更 多 的 认 识 ； 通 过 一 个 样 本 ， 我 们 能 够 看 到 更 多 的 相 关 样 本 ， 也 可 以 对 样 本 的 类 型 、 流 行 程 度 、 样 本 在 主 机 上 的 行 为 特 征 有 更 多 的 了 解 ； 同 样 的 利 用 这 个 平 台 可 以 持 续 的 跟 踪 相 关 的 攻 击 者 使 用 的 网 络 基 础 设 施 变 化 ； 发 现 相 关 资 产 是 否 已 经 被 攻 击 者 所 利 用 ， 等 等 。 安 全 狩 猎 是 一 个 基 于 已 知 技 战 术 手 法 （ T T P ： 技 术 、 工 具 、 过 程 ） 发 现 未 知 威 胁 事 件 ， 同 时 获 得 进 一 步 黑 客 技 战 术 相 关 信 息 的 过 程 。 安 全 狩 猎 的 过 程 需 要 特 定 的 内 部 日 志 、 流 量 或 终 端 数 据 和 相 应 分 析 工 具 ， 还 需 要 掌 握 有 较 丰 富 对 手 技 战 术 手 法 的 安 全 分 析 师 。 这 类 情 报 往 往 通 过 基 于 安 全 事 件 的 分 析 报 告 ， 或 者 特 定 的 技 战 术 手 法 数 据 库 得 到 ， 国 际 上 在 这 方 面 已 经 有 较 多 的 进 展 ， 包 括 了 各 类 开 源 或 限 定 范 围 的 来 源 可 以 提 供 这 样 的 信 息 ， 而 国 内 相 对 较 少 ， 并 且 一 些 安 全 事 件 报 告 因 为 这 样 那 样 的 问 题 ， 并 不 能 公 开 发 表 最 宝 贵 的 T T P 层 面 分 析 内 容 。 战 略 级 情 报 战 略 层 面 的 威 胁 情 报 是 给 组 织 的 安 全 管 理 者 使 用 的 ， 比 如 C S O 。 一 个 组 织 在 安 全 上 的 投 入 有 多 少 ， 应 该 投 入 到 那 些 方 向 ， 往 往 是 需 要 在 最 高 层 达 成 一 致 的 。 但 面 临 一 个 问 题 ， 如 何 让 对 具 体 攻 防 技 术 并 不 清 楚 的 业 务 管 理 者 得 到 足 够 的 信 息 ， 来 确 定 相 关 的 安 全 投 资 等 策 略 ？ 这 时 候 如 果 C S O 手 中 有 战 略 层 面 的 情 报 ， 就 会 成 为 有 力 的 武 器 。
它 包 括 了 什 么 样 的 组 织 会 进 行 攻 击 ， 攻 击 可 能 造 成 的 危 害 有 哪 些 ， 攻 击 者 的 战 术 能 力 和 掌 控 的 资 源 情 况 等 ， 当 然 也 会 包 括 具 体 的 攻 击 实 例 。 有 了 这 样 的 信 息 ， 安 全 投 入 上 的 决 策 就 不 再 是 盲 目 的 、 而 是 更 符 合 组 织 的 业 务 状 况 及 面 临 的 真 实 威 胁 。 小 结 威 胁 情 报 大 体 就 这 三 种 类 型 ， 分 别 用 来 支 撑 安 全 运 维 人 员 、 安 全 分 析 师 和 安 全 管 理 者 。 但 在 一 篇 短 文 中 是 不 可 能 覆 盖 这 些 类 型 的 所 有 使 用 场 景 的 ， 并 且 这 也 是 个 创 新 领 域 ， 会 不 断 的 涌 现 出 更 多 的 应 用 场 景 和 方 式 ， 希 望 能 听 到 更 多 的 声 音 ， 告 诉 大 家 遇 到 的 、 想 到 的 。 * 本 文 作 者 ： Z e n M i n d ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理