搜索

[14034] 2019-04-26_威胁情报在态势感知系统中的一种落地尝试

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-26_威胁情报在态势感知系统中的一种落地尝试 威 胁 情 报 在 态 势 感 知 系 统 中 的 一 种 落 地 尝 试 y i s o s o   F r e e B u f   2 0 1 9 - 0 4 - 2 6 前 言 前 言 在 态 势 感 知 火 热 、 威 胁 情 报 赚 足 眼 球 的 今 天 ， 这 两 个 信 息 安 全 领 域 当 红 小 生 发 生 碰 撞 ， 会 产 生 怎 样 的 火 花 呢 ？ 在 态 势 感 知 火 热 、 威 胁 情 报 赚 足 眼 球 的 今 天 ， 这 两 个 信 息 安 全 领 域 当 红 小 生 发 生 碰 撞 ， 会 产 生 怎 样 的 火 花 呢 ？ 下 面 我 根 据 手 头 上 的 项 目 ， 介 绍 一 种 威 胁 情 报 在 态 势 感 知 系 统 中 的 落 地 方 案 ， 为 大 家 提 供 一 种 思 路 。 下 面 我 根 据 手 头 上 的 项 目 ， 介 绍 一 种 威 胁 情 报 在 态 势 感 知 系 统 中 的 落 地 方 案 ， 为 大 家 提 供 一 种 思 路 。 一 、 态 势 感 知 和 威 胁 情 报 介 绍 一 、 态 势 感 知 和 威 胁 情 报 介 绍 简 单 的 来 说 ， 态 势 感 知 系 统 是 对 网 络 环 境 安 全 态 势 的 评 估 ， 评 估 当 前 态 势 的 同 时 ， 对 未 来 态 势 做 出 预 测 。 一 定 程 度 上 ， 可 以 看 做 是 威 胁 评 估 和 攻 击 预 测 的 结 合 。 在 结 构 上 ， 典 型 态 势 感 知 系 统 包 括 态 势 要 素 获 取 、 态 势 评 估 、 态 势 预 测 三 部 分 。 态 势 要 素 获 取 为 态 势 理 解 提 供 源 数 据 ， 态 势 理 解 又 维 态 势 预 测 提 供 依 据 。 在 一 个 完 整 的 态 势 感 知 系 统 中 ， 我 们 能 得 到 两 个 结 果 ， 一 个 是 当 前 网 络 安 全 态 势 ， 另 一 个 就 是 未 来 安 全 态 势 的 变 化 趋 势 ， 也 就 是 态 势 预 测 的 结 果 。 威 胁 情 报 是 一 种 描 述 网 络 安 全 事 件 的 数 据 集 合 ， 详 细 描 述 了 安 全 事 件 的 组 成 要 素 ， 包 括 攻 击 源 信 息 、 受 害 者 信 息 、 发 动 攻 击 利 用 的 工 具 ， 还 有 在 A P T 中 常 说 的 T T P ， 即 战 术 ， 技 术 和 过 程 （ T e c h n i q u e s   T a c t i c s   P r o c e d u r e s ） 。 二 、 为 什 么 使 用 威 胁 情 报 ？ 二 、 为 什 么 使 用 威 胁 情 报 ？ 搞 安 全 的 都 见 过 威 胁 情 报 这 四 个 字 ， 威 胁 情 报 有 百 般 好 ， 那 么 这 个 好 东 西 到 底 能 带 来 什 么 呢 ？ A P T ， 0 d a y 的 影 响 和 危 害 大 家 都 有 所 耳 闻 ， 甚 至 是 有 目 共 睹 。 威 胁 情 报 在 处 理 A P T 方 面 还 是 很 有 优 势 的 ， A P T 的 攻 击 阶 段 更 加 明 显 ， 持 续 时 间 长 ， 隐 蔽 性 高 ， 并 且 潜 伏 时 间 长 ， 所 以 对 威 胁 检 测 提 出 了 更 高 的 要 求 。 但 是 在 这 个 长 时 间 的 攻 击 链 上 ， 一 旦 前 期 检 测 到 威 胁 ， 那 么 采 取 针 对 性 的 响 应 ， 还 是 可 以 减 小 损 害 的 。 上 图 就 是 攻 击 链 模 型 ， 绿 色 框 表 明 攻 击 没 有 造 成 实 质 性 危 害 的 阶 段 ， 我 们 的 目 标 就 是 努 力 在 这 个 阶 段 发 现 并 解 除 威 胁 。 A P T 发 起 方 是 有 组 织 、 有 预 谋 的 ， 同 一 组 织 发 起 的 攻 击 行 动 会 在 某 些 行 为 上 存 在 相 似 性 ， 尤 其 在 针 对 同 一 领 域 的
攻 击 活 动 。 威 胁 情 报 具 有 大 量 的 安 全 事 件 信 息 ， 利 用 其 多 维 数 据 ， 可 以 提 高 安 全 事 件 的 效 率 和 攻 击 检 测 率 。 另 外 ， 威 胁 情 报 有 很 强 的 更 新 能 力 ， 威 胁 情 报 提 供 商 会 对 威 胁 情 报 进 行 更 新 ， 提 供 最 新 的 安 全 事 件 数 据 ， 而 且 通 过 威 胁 情 报 共 享 机 制 ， 相 同 领 域 的 组 织 和 机 构 可 以 得 到 针 对 性 的 威 胁 情 报 。 所 以 正 是 威 胁 情 报 中 的 大 数 据 和 其 自 身 的 更 新 能 力 ， 让 我 们 对 其 爱 不 释 手 。 三 、 怎 样 与 态 势 感 知 系 统 结 合 三 、 怎 样 与 态 势 感 知 系 统 结 合 1 .   威 胁 情 报 落 地 需 要 解 决 的 问 题 威 胁 情 报 落 地 需 要 解 决 的 问 题 威 胁 情 报 的 获 取 方 式 ： 不 同 机 构 有 着 不 同 的 安 全 诉 求 ， 这 种 不 同 可 以 表 现 在 威 胁 发 起 者 针 对 不 同 类 型 的 组 织 机 构 有 不 同 的 目 的 ， 不 同 的 网 络 架 构 也 会 导 致 攻 击 策 略 的 改 变 。 另 外 ， 利 用 威 胁 情 报 的 目 的 不 同 也 会 导 致 威 胁 情 报 的 类 型 不 同 。 目 前 来 看 ， 威 胁 情 报 订 购 和 威 胁 情 报 共 享 是 比 较 靠 谱 的 方 式 。 所 以 最 重 要 的 是 首 先 考 虑 好 自 身 需 求 和 使 用 威 胁 情 报 的 目 的 。 本 文 在 此 重 点 介 绍 使 用 威 胁 情 报 的 普 适 性 方 案 ， 不 再 详 细 赘 述 威 胁 情 报 的 类 型 等 具 体 问 题 。 威 胁 情 报 的 处 理 ： 上 文 提 到 ， 威 胁 情 报 具 有 大 量 的 安 全 事 件 信 息 ， 那 么 是 不 是 所 有 的 威 胁 情 报 都 适 用 于 我 们 的 网 络 环 境 呢 ？ 答 案 很 明 显 ， 所 以 第 二 个 要 解 决 的 就 是 选 取 针 对 性 的 威 胁 情 报 。 从 而 减 少 数 据 干 扰 ， 提 高 数 据 精 度 。 2 .   威 胁 情 报 与 态 势 感 知 系 统 的 结 合 点 威 胁 情 报 与 态 势 感 知 系 统 的 结 合 点 在 我 们 的 平 台 中 ， 利 用 威 胁 情 报 来 做 态 势 预 测 ， 极 力 在 攻 击 链 左 侧 发 现 攻 击 ， 最 大 化 发 挥 威 胁 情 报 的 信 息 价 值 。 没 有 将 威 胁 情 报 用 于 态 势 评 估 中 是 因 为 态 势 评 估 首 先 要 结 合 自 身 资 产 来 做 ， 脱 离 目 标 网 络 环 境 资 产 属 性 的 态 势 感 知 和 评 估 是 毫 无 意 义 的 ， 再 者 ， 当 前 主 流 的 态 势 感 知 方 法 和 平 台 比 较 成 熟 ， 包 括 I D S 和 S I E M 系 统 ， 这 些 设 备 能 为 我 们 提 供 一 些 有 价 值 的 数 据 。 继 续 回 到 预 测 的 方 面 ， 目 前 大 多 数 态 势 感 知 系 统 将 态 势 变 化 趋 势 作 为 预 测 的 结 果 ， 缺 乏 潜 在 威 胁 的 分 析 ， 威 胁 情 报 实 现 策 略 级 的 预 测 也 是 威 胁 情 报 给 态 势 感 知 系 统 带 来 的 新 变 化 和 改 进 。 在 具 体 实 现 中 ， 使 用 了 S T I X 格 式 的 威 胁 情 报 ， 有 两 种 威 胁 情 报 来 源 ， 一 种 就 是 订 阅 得 到 的 外 源 威 胁 情 报 ， 另 一 种 是 系 统 内 部 的 内 源 威 胁 情 报 ， 通 过 系 统 内 部 部 署 的 检 测 设 备 得 到 ， 内 源 威 胁 情 报 与 外 源 威 胁 情 报 统 一 成 S T I X 格 式 。 首 先 是 外 源 威 胁 情 报 筛 选 ， 将 内 源 威 胁 情 报 的 对 象 在 外 源 威 胁 情 报 中 出 现 的 频 次 作 为 主 要 的 筛 选 依 据 ， 使 用 优 属 度 算 法 将 无 关 的 威 胁 情 报 剔 除 在 外 。 需 要 注 意 的 是 ， 剔 除 掉 的 威 胁 情 报 仅 表 明 其 不 适 用 于 当 前 网 络 环 境 。 在 网 络 安 全 态 势 变 化 ， 或 者 威 胁 发 生 变 化 后 ， 需 要 重 新 对 当 前 状 态 进 行 威 胁 情 报 筛 选 。 在 威 胁 情 报 筛 选 后 ， 就 到 了 最 终 的 方 法 — — 预 测 。 在 方 法 上 ， 利 用 关 联 分 析 、 模 式 识 别 和 机 器 学 习 的 方 法 处 理 外 源 威 胁 情 报 得 到 样 本 库 。 训 练 的 主 要 分 析 对 象 是 威 胁 情 报 中 要 素 之 间 关 系 ， 而 不 是 单 纯 的 要 素 匹 配 。 关 系 表 明 了 安 全 事 件 的 来 龙 去 脉 ， 安 全 事 件 也 是 由 要 素 间 关 系 组 成 。 所 以 ， S T I X 的 r e l a t i o n s h i p 正 是 我 们 的 目 标 。 下 面 给 出 一 个 r e l a t i o n s h i p 表 明 i n d i c a t o r 和 m a l w a r e 间 关 系 的 例 子
这 是 S T I X 文 档 中 的 一 个 例 子 ， 可 以 说 r e l a t i o n s h i p 丰 富 了 m a l w a r e 的 属 性 。 除 了 表 明 这 种 “ 从 属 ” 关 系 ， r e l a t i o n s h i p 还 可 以 表 明 其 他 一 切 关 系 。 还 是 S T I X 文 档 中 的 东 西 ， 表 中 列 出 了 部 分 r e l a t i o n s h i p 。 3 .   系 统 架 构 系 统 架 构 在 威 胁 情 报 筛 选 之 后 ， 最 主 要 的 算 法 就 是 利 用 机 器 学 习 进 行 威 胁 情 报 分 类 ， 利 用 相 同 类 别 的 威 胁 情 报 上 下 文 分 析 潜 在 威 胁 。 具 体 架 构 就 是 一 般 的 机 器 学 习 方 法 的 结 构 ， 首 先 是 数 据 获 取 ： 外 源 威 胁 情 报 和 系 统 内 的 安 全 事 件 信 息 ； 其 次 是 数 据 格 式 处 理 ， 外 源 威 胁 情 报 转 换 成 S T I X 格 式 ， 系 统 内 的 安 全 事 件 也 利 用 相 同 格 式 来 表 达 ； 然 后 就 是 对 外 源 威 胁 情 报 的 训 练 ， 将 训 练 的 结 果 用 于 安 全 事 件 的 分 类 ； 最 后 就 是 结 果 的 输 出 和 可 视 化 。 大 致 结 构 如 下 ：
四 、 总 结 四 、 总 结 本 文 介 绍 了 一 种 威 胁 情 报 应 用 在 态 势 感 知 系 统 中 的 可 行 性 方 法 。 着 重 介 绍 了 两 个 值 得 注 意 的 问 题 ， 也 是 实 施 威 胁 情 报 过 程 中 必 须 解 决 的 问 题 ： 1 .   威 胁 情 报 适 用 性 。 2 .   威 胁 情 报 中 要 素 关 系 的 重 要 性 。 希 望 介 绍 的 方 法 能 给 大 家 提 供 参 考 ， 欢 迎 大 家 交 流 其 他 思 路 和 建 议 。 * 本 文 作 者 ： 本 文 作 者 ： y i s o s o ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理