搜索

[9956] 2016-03-27_威胁情报基础：爬取、行走、分析（Part2）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-03-27_威胁情报基础：爬取、行走、分析（Part2） 威 胁 情 报 基 础 ： 爬 取 、 行 走 、 分 析 （ P a r t   2 ） S a m S m i t h   F r e e B u f   2 0 1 6 - 0 3 - 2 7 这 是 威 胁 情 报 基 础 三 部 曲 的 第 二 篇 ， 我 们 将 讨 论 是 如 何 在 安 全 操 作 中 运 用 威 胁 情 报 以 及 其 基 本 原 理 。 这 是 威 胁 情 报 基 础 三 部 曲 的 第 二 篇 ， 我 们 将 讨 论 是 如 何 在 安 全 操 作 中 运 用 威 胁 情 报 以 及 其 基 本 原 理 。 厨 子 、 裁 缝 、 士 兵 、 间 谍 ： 情 报 利 用 分 为 多 种 类 型 厨 子 、 裁 缝 、 士 兵 、 间 谍 ： 情 报 利 用 分 为 多 种 类 型 正 如 前 文 中 详 细 提 到 的 ， 情 报 出 现 在 不 同 的 操 作 层 ， 企 业 可 以 利 用 不 同 类 型 的 情 报 有 效 应 对 面 临 的 威 胁 。 不 要 笑 — — 对 于 “ 情 报 ” 解 释 得 最 出 色 的 便 是 “ C I A 儿 童 区 ” （ 美 国 中 央 情 报 局 针 对 六 至 十 二 年 级 少 年 的 官 方 科 普 网 站 ） 。 他 们 将 情 报 细 分 为 一 下 几 种 类 型 ： 他 们 将 情 报 细 分 为 一 下 几 种 类 型 ： 科 学 和 技 术 ： 提 供 关 于 对 手 技 术 和 能 力 的 信 息 ； 动 态 ： 关 注 日 常 事 件 及 其 影 响 ； 警 示 ： 对 于 紧 急 事 件 给 予 注 意 ， 并 发 布 通 知 ； 估 测 ： 关 注 可 能 发 生 的 事 情 ； 研 究 ： 为 某 事 件 提 供 了 一 个 深 入 的 研 究 。 虽 然 大 多 数 机 构 并 不 会 同 时 使 用 所 有 类 型 的 情 报 ， 除 非 你 和 C I A 一 样 （ 但 是 请 别 告 诉 我 你 做 了 什 么 ） ， 那 么 了 解 这 些 不 同 类 型 的 情 报 以 及 他 们 提 供 的 内 容 很 有 必 要 。 不 同 类 型 的 情 报 需 要 多 样 的 人 员 分 析 和 时 间 差 异 。 例 如 技 术 情 报 很 容 易 实 现 自 动 化 ， 因 此 可 以 随 节 奏 而 产 生 。 然 而 像 威 胁 趋 势 研 究 ， 则 非 常 依 赖 于 人 的 分 析 。 技 术 情 报 技 术 情 报 在 信 息 安 全 操 作 中 ， 通 过 技 术 情 报 来 探 查 对 手 的 能 力 和 技 术 。 它 包 括 一 些 例 如 I P 和 C & C 地 址 及 域 名 、 恶 意 文 件 名 称 和 h a s h 值 在 内 的 许 多 细 节 ， 以 及 一 些 T T P 细 节 ， 像 是 针 对 某 个 特 殊 目 标 的 漏 洞 或 者 一 个 用 于 指 引 植 入 的 特 定 回 调 模 式 。 技 术 情 报 最 常 用 于 “ 机 器 对 抗 机 器 ” 的 行 动 中 ， 只 是 因 为 需 要 机 器 处 理 尽 可 能 多 的 信 息 。 机 器 通 常 并 不 关 心 人 在 意 的 内 容 ， 因 此 在 许 多 情 况 下 ， 技 术 情 报 并 不 涵 盖 太 多 内 容 。 防 火 墙 并 不 用 清 楚 封 锁 某 个 恶 意 域 名 的 原 因 ， 它 只 要 去 照 做 就 行 了 。 而 在 防 火 墙 另 一 端 的 人 或 许 想 要 知 道 ， 因 此 可 能 触 发 大 量 警 报 。 企 业 必 须 在 消 费 之 前 进 行 技 术 情 报 分 析 ， 否 则 最 多 也 只 是 获 取 数 据 或 者 信 息 ， 而 非 情 报 ！ 想 了 解 更 多 ， 可 以 去 阅 读 R o b e r t   L e e 的 文 章 《 数 据 V S 信 息 V S 情 报 》 。 如 果 你 并 不 使 用 自 己 生 成 的 技 术 情 报 ， 那 么 你 必 须 清 楚 技 术 情 报 的 来 源 以 及 如 何 将 它 们 运 用 于 分 析 ， 特 别 是 自 动 化 分 析 。
此 刻 ， 我 感 到 自 己 独 自 在 这 里 乱 言 ： 通 过 “ 机 器 对 机 器 ” 的 自 动 化 方 式 生 成 威 胁 情 报 … … 先 不 要 说 我 错 了 ， 做 些 分 析 再 说 吧 ！ 动 态 情 报 动 态 情 报 动 态 情 报 处 理 的 是 每 天 可 能 需 要 立 刻 做 出 反 应 的 事 件 和 情 况 。 我 曾 听 人 这 么 说 ， “ 新 闻 才 不 是 情 报 ” ， 这 的 确 是 真 的 ； 然 而 ， 当 需 要 对 你 的 特 定 机 构 、 网 络 或 者 活 动 进 行 分 析 时 ， 公 共 领 域 新 闻 就 成 了 威 胁 情 报 。 举 个 动 态 情 报 的 例 子 ， 报 道 说 一 个 开 发 工 具 三 天 前 集 成 了 一 个 新 的 漏 洞 利 用 工 具 。 通 常 按 照 3 0 天 补 丁 的 周 期 而 言 ， 你 在 2 7 天 内 可 能 遭 遇 攻 击 。 知 晓 这 一 威 胁 会 如 何 影 响 你 的 组 织 、 如 何 进 行 检 测 并 封 锁 恶 意 活 动 便 是 一 种 动 态 情 报 。 动 态 情 报 也 可 以 从 组 织 网 站 的 信 息 中 获 取 。 分 析 一 次 入 侵 或 者 针 对 高 管 的 钓 鱼 攻 击 同 样 也 能 产 生 动 态 情 报 ， 这 点 则 急 需 立 即 执 行 。 当 你 的 网 络 生 成 动 态 情 报 时 ， 要 记 录 下 它 们 ！ 这 可 以 用 于 后 续 的 情 报 趋 势 及 威 胁 环 境 分 析 研 究 。 同 时 ， 还 能 与 其 他 组 织 共 享 这 份 情 报 。   威 胁 趋 势 （ 估 测 ） 威 胁 趋 势 （ 估 测 ） 在 战 术 层 面 （ 技 术 情 报 、 动 态 情 报 ） 收 集 到 的 所 有 情 报 都 可 以 分 析 进 而 生 成 威 胁 趋 势 。 威 胁 趋 势 的 获 取 需 要 时 间 ， 你 需 要 随 着 时 间 进 行 模 式 分 析 ， 观 察 事 物 如 何 变 化 或 者 保 持 原 状 的 。 威 胁 趋 势 能 够 是 某 种 反 复 影 响 网 络 的 特 定 威 胁 分 析 ， 也 可 以 是 对 一 个 组 织 或 恶 意 软 件 家 族 的 分 析 。 与 威 胁 趋 势 更 直 接 相 关 的 其 实 是 你 的 网 络 或 者 组 织 ， 这 点 对 你 而 言 更 有 帮 助 。 威 胁 趋 势 让 我 们 避 免 从 一 个 分 析 中 得 出 错 误 的 预 测 或 未 来 威 胁 的 误 报 。 威 胁 形 势 研 究 威 胁 形 势 研 究 说 起 趋 势 ， 威 胁 分 析 长 期 重 视 时 效 性 ， 动 态 情 报 需 要 通 过 长 期 的 战 略 研 究 进 行 积 累 。 与 战 术 情 报 资 源 相 比 ， 社 群 中 我 们 拥 有 多 少 战 略 层 、 技 术 性 I O C （ 输 入 / 输 出 控 制 器 ） 。 又 存 在 多 少 新 项 目 专 注 于 提 供 “ 实 时 情 报 ” 和 “ 深 入 分 析 ” 。 原 因 当 然 包 括 没 有 足 够 的 分 析 师 进 行 这 些 工 作 ， 而 他 们 通 常 关 注 于 对 时 间 比 较 敏 感 的 时 间 。 此 外 ， 我 们 常 常 没 有 足 够 正 确 的 数 据 进 行 战 略 层 的 分 析 ， 同 样 是 因 为 我 们 并 不 习 惯 从 自 己 的 网 络 中 搜 集 数 据 ， 而 大 多 数 人 不 愿 意 分 享 战 略 型 威 胁 ， 只 愿 意 分 享 那 些 威 胁 对 他 们 实 际 造 成 影 响 的 信 息 。 我 们 需 要 改 变 这 样 的 局 面 ， 因 为 你 不 能 也 不 应 该 在 未 来 安 全 项 目 中 忽 略 战 略 的 重 要 性 ， 你 也 不 能 在 没 有 理 解 其 背 后 的 逻 辑 时 匆 忙 制 定 安 全 策 略 。 威 胁 形 势 研 究 是 指 在 环 境 中 进 行 长 期 威 胁 分 析 — — 他 们 的 攻 击 是 什 么 、 他 们 如 何 进 行 攻 击 、 你 又 该 如 何 对 这 些 威 胁 进 行 相 应 — — 这 些 都 影 响 着 你 的 策 略 。 你 从 网 络 中 收 集 的 战 略 层 信 息 并 进 行 基 于 网 络 日 常 活 动 进 行 的 分 析 都 归 属 为 威 胁 形 势 研 究 。 你 以 及 公 共 领 域 信 息 的 动 态 情 报 都 可 以 服 务 于 威 胁 形 势 研 究 。 B R I D 建 立 了 一 个 用 于 捕 获 和 分 析 这 些 信 息 的 框 架 叫 做 V E R I S （ 事 件 记 录 与 共 享 表 单 ） 。 记 住 一 点 ， 这 类 情 报 分 析 需 要 大 量 时 间 和 精 力 ， 但 是 一 切 都 是 值 得 的 。 信 息 共 享 信 息 共 享 当 前 共 享 I O C 及 其 他 技 术 信 息 变 得 尤 为 重 要 ， 然 而 在 本 文 中 我 们 所 探 讨 过 任 一 类 型 的 情 报 都 很 适 合 分 享 ， 以 最 佳 实 践 和 流 程 进 行 信 息 共 享 会 有 意 想 不 到 的 收 获 。 在 一 个 组 织 的 网 络 中 共 享 信 息 不 失 为 理 解 新 威 胁 的 一 种 好 方 式 ， 同 时 还 有 益 于 提 升 态 势 感 知 能 力 。 信 息 共 享 本 质 上 就 是 产 生 具 有 威 胁 警 示 作 用 的 情 报 。 当 信 息 共 享 越 来 越 自 动 化 ， 这 也 就 意 味 着 掌 握 的 信 息 更 海 量 。 想 要 了 解 更 多 ， 可 以 观 看 A l e x P i n t o 最 近 在 威 胁 情 报 有 效 性 测 量 方 面 的 研 究 。
即 使 现 在 你 仍 对 从 你 自 身 环 境 中 收 集 情 报 的 价 值 存 有 疑 虑 ， 威 胁 情 报 的 消 化 仍 然 需 要 你 去 分 析 、 去 了 解 它 为 何 与 你 有 关 、 你 又 该 采 取 哪 些 行 动 。 对 于 不 同 类 型 情 报 的 理 解 及 使 用 方 式 可 以 指 导 你 进 行 分 析 和 决 定 。 * 原 文 ： r a p i d 7 ， S a m S m i t h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理