搜索

[22035] 2021-06-03_网络安全攻防：威胁情报

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-06-03_网络安全攻防：威胁情报 网 络 安 全 攻 防 ： 威 胁 情 报 L e m o n S e c   2 0 2 1 - 0 6 - 0 3 0 1   什 么 是 威 胁 情 报 什 么 是 威 胁 情 报 网 络 空 间 的 安 全 对 抗 日 趋 激 烈 ， 传 统 的 安 全 技 术 不 能 全 面 满 足 安 全 防 护 的 需 要 。 当 前 ， 安 全 业 界 普 遍 认 同 的 一 个 理 念 是 ： 仅 仅 防 御 是 不 够 的 ， 更 需 要 持 续 地 检 测 与 响 应 。 然 而 要 做 到 持 续 有 效 的 检 测 与 快 速 的 响 应 ， 安 全 漏 洞 、 安 全 情 报 必 不 可 少 。 2 0 1 3 年 ， G a r t n e r   首 次 提 出 关 于 威 胁 情 报 的 定 义 ： 威 胁 情 报 是 关 于 现 有 或 即 将 出 现 的 针 对 资 产 有 威 胁 的 知 识 ， 包 括 场 景 、 机 制 、 指 标 、 启 示 和 可 操 作 建 议 等 ， 且 这 些 知 识 可 为 主 体 提 供 威 胁 的 应 对 策 略 。 简 单 来 讲 ， 威 胁 情 报 就 是 通 过 各 种 来 源 获 取 环 境 所 面 临 的 威 胁 的 相 关 知 识 ， 主 要 描 述 现 存 的 、 即 将 出 现 的 针 对 资 产 的 威 胁 或 危 险 。 F o r r e s t e r   认 为 威 胁 情 报 是 针 对 内 部 和 外 部 威 胁 源 的 动 机 、 意 图 和 能 力 的 详 细 叙 述 ， 可 以 帮 助 企 业 和 组 织 快 速 了 解 到 敌 对 方 对 自 己 的 威 胁 信 息 ， 从 而 帮 助 提 前 威 胁 防 范 、 攻 击 检 测 与 响 应 、 事 后 攻 击 溯 源 等 能 力 。 威 胁 情 报 颠 覆 了 传 统 的 安 全 防 御 思 路 ， 它 以 威 胁 情 报 为 核 心 ， 通 过 多 维 度 、 全 方 位 的 情 报 感 知 ， 安 全 合 作 、 协 同 处 理 的 情 报 共 享 ， 以 及 情 报 信 息 的 深 度 挖 掘 与 分 析 ， 帮 助 信 息 系 统 安 全 管 理 人 员 及 时 了 解 系 统 的 安 全 态 势 ， 并 对 威 胁 动 向 做 出 合 理 的 预 判 ， 从 而 将 传 统 的 “ 被 动 防 御 ” 转 变 为 积 极 的 “ 主 动 防 御 ” ， 提 高 信 息 系 统 的 安 全 应 急 响 应 能 力 。 如 果 说 了 解 漏 洞 信 息 是 “ 知 己 ” ， 那 么 掌 握 安 全 威 胁 则 是 “ 知 彼 ” 。 0 2   威 胁 情 报 的 用 途 威 胁 情 报 的 用 途 1 .   安 全 模 式 突 破 和 完 善 安 全 模 式 突 破 和 完 善 基 于 威 胁 情 报 的 防 御 思 路 是 以 威 胁 为 中 心 的 ， 因 此 ， 需 要 对 关 键 设 施 面 临 的 威 胁 做 全 面 的 了 解 ， 建 立 一 种 新 型 高 效 的 安 全 防 御 体 系 。 这 样 的 安 全 防 御 体 系 往 往 需 要 安 全 人 员 对 攻 击 战 术 、 方 法 和 行 为 模 式 等 有 深 入 的 理 解 ， 全 面 了 解 潜 在 的 安 全 风 险 ， 并 做 到 有 的 放 矢 。 2 .   应 急 检 测 和 主 动 防 御 应 急 检 测 和 主 动 防 御 基 于 威 胁 情 报 数 据 ， 可 以 不 断 创 建 恶 意 代 码 或 行 为 特 征 的 签 名 ， 或 者 生 成 N F T （ 网 络 取 证 工 具 ） 、 S I E M / S O C （ 安 全 信 息 与 事 件 管 理 / 安 全 管 理 中 心 ） 、 E T D R （ 终 端 威 胁 检 测 及 响 应 ） 等 产 品 的 规 则 ， 实 现 对 攻 击 的 应 急 检 测 。 如 果 威 胁 情 报 是   I P 、 域 名 、 U R L 等 具 体 上 网 属 性 信 息 ， 则 还 可 应 用 于 各 类 在 线 安 全 设 备 对 既 有 攻 击 进 行 实 时 的 阻 截 与 防 御 。
3 .   安 全 分 析 和 事 件 响 应 安 全 分 析 和 事 件 响 应 安 全 威 胁 情 报 可 以 让 安 全 分 析 和 事 件 响 应 工 作 处 理 变 得 更 简 单 、 更 高 效 。 例 如 ， 可 依 赖 威 胁 情 报 区 分 不 同 类 型 的 攻 击 ， 识 别 出 潜 在 的 A P T 高 危 级 别 攻 击 ， 从 而 实 现 对 攻 击 的 及 时 响 应 ； 可 利 用 威 胁 情 报 预 测 既 有 的 攻 击 线 索 可 能 造 成 的 恶 意 行 为 ， 从 而 实 现 对 攻 击 范 围 的 快 速 划 定 ； 可 建 立 威 胁 情 报 的 检 索 ， 从 而 实 现 对 安 全 线 索 的 精 准 挖 掘 。 0 3   威 胁 情 报 的 发 展 威 胁 情 报 的 发 展 以 威 胁 情 报 为 中 心 的 信 息 安 全 保 障 框 架 对 于 生 活 和 生 产 关 键 基 础 设 施 的 稳 定 运 行 、 军 事 作 战 指 挥 能 力 保 障 及 国 际 社 会 的 和 平 稳 定 具 有 重 大 意 义 ， 它 受 到 了 来 自 各 国 政 府 、 学 术 界 以 及 全 球 大 型 互 联 网 企 业 的 高 度 重 视 。 近 几 年 ， 威 胁 情 报 行 业 增 长 迅 速 ， 如   C r o w d S t r i k e 、 F l a s h p o i n t 、 i S i g h t   P a r t n e r s 等 威 胁 情 报 厂 商 通 过 建 立 的 威 胁 情 报 中 心 可 从 网 络 犯 罪 、 信 誉 库 、 漏 洞 、 恶 意 软 件 等 多 个 角 度 满 足 不 同 用 户 的 特 定 需 求 。 随 着 网 络 安 全 态 势 日 趋 复 杂 化 ， 威 胁 情 报 的 研 究 越 显 重 要 。 参 与 威 胁 情 报 感 知 、 共 享 和 分 析 的 各 方 结 合 自 身 业 务 流 程 与 安 全 需 求 ， 针 对 核 心 资 产 增 强 威 胁 情 报 感 知 能 力 ， 积 极 融 合 云 计 算 、 大 数 据 等 前 沿 技 术 ， 建 立 威 胁 情 报 深 度 分 析 系 统 ， 在 深 度 挖 掘 与 关 联 融 合 的 基 础 上 做 好 安 全 态 势 评 估 及 风 险 预 警 ， 动 态 调 整 安 全 策 略 ， 部 署 快 速 可 行 的 安 全 响 应 战 术 ， 确 保 关 键 资 产 的 信 息 安 全 。 威 胁 情 报 要 发 挥 价 值 ， 一 个 关 键 问 题 在 于 实 现 情 报 信 息 的 共 享 。 只 有 建 立 起 一 套 威 胁 情 报 共 享 的 机 制 ， 让 有 价 值 的 威 胁 情 报 有 效 流 通 ， 才 能 真 正 建 立 起 威 胁 情 报 的 生 态 系 统 。 当 然 ， 威 胁 情 报 的 生 态 系 统 包 括 两 个 方 面 ， 即 威 胁 情 报 的 生 产 和 威 胁 情 报 的 消 费 。 威 胁 情 报 的 生 产 就 是 通 过 对 原 始 数 据 的 采 集 、 交 换 、 分 析 、 追 踪 等 ， 产 生 和 共 享 有 价 值 的 威 胁 情 报 信 息 的 过 程 ； 威 胁 情 报 的 消 费 则 是 指 将 监 测 到 的 安 全 数 据 与 威 胁 情 报 进 行 比 对 、 验 证 、 关 联 ， 并 利 用 威 胁 情 报 进 行 分 析 的 过 程 。 因 此 ， 一 个 先 进 的 防 御 系 统 应 本 着 “ 和 平 利 用 、 利 益 均 衡 ” 的 原 则 开 展 安 全 协 同 共 享 ， 努 力 构 筑 和 谐 、 健 康 、 成 熟 的 威 胁 情 报 生 态 圈 ， 而 威 胁 情 报 的 生 产 和 消 费 过 程 则 可 更 有 利 构 筑 一 个 安 全 情 报 生 态 系 统 的 闭 环 。 0 4   威 胁 情 报 的 数 据 采 集 威 胁 情 报 的 数 据 采 集 威 胁 情 报 是 从 多 种 渠 道 获 得 用 以 保 护 系 统 核 心 资 产 的 安 全 线 索 的 总 和 ， 在 大 数 据 和 “ 互 联 网 + ” 应 用 背 景 下 ， 威 胁 情 报 的 采 集 范 畴 极 大 扩 展 ， 其 获 取 来 源 、 媒 体 形 态 、 内 容 类 型 也 得 到 了 极 大 的 丰 富 ， 如 防 火 墙 、 I D S 、 I P S 等 传 统 安 全 设 备 产 生 的 与 非 法 接 入 、 未 授 权 访 问 、 身 份 认 证 、 非 常 规 操 作 等 事 件 相 关 的 安 全 日 志 等 都 是 威 胁 情 报 的 数 据 来 源 ， 还 包 括 沙 盒 执 行 、 端 点 侦 测 、 深 度 分 组 检 测 （ D P I ） 、 深 度 流 量 检 测 （ D F I ） 、 恶 意 代 码 检 测 、 蜜 罐 技 术 等 系 统 输 出 结 果 ， 及 安 全 服 务 厂 商 （ 如 F i r e E y e ） 、 漏 洞 发 布 平 台 （ 如   C V E ） 、 威 胁 情 报 专 业 机 构 （ 如 C E R T ） 等 提 供 的 安 全 预 警 信 息 。
0 5   威 胁 情 报 的 分 析 方 法 威 胁 情 报 的 分 析 方 法 威 胁 情 报 本 来 只 是 一 种 客 观 存 在 的 数 据 形 态 ， 只 有 通 过 先 进 的 智 能 分 析 才 能 被 安 全 防 御 者 感 知 和 利 用 。 关 联 融 合 、 时 间 序 列 、 流 数 据 技 术 等 可 应 用 于 从 海 量 的 网 络 信 息 中 提 取 威 胁 特 征 ， 有 助 于 威 胁 情 报 的 横 向 和 纵 向 关 联 分 析 ； 聚 类 分 析 、 协 同 推 荐 、 跨 界 数 据 融 合 等 技 术 可 用 于 深 度 挖 掘 多 维 线 索 之 间 隐 藏 的 内 在 联 系 ， 进 而 实 现 对 系 统 的 整 体 威 胁 态 势 进 行 行 为 建 模 与 精 准 描 述 。 大 数 据 分 析 、 深 度 学 习 、 人 工 智 能   2 . 0   等 新 技 术 则 可 用 于 协 助 构 建 威 胁 情 报 的 智 能 研 判 与 综 合 预 警 平 台 。 0 6   威 胁 情 报 的 服 务 平 台 威 胁 情 报 的 服 务 平 台 1 .   I B M - X - F o r c e X - F o r c e   E x c h a n g e 能 够 为 全 球 提 供 对 I B M 及 第 三 方 威 胁 数 据 资 源 的 访 问 ， 包 括 实 时 的 攻 击 数 据 。 它 整 合 了 I B M 的 威 胁 研 究 数 据 和 技 术 ， 包 括 Q r a d a r 安 全 情 报 平 台 、 I B M 客 户 安 全 管 理 服 务 分 析 平 台 。 I B M 声 称 该 平 台 集 聚 了 超 过 7 0 0   T B 的 原 始 数 据 ， 并 在 不 断 更 新 。 X - F o r c e   E x c h a n g e 的 用 户 可 以 共 享 利 用 多 种 数 据 资 源 ， 包 括 ： 世 界 上 最 大 的 漏 洞 目 录 之 一 、 基 于 每 天 1 5 0 亿 起 安 全 事 件 监 控 的 威 胁 情 报 、 来 自 2 7 0 0 万 终 端 网 络 的 恶 意 威 胁 情 报 、 基 于 2 5 0 亿 网 页 和 图 片 的 威 胁 信 息 、 超 过   8 0 0 万 封 垃 圾 邮 件 和 钓 鱼 攻 击 的 深 度 情 报 、 接 近   1 0 0 万 恶 意 I P 地 址 的 信 誉 数 据 等 。 X - F o r c e   平 台 还 包 括 帮 助 整 理 和 注 释 内 容 的 工 具 ， 以 及 在 平 台 、 设 备 和 应 用 程 序 之 间 方 便 查 询 的 A P I 库 ， 允 许 企 业 处 理 威 胁 情 报 并 采 取 行 动 。 I B M 表 示 ， 该 平 台 还 将 提 供 对 S T I X 和 T A X I I 的 支 持 ， 以 及 自 动 化 威 胁 情 报 共 享 和 安 全 方 案 整 合 新 标 准 的 支 持 。 2 .   3 6 0 威 胁 情 报 中 心 威 胁 情 报 中 心 3 6 0 威 胁 情 报 基 础 信 息 查 询 平 台 向 业 界 开 放 免 费 查 询 服 务 ， 这 是 国 内 首 个 向 公 众 开 放 的 威 胁 情 报 数 据 查 询 服 务 平 台 。 3 6 0 威 胁 情 报 基 础 信 息 查 询 平 台 的 上 线 标 志 着 国 内 安 全 威 胁 情 报 共 享 进 入 新 阶 段 ， 所 有 安 全 厂 商 、 政 企 用 户 的 安 全 研 究 与 分 析 人 员 在 经 过 线 上 注 册 审 核 后 ， 都 可 以 免 费 进 行 查 询 。 3 6 0 威 胁 情 报 中 心 具 有 关 联 分 析 和 海 量 数 据 两 大 特 色 。 互 联 网 安 全 的 数 据 是 多 种 多 样 且 相 互 关 联 的 ， 但 依 靠 孤 立 的 数 据 无 法 进 行 未 知 威 胁 的 分 析 和 定 性 ， 只 有 将 信 息 关 联 起 来 才 能 看 清 整 体 的 威 胁 态 势 。 平 台 可 以 将 用 户 所 提 交 的 查 询 信 息 关 联 起 来 ， 协 助 用 户 进 行 线 索 拓 展 ， 对 安 全 分 析 工 作 提 供 有 力 帮 助 。 3 6 0   公 司 基 于 多 年 的 互 联 网 安 全 大 数 据 积 累 ， 拥 有 全 球 独 有 的 安 全 样 本 库 ， 总 样 本 量 超 过 9 5 亿 ， 包 括 互 联 网 域 名 信 息 库 （ 5 0 亿 条 D N S 解 析 记 录 ） ， 还 包 括 众 多 第 三 方 海 量 数 据 源 。 基 于 情 报 中 心 大 数 据 ， 可 有 效 帮 助 用 户 进 行 多 维 关 联 分 析 ， 挖 掘 出 在 企 业 自 身 或 组 织 内 部 分 析 中 无 法 发 现 的 更 多 安 全 隐 患 线 索 。
3 .   阿 里 云 盾 态 势 感 知 阿 里 云 盾 态 势 感 知 阿 里 云 盾 态 势 感 知 是 全 球 唯 一 能 感 知 “ 渗 透 测 试 ” 的 安 全 威 胁 服 务 平 台 ， 如 可 以 区 分 脚 本 小 子 和 高 级 黑 客 、 识 别 零 日 应 用 攻 击 、 捕 捉 高 隐 蔽 性 的 入 侵 行 为 、 溯 源 追 踪 黑 客 身 份 等 。 云 盾 平 台 利 用 大 数 据 ， 可 对 高 级 攻 击 者 使 用 的 零 日 漏 洞 攻 击 进 行 动 态 防 御 ， 如 可 以 采 用 新 型 病 毒 查 杀 ， 并 通 过 爬 取 互 联 网 泄 露 的 员 工 信 息 ， 实 时 告 警 、 杜 绝 黑 客 “ 社 工 ” ； 能 够 对 各 种 潜 在 威 胁 及 时 识 别 和 汇 总 分 析 ； 能 够 实 现 基 于 行 为 特 征 的 W e b s h e l l 检 测 、 基 于 沙 箱 的 恶 意 病 毒 精 确 查 杀 等 。 0 7   威 胁 情 报 的 开 源 项 目 威 胁 情 报 的 开 源 项 目 1 .   安 全 威 胁 情 报 共 享 框 架 安 全 威 胁 情 报 共 享 框 架 O p e n I O C M A N D I A N T   公 司 基 于 多 年 的 数 字 取 证 技 术 积 累 ， 将 使 用 多 年 的 情 报 规 范 开 源 后 形 成 O p e n I O C （ O p e n I n d i c a t o r   o f   C o m p r o m i s e ） 框 架 ， 它 是 一 个 开 放 灵 活 的 安 全 情 报 共 享 框 架 。 利 用 O p e n I O C ， 重 要 的 安 全 情 报 可 以 在 多 个 组 织 间 迅 速 传 递 ， 极 大 缩 短 检 测 到 响 应 的 时 间 延 迟 ， 提 升 紧 急 安 全 事 件 响 应 与 安 全 防 范 的 能 力 。 O p e n I O C 本 身 是 一 个 记 录 、 定 义 以 及 共 享 安 全 情 报 的 格 式 ， 以 机 器 可 读 的 形 式 实 现 不 同 类 型 威 胁 情 报 的 快 速 共 享 。 O p e n I O C 本 身 是 开 放 、 灵 活 的 框 架 ， 因 此 可 以 方 便 添 加 新 的 情 报 ， 完 善 威 胁 情 报 指 标 I O C 。 O p e n I O C 的 工 作 流 程 如 下 。 （ 1 ） 获 取 初 始 证 据 ： 根 据 主 机 或 网 络 的 异 常 行 为 获 取 最 初 的 数 据 。 （ 2 ） 建 立 I O C ： 分 析 初 步 获 得 的 数 据 ， 根 据 可 能 的 技 术 特 征 建 立 I O C 。 （ 3 ） 部 署 I O C ： 在 企 业 的 主 机 或 网 络 中 部 署 I O C ， 并 执 行 检 测 。 （ 4 ） 检 测 发 现 更 多 的 可 疑 主 机 。 （ 5 ） I O C 优 化 ： 通 过 初 步 检 测 可 获 取 的 新 证 据 进 行 分 析 ， 优 化 已 有 的 I O C 。 O p e n I O C 推 出 了 I O C e d i t o r 和 R e d l i n e 两 款 工 具 。 I O C e d i t o r 用 来 建 立 I O C ， R e d l i n e 负 责 将 I O C 部 署 到 主 机 并 收 集 信 息 进 行 分 析 。 2 .   C I F
C I F （ C o l l e c t i v e   I n t e l l i g e n c e   F r a m e w o r k ） 是 一 个 网 络 威 胁 情 报 管 理 系 统 ， 它 结 合 了 多 个 威 胁 情 报 来 源 获 取 已 知 的 恶 意 威 胁 信 息 ， 如 I P 地 址 、 域 名 和 网 址 信 息 等 ， 并 利 用 这 些 信 息 进 行 事 件 识 别 、 入 侵 检 测 和 路 由 缓 解 等 。 3 .   O S T r I C a O S T r I C a   是 一 个 免 费 的 开 源 框 架 ， 采 用 基 于 插 架 的 架 构 。 O S T r I C a   自 身 并 不 依 赖 外 部 的 库 ， 但 安 装 的 插 件 需 要 依 赖 库 。 O S T r I C a 可 以 实 现 自 动 从 公 开 的 、 内 部 的 、 商 业 的 数 据 源 中 收 集 信 息 ， 并 可 视 化 各 种 类 型 的 威 胁 情 报 数 据 ， 最 终 由 专 家 来 分 析 收 集 的 情 报 ， 并 显 示 成 图 形 格 式 ， 还 可 基 于 远 程 连 接 、 文 件 名 、 m u t e x 等 ， 显 示 多 个 恶 意 软 件 的 关 联 信 息 。 4 .   C R I T s C R I T s   也 是 一 个 网 络 威 胁 数 据 库 ， 不 仅 可 作 为 攻 击 和 恶 意 软 件 库 的 数 据 分 析 引 擎 ， 还 提 供 了 恶 意 软 件 分 析 能 力 。 C R I T s   采 用 简 单 实 用 的 层 次 结 构 来 存 储 网 络 威 胁 信 息 ， 这 种 结 构 具 备 分 析 关 键 元 数 据 的 能 力 ， 可 以 发 现 未 知 的 恶 意 内 容 。 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理