搜索

[6910] 2020-09-05_威胁情报面临六大难题

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2020-09-05_威胁情报面临六大难题 威 胁 情 报 面 临 六 大 难 题 安 全 牛   E 安 全   2 0 2 0 - 0 9 - 0 5 过 去 十 年 中 ， 网 络 威 胁 情 报 （ C T I ） 取 得 了 飞 速 发 展 ， 其 目 的 是 通 过 结 合 计 算 机 科 学 和 情 报 学 科 来 对 抗 网 络 威 胁 。 由 黑 客 组 织 实 施 的 网 络 攻 击 是 最 常 见 且 损 失 最 为 高 昂 的 网 络 安 全 事 件 ， 但 防 御 端 的 检 测 和 响 应 却 极 为 迟 钝 ， 现 代 企 业 检 测 网 络 入 侵 的 平 均 时 间 为 2 0 6 天 ， 而 平 均 缓 解 和 遏 制 时 间 则 为 7 3 天 。 为 了 弥 合 这 一 差 距 ， 网 络 安 全 社 区 创 造 了 网 络 威 胁 情 报 （ C T I ） 的 概 念 和 方 法 。 威 胁 情 报 的 主 要 目 标 是 建 立 相 对 于 网 络 威 胁 参 与 者 的 知 识 优 势 。 在 战 术 和 运 营 层 面 ， 威 胁 情 报 加 快 了 恶 意 行 为 的 早 期 检 测 ， 最 好 是 在 恶 意 参 与 者 在 网 络 中 立 足 未 稳 之 前 。 在 战 略 层 面 ， 威 胁 情 报 为 决 策 者 提 供 了 对 相 关 威 胁 环 境 的 感 知 和 认 识 。 实 际 上 ， 威 胁 情 报 是 民 用 和 私 营 部 门 的 替 代 品 ， 用 来 代 替 传 统 的 情 报 共 同 体 （ I C ） 开 展 防 御 性 情 报 工 作 。 最 初 受 雇 于 I C 的 许 多 技 术 专 家 已 经 为 威 胁 情 报 供 应 商 工 作 ， 例 如 C r o w d S t r i k e 、 F i r e E y e 、 T a l o s 和 K a s p e r s k y 。 威 胁 情 报 界 对 网 络 威 胁 进 行 公 开 和 商 业 化 的 情 报 分 析 ， 凭 借 其 深 厚 的 技 术 专 长 和 主 题 知 识 ， 威 胁 情 报 界 在 应 对 未 来 几 年 的 网 络 安 全 威 胁 方 面 潜 力 巨 大 ， 顶 级 的 威 胁 情 报 服 务 商 某 些 情 况 下 能 够 达 到 甚 至 超 过 政 府 情 报 机 构 的 能 力 。 与 看 上 去 有 些 务 虚 的 “ 风 险 管 理 ” 不 同 ， 网 络 威 胁 情 报 更 加 实 用 ， 可 实 操 ， 且 能 够 应 对 高 度 动 态 的 环 境 。 许 多 当 年 的 杀 毒 软 件 供 应 商 已 经 改 变 了 业 务 方 向 ， 成 为 商 业 威 胁 情 报 提 供 商 ， 提 供 有 关 网 络 威 胁 参 与 者 的 高 价 值 情 报 分 析 服 务 。 如 今 ， 威 胁 情 报 在 日 常 网 络 安 全 实 践 中 已 经 开 始 发 挥 重 要 作 用 。
近 日 ， 荷 兰 政 府 高 级 网 络 威 胁 情 报 分 析 师 K r i s   O s s t h o e k 在 《 国 际 情 报 与 反 情 报 杂 志 》 上 撰 文 指 出 ， 虽 然 威 胁 情 报 是 网 络 安 全 领 域 的 重 要 补 充 ， 但 它 仍 处 于 起 步 阶 段 。 威 胁 情 报 面 临 的 挑 战 不 仅 是 技 术 和 战 术 层 面 的 情 报 质 威 胁 情 报 面 临 的 挑 战 不 仅 是 技 术 和 战 术 层 面 的 情 报 质 量 和 情 报 分 享 问 题 ， 还 包 括 方 法 论 和 流 程 问 题 。 量 和 情 报 分 享 问 题 ， 还 包 括 方 法 论 和 流 程 问 题 。 O s s t h o e k 认 为 ， 虽 然 今 天 威 胁 情 报 界 已 经 拥 有 丰 富 的 工 具 和 技 术 知 识 ， 但 最 初 的 创 新 脚 步 已 停 滞 不 前 ， 缺 乏 标 缺 乏 标 准 化 和 方 法 论 ， 产 品 或 服 务 缺 乏 流 程 ， 是 威 胁 情 报 融 入 网 络 安 全 防 御 体 系 的 最 大 挑 战 。 准 化 和 方 法 论 ， 产 品 或 服 务 缺 乏 流 程 ， 是 威 胁 情 报 融 入 网 络 安 全 防 御 体 系 的 最 大 挑 战 。 以 下 ， 是 以 下 ， 是 O o s t h o e k 在 论 文 中 指 出 的 威 胁 情 报 面 临 的 六 大 难 题 ， 概 括 整 理 如 下 ： 在 论 文 中 指 出 的 威 胁 情 报 面 临 的 六 大 难 题 ， 概 括 整 理 如 下 ：   0 1 C T I 缺 乏 方 法 论 缺 乏 方 法 论 S h e r m a n   K e n t 的 《 分 析 学 》 ， R i c h a r d s   H e u e r 的 《 情 报 分 析 心 理 学 》 和 《 结 构 化 分 析 技 术 》 。 许 多 网 络 安 全 会 议 的 演 讲 者 都 会 提 及 这 些 著 作 和 术 语 来 让 威 胁 情 报 看 上 有 着 严 谨 的 理 论 基 础 和 科 学 严 谨 性 。 但 事 实 上 威 胁 情 报 大 多 数 内 容 都 是 建 立 在 松 散 的 概 念 之 上 ， 并 不 具 备 严 格 的 分 析 能 力 。 如 今 ， 大 多 数 威 胁 情 报 分 析 都 是 由 警 报 和 传 入 的 原 始 数 据 而 不 是 预 先 确 定 的 假 设 进 行 输 入 驱 动 的 。 缺 乏 方 法 论 导 致 企 业 难 以 分 析 每 天 大 量 产 生 的 缺 乏 方 法 论 导 致 企 业 难 以 分 析 每 天 大 量 产 生 的 I o C 数 据 数 据 点 与 特 定 威 胁 环 境 的 相 关 性 。 点 与 特 定 威 胁 环 境 的 相 关 性 。 另 一 方 面 ， 缺 少 （ 基 于 方 法 论 的 ） 流 程 会 导 致 威 胁 情 报 分 析 瘫 痪 ， 尤 其 是 在 较 小 的 团 队 中 。 尽 管 计 算 机 科 学 领 域 已 经 提 供 了 几 种 支 持 数 据 预 处 理 的 机 器 学 习 算 法 ， 但 将 隐 性 知 识 转 换 为 算 法 可 能 在 未 来 几 年 仍 将 是 一 个 尚 未 解 决 的 挑 战 。 解 决 之 道 在 于 引 入 流 程 ， 而 不 是 更 多 的 技 术 。 解 决 之 道 在 于 引 入 流 程 ， 而 不 是 更 多 的 技 术 。 0 2 威 胁 情 报 是 共 享 的 ， 但 只 是 口 头 上 的 威 胁 情 报 是 共 享 的 ， 但 只 是 口 头 上 的 珍 珠 港 事 件 和 9 1 1 事 件 都 是 I C 情 报 共 享 的 最 佳 反 面 教 材 。 由 于 交 通 灯 协 议 （ T L P ） 的 限 制 ， C T I 的 共 享 更 加 复 杂 。 T L P 使 用 交 通 信 号 灯 颜 色 指 示 是 否 可 以 跨 信 任 边 界 （ 组 织 、 信 息 共 享 和 分 析 中 心 [ I S A C ] ） 共 享 信 息 。 红 色 限 制 只 向 直 接 参 与 者 分 发 ， 而 绿 色 限 制 向 社 区 公 开 。 白 色 表 示 共 享 不 受 限 制 。 但 是 灰 色 区 域 （ A m b e r ） 则 模 棱 两 可 ： 只 能 在 您 的 组 织 内 共 享 ， 而 特 定 约 束 可 以 由 源 机 构 指 定 。 此 外 ， T L P 仅 适 用 于 人 与 人 之 间 的 共 享 ， 不 适 用 于 基 于 计 算 机 的 威 胁 数 据 共 享 ， 后 者 依 赖 机 器 与 机 器 共 享 的 正 式 标 准 ， 例 如 结 构 化 威 胁 信 息 表 达 。 但 是 ， 大 多 数 威 胁 情 报 数 据 仍 以 非 结 构 化 方 式 共 享 。 I S A C （ 信 息 分 享 与 分 析 中 心 ） 促 进 了 各 个 行 业 和 企 业 之 间 的 信 息 共 享 。 I S A C 可 以 成 为 免 费 交 换 优 质 C T I 的 良 好 来 源 。 但 是 ， I S A C 的 成 功 往 往 只 能 维 持 最 初 的 阶 段 ， 因 为 分 享 的 意 愿 取 决 于 I S A C 的 规 模 。 一 旦 有 其 他 参 与 者 进 入 I S A C ， 共 享 效 率 就 趋 于 下 降 ， 因 为 参 与 者 不 希 望 有 免 费 服 务 。 如 前 所 述 ， 这 不 是 技 术 问 题 ， 而 是 信 任 问 题 。 0 3 威 胁 情 报 质 量 通 常 很 差 威 胁 情 报 质 量 通 常 很 差
威 胁 情 报 数 据 的 种 类 很 多 ， 最 常 见 的 形 式 是 I o C 失 陷 指 标 ， 包 含 与 恶 意 活 动 相 关 的 信 息 ， 例 如 I P 地 址 、 域 名 或 文 件 哈 希 等 ， 其 中 用 作 识 别 恶 意 文 件 的 指 纹 的 文 件 哈 希 是 I o C 共 享 最 多 的 数 据 类 型 ， 但 价 值 “ 保 鲜 期 ” 很 短 ， 因 为 恶 意 软 件 发 展 极 快 。 严 格 来 说 ， I o C 本 身 不 具 有 情 报 价 值 ， 因 为 它 们 需 要 与 网 络 基 础 结 构 日 志 记 录 上 下 文 相 关 联 。 一 个 普 通 的 中 型 组 织 的 I T 系 统 每 天 会 产 生 数 百 万 条 系 统 消 息 ， 其 中 只 有 极 少 数 是 由 人 类 分 析 人 员 调 查 的 。 基 于 I o C 的 检 测 可 以 促 进 基 于 风 险 的 优 先 级 ， 但 这 取 决 于 I o C 的 质 量 。 如 果 产 生 太 多 的 误 报 ， 将 导 致 分 析 人 员 的 告 警 疲 劳 。 当 前 ， 大 多 数 威 胁 情 报 共 享 发 生 在 痛 苦 金 字 塔 的 底 部 。 完 整 的 T T P 很 难 以 机 器 可 读 的 方 式 共 享 。 M I T R E   A T T ＆ C K 框 架 是 朝 着 正 确 方 向 迈 出 的 第 一 步 ， 但 作 为 一 个 专 业 领 域 ， 威 胁 情 报 仍 然 需 要 朝 着 标 准 化 迈 进 一 大 步 。 由 于 需 求 大 于 供 应 ，   当 下 许 多 防 御 者 摄 取 尽 可 能 多 的 情 报 数 据 ， 从 而 产 生 了 信 噪 比 问 题 。 正 式 的 C T I 方 法 论 的 引 入 将 有 助 于 提 高 威 胁 情 报 的 质 量 。 0 4 威 胁 情 报 供 应 商 的 不 透 明 威 胁 情 报 供 应 商 的 不 透 明 威 胁 情 报 市 场 的 “ 水 很 深 ” ， 您 知 道 如 何 对 供 应 商 的 威 胁 情 报 质 量 进 行 评 估 ？ 他 们 的 原 始 情 报 是 如 何 获 得 的 ？ 他 们 的 传 感 器 如 何 分 布 ， 是 否 存 在 偏 差 ？ 到 目 前 为 止 ， 大 多 数 组 织 都 是 威 胁 数 据 的 “ 消 费 者 ” 而 不 是 “ 客 户 ” ， 它 们 对 情 报 数 据 提 供 者 的 方 法 不 仅 未 知 ， 而 且 对 它 的 来 源 也 一 无 所 知 。 由 于 缺 乏 研 发 资 源 ， 商 业 威 胁 情 报 提 供 者 经 常 将 其 C T I 数 据 外 包 给 竞 争 对 手 。 网 络 威 胁 联 盟 就 是 一 个 众 所 周 知 的 例 子 ， 通 过 该 联 盟 ， 2 5 个 成 员 组 织 每 月 共 享 4 0 0 万 个 可 观 察 物 。 商 业 威 胁 情 报 提 供 者 结 成 联 盟 可 能 导 致 某 些 威 胁 的 报 告 出 现 重 叠 ， 而 免 费 提 供 的 开 源 威 胁 情 报 在 很 大 程 度 上 没 有 这 种 问 题 。 对 于 许 多 从 业 者 来 说 ， 这 种 重 叠 是 未 知 的 ， 并 且 由 于 商 业 情 报 的 高 价 位 ， 在 实 践 中 很 难 识 别 。 0 5 C T I 过 于 偏 颇 过 于 偏 颇 从 商 业 角 度 来 看 ， 情 报 供 应 商 喜 欢 专 注 于 大 型 国 家 行 为 者 ， 与 低 级 别 的 网 络 犯 罪 行 为 者 相 比 ， 实 际 上 国 家 黑 客 对 企 业 和 个 人 的 威 胁 往 往 被 夸 大 了 。 威 胁 供 应 商 报 告 的 大 部 分 内 容 都 集 中 在 国 家 黑 客 这 种 吸 引 眼 球 但 实 际 威 胁 很 小 的 子 集 上 ， 这 些 威 胁 可 以 增 加 阅 读 的 趣 味 性 ， 但 与 我 们 的 大 多 数 日 常 威 胁 情 报 实 践 并 不 十 分 相 关 。 0 6 C T I 归 属 很 难 归 属 很 难 出 于 营 销 目 的 ， 全 球 主 要 威 胁 情 报 提 供 商 热 衷 于 为 各 个 威 胁 组 织 起 各 种 炫 酷 的 名 字 。 结 果 同 一 个 黑 客 组 织 被 冠 以 五 花 八 门 的 名 字 ， 给 归 因 带 来 极 大 麻 烦 。 例 如 ， 同 一 个 俄 罗 斯 一 个 军 事 情 报 组 织 被 不 同 威 胁 情 报 提 供 商 起 了 十 多
个 名 字 ： 花 式 熊 、 A P T - 2 8 、 S o f a c y 、 S T R O N T I U M 、 S e d n i t 、 沙 皇 团 队 、 燕 尾 、 典 当 风 暴 、 T G - 4 1 2 7 、 灰 熊 草 原 等 等 。 由 于 威 胁 情 报 界 不 存 在 通 用 的 命 名 约 定 ， 导 致 两 个 问 题 ， 首 先 ， 实 际 存 在 的 威 胁 数 量 在 很 大 程 度 上 被 高 估 了 。 其 次 ， 缺 少 命 名 约 定 会 使 情 报 共 享 变 得 复 杂 。 同 一 黑 客 组 织 的 每 个 不 同 名 称 都 是 一 个 额 外 的 数 据 点 ， 使 推 理 复 杂 化 ， 还 会 增 加 信 噪 比 。 参 考 资 料 参 考 资 料 P o n e m o n 研 究 所 ， 研 究 所 ， “   2 0 1 9 年 数 据 泄 露 成 本 报 告 年 数 据 泄 露 成 本 报 告 ” ， 密 歇 根 州 ， ， 密 歇 根 州 ， 2 0 1 9 年 ： 年 ： h t t p s ： / / w w w . i b m . c o m / s e c u r i t y / d a t a - b r e a c h 外 交 关 系 委 员 会 ， 外 交 关 系 委 员 会 ， “ 网 络 运 营 跟 踪 器 网 络 运 营 跟 踪 器 ” ： ： h t t p s ： / / w w w . c f r . o r g / i n t e r a c t i v e / c y b e r - o p e r a t i o n s / e x p o r t - i n c i d e n t s ？ _ f o r m a t   =   c s v G a r t n e r ， ， “ 安 全 威 胁 情 报 产 品 的 安 全 威 胁 情 报 产 品 的 G a r t n e r 市 场 指 南 市 场 指 南 ” ， 斯 坦 福 ， ， 斯 坦 福 ， 2 0 1 9 年 ： 年 ： h t t p s ： / / g o . e c l e c t i c i q . c o m / g a r t n e r - m a r k e t - g u i d e - t o - c t i - 2 0 1 9 E r i c k   M a n d t 和 和 R o b e r t   M .   L e e ， ， “ 在 主 动 防 御 中 利 用 威 胁 情 报 在 主 动 防 御 中 利 用 威 胁 情 报 ” ， ， S A N S   D F I R 峰 会 ， 峰 会 ， 2 0 1 6 年 ： 年 ： h t t p s ：   / / w w w . s a n s . o r g / c y b e r - s e c u r i t y - s u m m i t / a r c h i v e s / f i l e /   s u m m i t - a r c h i v e - 1 4 9 2 1 8 0 8 2 3 . p d f   ;   网 络 威 胁 联 盟 ， 网 络 威 胁 联 盟 ， “ 关 于 关 于 C T I — — 我 们 的 共 享 统 计 数 据 我 们 的 共 享 统 计 数 据 ” ： ： h t t p s ： / / w w w . c y b e r t h r e a t a l l i a n c e . o r g / a b o u t - c t a / S t e p h e n   M a r r i n ， 《 提 高 情 报 分 析 能 力 ： 缩 小 奖 学 金 与 实 践 之 间 的 鸿 沟 》 （ 泰 晤 士 河 畔 阿 宾 登 ： R o u t l e d g e ， 2 0 1 2 年 ） ， 第 1 页 。 2 1 。   R i c h a r d s   J .   H e u e r ， J r . ， 《 情 报 分 析 心 理 学 》 （ 华 盛 顿 特 区 ： 情 报 研 究 中 心 ， 1 9 9 9 年 ） 。 R i c h a r d s   J .   H e u e r ， J r . 和 R a n d o l p h   P h e r s o n ， 《 情 报 分 析 的 结 构 化 分 析 技 术 》 （ 华 盛 顿 特 区 ， C Q P r e s s ， 2 0 1 1 年 ） 。 H a r m   G r i f f i o e n ， T i m   M .   B o o i j 和 C h r i s t i a n   D o e r r ， “ 网 络 威 胁 情 报 源 的 质 量 评 估 ”   ， 第 1 9 届 应 用 密 码 学 和 网 络 安 全 国 际 会 议 论 文 集 ， 2 0 2 0 年 。   A v i r a m   Z r a h i a ， “ 网 络 安 全 供 应 商 之 间 的 威 胁 情 报 共 享 ： 网 络 ， D y a d i c 和 代 理 视 图 ” ， 《 网 络 安 全 期 刊 》 ， 第 1 卷 。 4 ， N o . 1 （ 2 0 1 8 ） 。
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 为 提 高 用 户 隐 私   谷 歌 C h r o m e 浏 览 器 推 出 了 安 全 D N S 美 国 大 选 在 即   黑 客 频 繁 攻 击 特 朗 普 的 竞 选 网 站 马 克 龙 不 排 斥 华 为 进 入 法 国 5 G 市 场   但 更 倾 向 于 爱 立 信 和 诺 基 亚 动 手 了 ！ 美 国 政 府 没 收 2 8 0 个 朝 鲜 加 密 货 币 账 户 绽 放 杯 ｜ 5 G 安 全 技 术 结 硕 果 ， 安 恒 信 息 首 创 全 国 5 G + 智 慧 矿 山 网 络 安 全 体 系 方 案 应 用 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理