搜索

[9934] 2016-03-21_威胁情报基础：爬取、行走、分析（Part1）

文档创建者：s7ckTeam
浏览次数：120
最后更新：2025-01-18
2016-03-21_威胁情报基础：爬取、行走、分析（Part1） 威 胁 情 报 基 础 ： 爬 取 、 行 走 、 分 析 （ P a r t   1 ） S a m S m i t h   F r e e B u f   2 0 1 6 - 0 3 - 2 1 过 去 我 们 所 理 解 的 威 胁 情 报 就 是 过 去 我 们 所 理 解 的 威 胁 情 报 就 是 “ 威 胁 数 据 威 胁 数 据 → S I E M （ 安 全 信 息 与 事 件 管 理 ） （ 安 全 信 息 与 事 件 管 理 ） → 安 全 保 障 安 全 保 障 ” ， 而 这 个 过 程 中 只 有 少 数 东 ， 而 这 个 过 程 中 只 有 少 数 东 西 需 要 分 析 。 西 需 要 分 析 。 R i c k   H o l l a n 在 在 2 0 1 2 年 的 一 篇 博 客 《 我 的 威 胁 情 报 可 以 完 虐 你 的 威 胁 情 报 》 中 就 曾 提 醒 我 们 年 的 一 篇 博 客 《 我 的 威 胁 情 报 可 以 完 虐 你 的 威 胁 情 报 》 中 就 曾 提 醒 我 们 “ 这 是 一 条 错 这 是 一 条 错 误 的 轨 道 误 的 轨 道 ” ， 他 写 道 ： ， 他 写 道 ： “ 只 有 当 你 的 机 构 具 有 自 我 开 发 的 能 力 时 ， 才 称 得 上 具 有 真 正 的 威 胁 情 报 。 ” 现 阶 段 ， 我 们 可 以 利 用 很 多 已 有 的 威 胁 情 报 ， 并 掌 握 我 们 如 何 在 内 网 中 更 好 的 利 用 威 胁 情 报 。 而 这 要 求 我 们 具 备 一 个 对 威 胁 情 报 的 基 础 了 解 ， 以 及 他 们 究 竟 是 如 何 在 安 全 操 作 环 境 起 作 用 的 。 本 文 旨 在 帮 助 对 威 胁 情 报 感 兴 趣 的 人 ， 理 解 威 胁 情 报 和 情 报 分 析 基 础 。 威 胁 情 报 水 平 的 安 全 操 作 ： 爬 取 威 胁 情 报 水 平 的 安 全 操 作 ： 爬 取 在 决 定 将 威 胁 情 报 整 合 到 安 全 操 作 之 前 ， 公 司 最 好 先 构 建 一 个 以 不 同 方 式 有 效 利 用 威 胁 情 报 的 框 架 。 传 统 中 的 情 报 水 平 即 战 争 中 的 策 略 、 运 作 及 战 术 。 产 生 这 样 对 应 关 系 的 原 因 如 下 ： 它 有 助 于 识 别 各 个 层 次 的 决 策 者 ； 它 能 识 别 情 报 的 目 的 ， 无 论 是 既 定 政 策 、 计 划 中 或 是 检 测 、 组 织 一 次 攻 击 活 动 ； 它 能 够 在 获 得 情 报 后 帮 助 决 策 者 拟 定 适 当 的 行 动 。 在 所 有 情 报 级 别 中 ， 关 键 是 针 对 组 织 进 行 专 门 的 价 值 评 估 。 请 回 答 一 个 问 题 ： 在 所 有 情 报 级 别 中 ， 关 键 是 针 对 组 织 进 行 专 门 的 价 值 评 估 。 请 回 答 一 个 问 题 ： “ 这 些 信 息 要 如 何 添 加 到 我 们 的 安 全 这 些 信 息 要 如 何 添 加 到 我 们 的 安 全 项 目 中 ？ 这 些 信 息 对 我 们 做 决 定 有 什 么 帮 助 ？ 项 目 中 ？ 这 些 信 息 对 我 们 做 决 定 有 什 么 帮 助 ？ ” 战 略 情 报 （ 战 略 情 报 （ S t r a t e g i c   i n t e l l i g e n c e ） ） 战 略 情 报 指 的 是 告 知 董 事 会 与 业 务 部 门 的 情 报 。 这 能 帮 助 他 们 更 好 地 理 解 他 们 所 面 临 的 趋 势 ， 并 达 成 有 益 发 展 的 策 略 。 战 略 情 报 来 自 更 为 长 期 项 目 的 趋 势 分 析 ， 常 常 采 用 了 例 如 D B I R 和 C R S （ 国 会 研 究 服 务 ） 的 报 告 形 式 。 战 略 情 报 帮 助 决 策 者 洞 悉 哪 种 威 胁 对 业 务 及 公 司 未 来 产 生 最 大 影 响 ， 以 及 他 们 应 当 采 取 何 种 措 施 缓 解 这 些 威 胁 。 运 用 战 略 情 报 的 关 键 是 将 这 些 情 报 融 入 公 司 的 优 先 级 、 数 据 以 及 攻 击 表 面 中 。 没 有 任 何 商 业 或 年 度 趋 势 报 告 能 够 告 诉 你 什 么 是 最 重 要 的 、 某 种 威 胁 趋 势 可 能 会 影 响 到 你 。 战 略 情 报 和 所 有 其 他 情 报 一 样 ， 是 一 个 工 具 ， 有 助 于 进 行 未 来 决 策 ， 但 无 法 帮 你 直 接 作 出 决 定 。 战 略 情 报 和 所 有 其 他 情 报 一 样 ， 是 一 个 工 具 ， 有 助 于 进 行 未 来 决 策 ， 但 无 法 帮 你 直 接 作 出 决 定 。 作 战 情 报 （ 作 战 情 报 （ O p e r a t i o n a l   I n t e l l i g e n c e ） ）
作 战 情 报 提 供 的 是 针 对 一 个 组 织 特 定 攻 击 的 相 关 情 报 。 它 源 于 军 事 行 动 的 概 念 — — 即 一 系 列 发 生 于 不 同 时 间 或 地 点 的 计 划 、 活 动 ， 却 具 有 相 同 的 攻 击 目 标 。 因 此 它 能 概 括 出 攻 击 活 动 的 目 标 是 整 个 部 门 ， 或 是 黑 客 针 对 某 个 特 定 机 构 进 行 的 攻 击 。 你 可 以 在 信 息 共 享 和 分 析 中 心 （ I S A C ） 与 组 织 （ I S A O ） 获 取 作 战 情 报 。 作 战 情 报 是 面 向 更 为 高 级 的 安 全 人 员 ， 而 与 战 略 情 报 不 同 的 是 ， 它 需 要 在 短 期 或 者 中 期 内 采 取 必 要 行 动 ， 而 非 长 期 。 它 会 在 一 下 情 况 中 发 挥 作 用 ： 1 、     是 否 增 加 安 全 意 识 培 训 ； 2 、     在 一 次 明 确 的 “ 作 战 ” 过 程 中 ， 如 何 分 配 S O C 员 工 ； 3 、 遭 遇 特 殊 情 况 时 ， 是 否 可 以 临 时 拒 绝 防 火 墙 的 请 求 。 作 战 情 报 信 息 共 享 是 一 个 非 常 好 的 选 择 。 如 果 你 发 现 一 些 近 期 内 会 影 响 他 人 的 “ 东 西 ” ， 请 及 时 共 享 出 这 些 信 息 。 它 能 够 帮 助 其 他 公 司 决 定 是 否 采 取 必 要 行 动 。 只 有 当 情 报 获 取 者 有 权 变 更 政 策 或 者 采 取 措 施 应 对 威 胁 时 ， 作 战 情 报 才 真 正 有 用 。 只 有 当 情 报 获 取 者 有 权 变 更 政 策 或 者 采 取 措 施 应 对 威 胁 时 ， 作 战 情 报 才 真 正 有 用 。 战 术 情 报 （ 战 术 情 报 （ T a c t i c a l   I n t e l l i g e n c e ） ） 战 术 情 报 关 注 于 攻 击 者 的 行 为 意 图 是 “ 什 么 ” （ I o C ） 以 及 采 取 了 “ 怎 样 ” 的 （ 战 术 、 技 术 和 程 序 ） 检 测 、 阻 止 攻 击 行 为 。 攻 击 者 是 否 倾 向 于 使 用 特 定 方 法 获 得 初 始 访 问 权 限 ， 例 如 社 会 工 程 或 者 漏 洞 利 用 ？ 他 们 是 否 使 用 了 特 定 工 具 或 提 权 手 段 ？ 你 通 过 哪 些 I o C 发 现 异 常 活 动 ？ H e r m a n   S t a t m a n 的 威 胁 情 报 列 表 为 查 询 战 术 情 报 提 供 了 详 实 的 资 料 。 战 术 情 报 主 要 是 面 向 活 跃 监 测 周 围 环 境 的 安 全 人 员 ， 他 们 收 集 来 自 员 工 报 告 的 异 常 活 动 或 社 会 工 程 尝 试 等 信 息 。 战 术 情 报 也 可 以 用 于 寻 找 攻 击 活 动 ， 我 们 试 图 从 普 通 用 户 行 为 中 区 分 出 攻 击 者 。 这 种 情 报 类 型 需 要 更 多 先 进 的 资 源 ， 例 如 广 泛 的 日 志 记 录 、 用 户 行 为 分 析 、 端 点 可 见 性 以 及 训 练 有 素 的 分 析 师 。 由 于 一 些 指 标 可 能 在 第 一 次 出 现 时 没 有 被 员 工 捕 获 或 警 告 ， 因 此 具 备 安 全 意 识 的 员 工 同 样 很 重 要 。 通 常 你 拥 有 的 员 工 数 量 要 比 攻 击 感 应 器 多 … … 所 以 ， 听 从 你 的 员 工 、 训 练 他 们 、 收 集 他 们 提 供 的 信 息 ， 分 析 之 后 就 采 取 行 动 吧 。 战 术 情 报 提 供 了 特 定 但 是 易 逝 的 信 息 ， 安 全 人 员 仍 可 采 取 应 对 行 动 。 了 解 威 胁 情 报 在 不 同 层 面 上 的 运 作 ， 有 助 于 公 司 进 行 决 策 ， 同 时 帮 助 公 司 决 定 如 何 处 理 未 来 的 情 报 。 从 你 组 织 内 部 了 解 威 胁 情 报 在 不 同 层 面 上 的 运 作 ， 有 助 于 公 司 进 行 决 策 ， 同 时 帮 助 公 司 决 定 如 何 处 理 未 来 的 情 报 。 从 你 组 织 内 部 搜 集 的 情 报 永 远 是 可 执 行 性 最 强 的 情 报 。 搜 集 的 情 报 永 远 是 可 执 行 性 最 强 的 情 报 。 * 原 文 地 址 ： r a p i d 7 ， S a m S m i t h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理