搜索

[3808] 2017-05-07_解析网络威胁“狩猎”新范式

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-05-07_解析网络威胁“狩猎”新范式 解 析 网 络 威 胁 “ 狩 猎 ” 新 范 式 原 创   E 安 全   E 安 全   2 0 1 7 - 0 5 - 0 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 5 月 7 日 文   专 家 谈 及 网 络 威 胁 的 细 分 时 ， 通 常 会 提 及 二 八 定 律 （ 又 名 8 0 / 2 0 定 律 、 帕 累 托 法 则 （ 定 律 ） 也 叫 巴 莱 特 定 律 、 最 省 力 的 法 则 、 不 平 衡 原 则 等 ， 被 广 泛 应 用 于 社 会 学 及 企 业 管 理 学 等 。 ） 。 二 八 定 律 的 概 念 为 ： 8 0 % 的 网 络 威 胁 攻 击 者 通 常 比 较 “ 低 能 ” ， 而 剩 下 2 0 % 则 非 常 先 进 ， 如 果 给 定 的 时 间 和 资 源 充 足 ， 这 2 0 % 的 攻 击 者 可 以 入 侵 任 何 网 络 。 网 络 “ 狩 猎 ” 新 范 式 从 历 史 上 来 看 ， 国 防 和 情 报 界 主 要 关 注 那 2 0 % 的 网 络 攻 击 者 。 然 而 ， 如 今 商 业 化 恶 意 软 件 的 兴 起 让 传 统   “ 菜 鸟 级 ” 攻 击 者 也 能 使 用 先 进 技 术 。 例 如 ， 2 0 0 6 年 ， W e b A t t a c k e r 漏 洞 利 用 工 具 提 供 了 一 套 任 何 威 胁 攻 击 者 都 能 操 作 的 工 具 套 件 。 在 这 种 新 范 式 下 ， 我 们 要 认 清 三 大 真 相 ： 1 .   不 可 能 防 止 所 有 的 攻 击 。 2 .   企 业 网 络 难 免 会 遭 遇 攻 击 。 3 .   不 存 在 1 0 0 % 的 安 全 大 多 数 安 全 从 业 人 员 都 明 白 ， 良 好 的 网 络 习 惯 和 边 界 网 络 安 全 将 缓 解 底 层 8 0 % 的 攻 击 者 。 在 安 全 运 维 中 心 （ S O C ） ， 阻 止 和 处 理 技 术 可 以 应 对 超 过 9 0 % 的 攻 击 者 。 而 那 剩 下 的 1 0 % ， 就 属 于 威 胁 狩 猎 的 领 域 。 人 工 分 析 师 可 以 调 查 数 据 源 找 到 单 靠 机 器 无 法 检 测 到 的 威 胁 证 据 。 例 如 ， 寻 找 异 常 的 分 析 师 可 以 发 现 对 手 的 指 示 器 （ I n d i c a t o r ） ， 以 及 执 行 攻 击 者 的 部 分 杀 伤 链 ， 并 在 对 方 采 取 行 动 前 加 以 阻 止 。 威 胁 狩 猎 新 手 需 了 解 的 注 意 事 项 当 创 建 威 胁 狩 猎 计 划 时 ， 组 织 机 构 应 牢 记 三 件 事 ：
1 .   需 求 是 什 么 ？ 需 求 是 什 么 ？ 威 胁 狩 猎 的 基 础 是 安 全 信 息 和 事 件 管 理 （ S I E M ） 解 决 方 案 ， 该 解 决 方 案 在 网 络 内 适 当 聚 合 内 部 结 构 化 数 据 。 威 胁 情 报 信 息 允 许 组 织 机 构 对 比 外 部 威 胁 指 示 器 （ I n d i c a t o r ） ， 并 理 解 威 胁 格 局 。 此 外 ， 还 要 增 加 统 计 分 析 引 擎 和 情 报 分 析 工 具 。 分 析 师 可 通 过 统 计 分 析 根 据 数 学 模 型 发 现 异 常 ， 而 不 是 规 则 引 擎 。 情 报 分 析 工 具 可 以 使 相 关 数 据 可 视 化 ， 以 便 分 析 师 围 绕 实 体 、 联 系 和 财 产 进 行 关 联 。 2 .   需 要 哪 些 人 才 ？ 需 要 哪 些 人 才 ？ 威 胁 分 析 师 是 威 胁 狩 猎 从 业 人 员 。 威 胁 分 析 师 通 常 被 称 为 “ 三 级 分 析 师 ” ， 他 们 具 有 信 息 安 全 、 取 证 科 学 和 情 报 分 析 相 关 的 技 能 。 因 为 具 备 这 些 技 能 ， 三 级 分 析 师 能 主 动 根 据 情 报 需 求 积 极 发 现 威 胁 ， 并 直 接 展 开 调 查 。 3 .     怎 么 做 ？ 怎 么 做 ？ 执 行 威 胁 狩 猎 最 重 要 的 起 点 是 建 立 优 先 情 报 需 求 （ P I R ） 。 P I R 需 求 基 本 上 都 是 领 导 层 寻 求 的 高 层 次 问 题 。 你 可 能 想 知 道 ， 自 己 是 否 遗 漏 了 隐 藏 的 威 胁 。 若 是 如 此 ， 具 体 信 息 需 求 （ S I R ） 可 以 帮 助 回 答 以 下 问 题 ： 众 多 低 级 警 报 何 时 连 接 到 同 一 指 示 器 （ I n d i c a t o r ） ？ 3 0 天 至 9 0 天 之 前 ， 新 威 胁 情 报 指 示 器 （ I n d i c a t o r ） 在 哪 里 与 日 志 匹 配 ？ 通 过 以 前 从 未 见 过 的 命 令 执 行 的 远 程 访 问 会 话 在 哪 里 ？ 威 胁 狩 猎 者 通 过 这 些 问 题 可 以 了 解 重 要 情 报 ， 以 解 决 高 层 次 的 问 题 ， 并 破 坏 先 前 未 知 的 复 杂 威 胁 。 奠 定 基 础 奠 定 基 础 刚 开 始 涉 足 威 胁 狩 猎 的 公 司 应 了 解 上 述 基 本 概 念 ， 并 在 成 熟 时 增 加 更 多 功 能 。 使 用 正 确 的 工 具 和 配 备 有 技 能 的 员 工 至 关 重 要 。 通 过 适 当 的 技 术 、 人 员 和 可 操 作 的 威 胁 情 报 ， 组 织 机 构 可 以 填 补 安 全 空 缺 ， 并 保 护 网 络 免 于 遭 受 “ 藏 在 暗 处 ” 的 恶 意 攻 击 。 0 7 E 安 全 要 闻 简 讯 安 全 要 闻 简 讯 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 5 月 月   0 1 最 容 易 遭 到 黑 客 攻 击 的 习 惯 ， 或 许 您 也 有 0 2 美 国 D H S 向 国 会 提 交 政 府 《 移 动 设 备 安 全 研 究 》 报 告 0 3 解 析 网 络 威 胁 “ 狩 猎 ” 新 范 式 0 4 俄 通 信 监 管 机 构 回 应 封 锁 微 信 一 事 0 5 为 训 练 最 厉 害 的 特 工 ， D A R P A 打 算 黑 进 人 类 大 脑
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理