搜索

[14015] 2019-04-21_威胁情报的现在与未来：赋能、深入、全面应用

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-04-21_威胁情报的现在与未来：赋能、深入、全面应用 威 胁 情 报 的 现 在 与 未 来 ： 赋 能 、 深 入 、 全 面 应 用 T h r e a t b o o k   F r e e B u f   2 0 1 9 - 0 4 - 2 1 今 年 是 网 络 安 全 大 年 ， 也 是 威 胁 情 报 的 大 年 。 今 年 是 网 络 安 全 大 年 ， 也 是 威 胁 情 报 的 大 年 。 R S A 大 会 上 ， 威 胁 情 报 也 上 升 至 热 词 榜 第 七 位 。 国 内 外 多 家 组 织 大 会 上 ， 威 胁 情 报 也 上 升 至 热 词 榜 第 七 位 。 国 内 外 多 家 组 织 机 构 已 经 发 布 各 式 威 胁 情 报 报 告 ， 例 如 全 球 权 威 信 息 化 咨 询 研 究 机 构 机 构 已 经 发 布 各 式 威 胁 情 报 报 告 ， 例 如 全 球 权 威 信 息 化 咨 询 研 究 机 构 G a r t n e r 的 《 全 球 威 胁 情 报 市 场 指 南 》 、 全 的 《 全 球 威 胁 情 报 市 场 指 南 》 、 全 球 最 大 信 息 安 全 培 训 机 构 球 最 大 信 息 安 全 培 训 机 构 S A N S 的 《 网 络 威 胁 情 报 的 演 变 ： 的 《 网 络 威 胁 情 报 的 演 变 ： 2 0 1 9   S A N S 网 络 威 胁 情 报 调 查 》 ， 微 步 在 线 发 布 网 络 威 胁 情 报 调 查 》 ， 微 步 在 线 发 布 《 《 2 0 1 8 威 胁 情 报 年 报 》 。 通 过 对 这 些 报 告 的 研 读 不 难 发 现 ， 今 年 将 是 威 胁 情 报 落 地 应 用 更 加 深 入 的 一 年 。 前 因 威 胁 情 报 年 报 》 。 通 过 对 这 些 报 告 的 研 读 不 难 发 现 ， 今 年 将 是 威 胁 情 报 落 地 应 用 更 加 深 入 的 一 年 。 前 因 后 果 ， 下 文 细 表 。 后 果 ， 下 文 细 表 。 一 、 人 人 知 好 ， 处 处 赋 能 一 、 人 人 知 好 ， 处 处 赋 能 S A N S 的 调 查 数 据 显 示 ， 已 经 有 8 0 % 的 组 织 认 为 自 己 从 威 胁 情 报 中 获 益 。 威 胁 情 报 起 到 了 画 龙 点 睛 一 般 的 作 用 ， 无 论 是 G a r t n e r 还 是 S A N S 的 报 告 中 都 提 到 了 威 胁 情 报 对 于 传 统 安 全 产 品 的 赋 能 。 G a r t n e r 指 出 ，   威 胁 情 报 通 常 是 安 全 产 品 的 差 异 化 因 素 和 能 力 核 心 ， 例 如 防 火 墙 和 统 一 威 胁 管 理 （ U T M ） 系 统 、 入 侵 检 测 和 防 御 （ I D P ） 、 S W G 和 安 全 电 子 邮 件 网 关 （ S E G ） 、 端 点 保 护 （ E P P ） 、 W e b 应 用 防 火 墙 （ W A F ） 、 还 有 分 布 式 拒 绝 服 务 攻 击 防 御 产 品 （ D D o S ） 、 安 全 信 息 和 事 件 管 理 （ S I E M ） 、 漏 洞 管 理 、 安 全 协 调 、 M S S 、 托 管 检 测 和 响 应 等 。 S A N S 的 数 据 也 显 示 有 8 2 % 的 企 业 会 把 S I E M 系 统 和 威 胁 情 报 一 起 用 ， 7 7 % 的 企 业 会 用 情 报 赋 能 网 络 流 量 检 测 系 统 。 国 内 比 较 常 见 的 用 法 是 威 胁 情 报 + 网 络 流 量 检 测 、 威 胁 情 报 + 态 势 感 知 、 威 胁 情 报 + S O C 等 。 有 些 非 安 全 厂 商 也 能 够 和 威 胁 情 报 擦 出 火 花 ， 本 次 入 选 G a r t n e r 市 场 指 南 的 唯 一 中 国 厂 商 微 步 在 线 ， 近 日 联 合 Z D N S 推 出 了 D N S 硬 件 防 火 墙 产 品 ， 是 一 个 新 的 威 胁 情 报 赋 能 D N S 设 备 的 案 例 。 情 报 处 处 赋 能 ， 意 味 着 无 论 是 做 短 期 安 全 决 策 ， 还 是 制 定 长 期 安 全 策 略 ， 情 报 的 参 考 权 重 都 在 大 幅 度 上 升 。 同 时 ， 随 着 威 胁 情 报 对 攻 击 者 追 踪 能 力 的 不 断 增 强 ， 企 业 也 将 对 战 略 层 的 、 与 企 业 组 织 相 关 度 高 的 威 胁 情 报 报 告 产 生 更 多 需 求 。 二 、 适 用 行 业 与 客 群 更 加 广 泛 二 、 适 用 行 业 与 客 群 更 加 广 泛 我 们 观 察 发 现 ， 威 胁 情 报 的 适 用 行 业 变 得 比 之 前 更 加 广 泛 ， 除 去 政 府 和 金 融 行 业 仍 然 是 热 门 以 外 ， 在 国 内 ， 能 源 、 制 造 业 、 航 空 、 媒 体 和 新 兴 科 技 行 业 中 ， 大 量 头 部 企 业 已 经 展 现 出 对 威 胁 情 报 的 浓 厚 兴 趣 和 强 烈 需 求 。 G a r t n e r 发 现 威 胁 情 报 服 务 被 广 泛 用 于 制 造 、 通 信 和 媒 体 、 I T 服 务 和 软 件 、 零 售 、 金 融 、 医 疗 保 健 和 公 用 事 业 的 战 略 决 策 等 ， 同 时 金 融 和 政 府 垂 直 市 场 是 主 要 消 费 者 。 S A N S 的 报 告 调 研 了 5 8 5 个 组 织 和 企 业 ， 其 中 政 府 、 金 融 、 科 技 和 网 络 安 全 企 业 是 参 与 调 研 的 主 流 行 业 ， 而 医 疗 保 健 、 制 造 业 和 电 力 行 业 的 参 与 度 有 所 上 升 。 还 有 少 部 分 来 自 媒 体 ， 制 药 和 供 水 业 的 企 业 参
与 了 调 研 。 同 时 ， 使 用 威 胁 情 报 的 客 群 体 量 也 在 发 生 变 化 。 从 国 外 的 趋 势 看 ， 中 型 企 业 组 织 和 小 型 I T 团 队 开 始 展 露 出 对 威 胁 情 报 的 需 求 ， 典 型 例 子 是 威 胁 情 报 网 关 ( T I G ) 和 D N S 防 火 墙 的 技 术 。 因 此 ， G a r t n e r 预 测 ， 面 向 中 小 型 客 户 的 中 端 情 报 市 场 有 着 客 单 价 低 、 整 体 交 易 量 大 的 特 点 ， 因 此 会 呈 现 最 迅 猛 的 增 长 。 S A N S 则 观 察 到 ， 威 胁 情 报 的 应 用 案 例 正 在 多 样 化 ， 抽 样 调 查 中 的 大 小 型 组 织 都 在 广 泛 使 用 威 胁 情 报 ， 自 2 0 1 7 年 至 2 0 1 9 年 ， 生 产 或 消 费 情 报 的 组 织 占 比 逐 年 增 加 ， 目 前 完 全 没 有 意 愿 完 全 没 有 意 愿 去 生 产 或 消 费 情 报 的 组 织 只 有 8 % ， 换 言 之 ， 9 2 % 参 与 调 查 的 组 织 已 经 正 在 或 即 将 使 用 、 生 产 威 胁 情 报 领 域 。 行 业 、 客 群 和 组 织 的 变 化 ， 意 味 着 网 络 安 全 形 势 的 全 面 严 峻 。 由 于 黑 客 和 黑 产 更 加 专 业 化 、 网 络 攻 击 软 件 S a a S 化 ， 上 下 游 链 条 形 成 ， 发 起 一 次 攻 击 的 技 术 成 本 逐 渐 降 低 ， 投 入 产 出 比 增 加 ， 许 多 看 似 不 可 能 受 害 的 行 业 和 组 织 也 无 法 幸 免 。 因 此 ， 威 胁 情 报 产 品 的 轻 量 化 、 S a a S 化 也 将 满 足 这 一 部 分 快 速 增 长 的 市 场 需 求 。 三 、 客 户 需 要 什 么 样 的 威 胁 情 报 服 务 ？ 三 、 客 户 需 要 什 么 样 的 威 胁 情 报 服 务 ？ 在 日 常 安 全 运 维 中 ， 客 户 对 威 胁 情 报 的 需 求 往 往 体 现 得 十 分 直 观 ： 某 个 I P 、 网 址 、 域 名 是 否 危 险 ？ 危 险 域 名 的 所 有 者 是 否 为 黑 客 团 伙 ？ 这 些 团 伙 还 注 册 了 哪 些 域 名 ？ 还 有 其 他 恶 意 活 动 和 这 些 域 名 相 关 吗 ？ 这 个 威 胁 应 该 怎 么 处 置 ？ 现 在 爆 发 出 了 哪 些 新 的 威 胁 ？ 这 些 威 胁 会 通 过 哪 些 端 口 进 行 传 播 ？ 企 业 应 该 如 何 应 急 处 理 ？ 企 业 是 否 正 在 被 撞 库 ？ 经 常 攻 击 企 业 的 黑 客 团 伙 都 有 谁 ？ 接 下 来 几 个 月 内 他 们 可 能 会 怎 样 行 动 ？ 黑 客 组 织 对 企 业 及 其 员 工 有 什 么 了 解 ？ 企 业 的 敏 感 信 息 是 否 被 泄 露 ？ 企 业 能 预 测 攻 击 者 的 行 动 吗 ？ 他 们 可 能 会 在 什 么 时 候 以 什 么 手 段 攻 击 ？ 直 观 的 问 题 背 后 ， 是 客 户 对 攻 击 者 的 兴 趣 ， 在 安 全 运 维 过 程 中 ， 客 户 不 仅 希 望 了 解 具 体 的 威 胁 ， 还 希 望 在 战 略 和 战 术 层 面 了 解 攻 击 者 ， 正 所 谓 “ 知 己 知 彼 ， 百 战 不 殆 ” 。 那 么 ， 在 威 胁 检 测 和 响 应 的 具 体 案 例 中 ， 分 析 师 对 具 体 威 胁 情 报 信 息 的 重 要 性 排 名 是 怎 样 的 ？ S A N S 的 调 查 数 据 显 示 ， 的 调 查 数 据 显 示 ， * * 失 陷 指 标 （ I O C ， 一 种 可 机 读 威 胁 情 报 ） * * 的 排 名 最 高 ， 有 的 排 名 最 高 ， 有 4 0 . 6 % 的 人 选 择 ； 其 次 是 的 人 选 择 ； 其 次 是 威 胁 行 为 和 对 手 威 胁 行 为 和 对 手 T T P ， 占 到 ， 占 到 2 7 . 3 % ； 第 三 位 是 ； 第 三 位 是 D i g i t a l   f o o t p r i n t 与 攻 击 面 识 别 ， 占 到 与 攻 击 面 识 别 ， 占 到 1 8 . 0 % ； 最 后 是 对 手 的 战 略 ； 最 后 是 对 手 的 战 略 分 析 ， 分 析 ， 1 3 . 3 % 。 。
具 体 的 威 胁 情 报 信 息 ， 将 会 直 接 影 响 到 企 业 的 安 全 策 略 ， 比 如 安 全 支 出 的 侧 重 点 、 安 全 架 构 的 改 进 、 供 应 链 安 全 、 安 全 监 控 功 能 、 事 件 响 应 流 程 等 。 威 胁 情 报 将 成 为 企 业 可 靠 的 风 险 依 据 ， 让 企 业 做 出 更 明 智 的 决 策 。 因 此 ， 威 胁 情 报 不 仅 需 要 回 答 具 体 的 问 题 ， 还 需 要 在 企 业 制 定 安 全 策 略 时 ， 从 更 高 的 维 度 给 企 业 清 晰 的 指 导 。 因 此 ， 威 胁 情 报 不 仅 需 要 回 答 具 体 的 问 题 ， 还 需 要 在 企 业 制 定 安 全 策 略 时 ， 从 更 高 的 维 度 给 企 业 清 晰 的 指 导 。 G a r t n e r 在 《 市 场 指 南 》 中 总 结 了 威 胁 情 报 的 1 0 余 种 使 用 场 景 ， 如 情 报 赋 能 、 钓 鱼 检 测 、 暗 网 监 控 、 威 胁 检 测 与 响 应 、 黑 客 画 像 与 黑 客 追 踪 、 威 胁 情 报 共 享 、 高 级 应 急 响 应 （ M D R ） 服 务 等 1 2 个 场 景 ， 我 们 筛 选 了 几 个 在 国 内 较 常 见 的 场 景 ： 赋 能 已 有 安 全 设 备 。 赋 能 已 有 安 全 设 备 。 通 过 订 阅 情 报 和 情 报 A P I ， 对 已 有 安 全 设 备 进 行 赋 能 。 由 于 机 读 情 报 的 标 准 化 ， 已 有 安 全 设 备 如 S I E M 、 防 火 墙 、 E D R 一 般 不 需 要 额 外 部 署 和 开 发 工 作 就 能 够 较 为 方 便 地 应 用 威 胁 情 报 。 主 动 检 测 响 应 。 主 动 检 测 响 应 。 威 胁 检 测 其 实 是 一 种 主 动 事 件 响 应 。 通 过 应 用 威 胁 情 报 ， 企 业 可 以 让 主 动 响 应 的 工 作 更 加 自 动 化 。 通 常 将 威 胁 情 报 与 流 量 监 控 和 分 析 技 术 相 结 合 （ 如 微 步 在 线 的 T D P 威 胁 监 控 平 台 、 T D P S   W e b 攻 击 感 知 平 台 等 ） ， 即 可 帮 助 企 业 发 现 可 疑 文 件 或 连 接 的 同 时 ， 提 供 更 多 信 息 ， 比 如 有 相 关 性 的 C 2 、 域 名 ， 恶 意 软 件 团 伙 或 者 家 族 等 其 他 信 息 、 以 及 解 决 方 法 。 这 样 企 业 组 织 可 以 全 面 、 快 速 地 捕 获 和 处 置 相 关 的 威 胁 。 黑 客 画 像 与 黑 客 追 踪 。 黑 客 画 像 与 黑 客 追 踪 。 通 过 S I E M 等 安 全 系 统 ， 企 业 与 组 织 可 以 列 举 出 大 量 黑 I P 、 域 名 等 ， 但 如 果 企 业 组 织 想 知 道 ， 正 在 危 害 自 己 网 络 安 全 的 前 2 0 个 攻 击 者 团 伙 都 有 谁 ， 就 要 倚 仗 更 深 层 面 的 威 胁 情 报 。 威 胁 情 报 厂 商 会 追 踪 攻 击 者 在 行 动 时 留 下 的 痕 迹 ， 从 而 探 查 到 攻 击 者 的 T T P （ 战 术 、 技 术 和 过 程 ） 。 当 T T P 档 案 建 立 后 ， 攻 击 者 的 行 为 就 会 被 追 踪 到 ， 而 且 攻 击 者 的 行 为 往 往 是 重 复 的 。 威 胁 情 报 可 用 于 获 取 有 关 正 在 出 售 的 漏 洞 的 利 用 情 况 ， 针 对 终 端 的 恶 意 软 件 ， 或 者 用 于 钓 鱼 攻 击 的 恶 意 域 名 。 高 级 应 急 响 应 （ 高 级 应 急 响 应 （ M D R ） 服 务 。 ） 服 务 。 对 于 大 多 数 企 业 组 织 来 说 ， 威 胁 情 报 分 析 师 是 一 个 过 于 专 业 、 较 为 短 缺 的 职 位 。 因 此 ， 一 些 情 报 厂 商 在 提 供 威 胁 情 报 数 据 和 产 品 的 同 时 ， 还 会 提 供 高 级 应 急 响 应 服 务 ， 由 专 业 分 析 师 提 供 应 急 、 处 置 、 溯 源 等 服 务 。 四 、 市 场 对 供 应 商 提 出 新 要 求 四 、 市 场 对 供 应 商 提 出 新 要 求 G a r t n e r 在 本 次 威 胁 情 报 市 场 指 南 中 仍 然 强 调 以 往 的 五 个 维 度 ： 覆 盖 度 、 准 确 度 、 可 执 行 性 、 可 扩 展 性 和 专 业 化 程 在 本 次 威 胁 情 报 市 场 指 南 中 仍 然 强 调 以 往 的 五 个 维 度 ： 覆 盖 度 、 准 确 度 、 可 执 行 性 、 可 扩 展 性 和 专 业 化 程 度 。 但 是 随 着 市 场 对 于 威 胁 情 报 的 认 识 和 应 用 逐 渐 加 深 ， 这 几 个 维 度 上 的 要 求 也 在 产 生 变 化 ， 因 此 ， 供 应 商 的 威 胁 度 。 但 是 随 着 市 场 对 于 威 胁 情 报 的 认 识 和 应 用 逐 渐 加 深 ， 这 几 个 维 度 上 的 要 求 也 在 产 生 变 化 ， 因 此 ， 供 应 商 的 威 胁 情 报 能 力 无 法 停 滞 不 前 。 情 报 能 力 无 法 停 滞 不 前 。 G a r t n e r 提 出 的 要 求 有 ： 情 报 的 多 源 化 （ 开 源 提 出 的 要 求 有 ： 情 报 的 多 源 化 （ 开 源 、 、 商 业 、 多 国 情 报 ） 、 根 据 组 织 的 情 况 定 制 情 商 业 、 多 国 情 报 ） 、 根 据 组 织 的 情 况 定 制 情
报 的 能 力 、 对 威 胁 参 与 者 的 渗 透 和 分 析 、 分 析 不 同 数 据 点 并 作 出 结 论 等 。 报 的 能 力 、 对 威 胁 参 与 者 的 渗 透 和 分 析 、 分 析 不 同 数 据 点 并 作 出 结 论 等 。 而 S A N S 的 调 查 中 体 现 了 用 户 对 威 胁 情 报 功 能 的 满 意 度 ， 根 据 图 表 显 示 ， 用 户 对 于 威 胁 情 报 的 上 下 文 、 覆 盖 度 、 情 报 与 检 测 响 应 系 统 的 集 成 、 基 于 位 置 的 可 见 性 、 威 胁 情 报 衰 变 、 机 器 学 习 等 方 面 的 满 意 度 仍 能 够 进 一 步 提 升 。 有 6 0 % 的 用 户 对 于 现 有 的 威 胁 情 报 上 下 文 感 到 比 较 满 意 ， 而 对 于 机 器 学 习 机 器 学 习 感 到 比 较 满 意 的 用 户 只 有 只 有 3 6 . 8 % 。 此 外 ， S A N S 的 调 查 还 显 示 ， 用 户 在 进 行 恶 意 软 件 样 本 的 溯 源 分 析 时 ， 最 依 赖 人 工 ， 半 自 动 和 全 自 动 所 占 比 例 非 常 少 ， 只 有 3 7 . 4 % 。 用 户 不 满 意 之 处 ， 就 是 供 应 商 需 要 提 升 的 地 方 。 因 此 ， 我 们 根 据 目 前 国 内 的 需 求 现 状 与 G a r t n e r 和 S A N S 的 报 告 ， 总 结 出 以 下 几 点 供 应 商 要 达 到 的 新 要 求 ： 首 先 是 对 情 报 数 据 的 要 求 。 开 源 的 数 据 和 商 业 化 的 数 据 都 是 必 要 的 ， 同 时 ， 在 一 些 重 要 行 业 中 ， 也 应 当 采 用 可 以 覆 盖 全 球 的 数 据 或 商 业 情 报 数 据 ， 用 以 对 抗 具 有 政 治 背 景 的 黑 客 组 织 。 情 报 数 据 应 当 符 合 国 际 标 准 。 此 外 情 报 最 好 以 A P I 或 平 台 的 形 式 被 用 户 调 用 或 者 部 署 。 其 次 是 对 情 报 产 品 迭 代 的 倒 逼 。 根 据 G a r t n e r 对 用 户 群 的 预 测 ， 中 型 组 织 和 小 型 I T 团 队 对 情 报 的 需 求 会 成 为 未 来 高 速 增 长 的 一 部 分 市 场 ， 而 这 样 的 组 织 中 又 会 有 几 个 人 专 注 于 应 用 和 处 理 威 胁 情 报 呢 ？ 这 就 引 发 了 一 个 需 求 ： 情 报 的 自 动 化 应 用 。 当 安 全 人 员 数 量 少 、 能 力 参 差 不 齐 时 ， 安 全 产 品 需 要 补 齐 安 全 人 员 的 能 力 ， 因 此 情 报 必 然 走 向 自 动 化 应 用 ， 检 测 和 情 报 一 体 化 的 产 品 将 具 备 快 速 打 开 这 部 分 市 场 的 能 力 。 然 后 是 对 情 报 生 产 技 术 的 要 求 。 合 格 的 情 报 不 仅 应 当 具 备 上 下 文 ， 还 应 当 被 纳 入 到 生 命 周 期 管 理 中 。 从 数 据 筛 选 到 情 报 的 产 出 ， 到 应 用 、 衰 变 和 最 终 过 期 ， 每 一 个 环 节 都 需 要 分 析 师 和 机 器 学 习 研 发 者 的 共 同 努 力 。 S A N S 的 调 研 显 示 ， 目 前 威 胁 情 报 的 及 时 和 准 确 度 已 经 能 够 满 足 7 0 % 以 上 的 用 户 ， 市 场 对 威 胁 情 报 的 要 求 只 会 越 来 越 高 ， 因 此 ， 在 目 前 情 报 产 出 已 经 能 满 足 大 部 分 用 户 的 前 提 下 ， 情 报 处 理 的 内 功 将 成 为 下 个 阶 段 的 核 心 竞 争 点 。 此 外 ， 威 胁 情 报 的 共 享 仍 然 需 要 继 续 推 进 。 G a r t n e r 认 为 ， 威 胁 情 报 的 共 享 机 制 对 于 企 业 组 织 的 安 全 计 划 具 有 实 际 价 值 ， 一 些 国 家 （ 美 国 、 澳 大 利 亚 ） 也 在 倡 导 政 府 和 企 业 之 间 共 享 威 胁 数 据 。 国 内 的 威 胁 情 报 共 享 已 有 一 些 阶 段 性 成 果 ， 但 企 业 联 盟 之 间 的 情 报 共 享 如 何 进 行 ， 仍 然 是 需 要 探 索 的 课 题 。 对 抗 黑 客 和 黑 产 团 伙 需 要 更 深 度 的 联 合 。 * 本 文 作 者 ： 本 文 作 者 ： T h r e a t b o o k ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理