system: [SYSTEM]

user: 3. 威胁情报在态势感知中的应用 威胁情报是态势感知所依据的重要资源，基础威胁情报数据往往数量庞大，这为基于机器学习和深度学习方法安全智能化提供了基础数据源 [ 8 ] 。其应用核心是数据、重点是分析，大量威胁情报数据经过挖掘分析后产生的攻击详细信息(攻击是否已知、攻击意图、攻击手法、攻击目标、如何排查等等)可以使防护方因势而动、制定更有效的防护策略，做到“上医医未病之病”，将安全风险拒之门外。能够驱动态势感知系统进行及时且准确的响应，正是威胁情报的价值所在。 3.1. 基本应用环节 如图1所示，威胁情报在态势感知中的应用可总结为四大环节： 预测环节。通过分析战术类威胁情报中攻击事件、恶意样本、漏洞等信息，评估当前系统面临的风险，预测其可能遭受的攻击行为，划定安全事件响应基线。 图1. 威胁情报在态势感知中的基本应用环节 防御环节。在预测完成后、攻击来临前，需加固系统防御措施，必要时可实施诱导攻击等攻击性防御手段。 检测环节。通过比对操作类威胁情报中IP信誉、文件信誉及其他指纹特征，尽可能全面地检测系统中的异常动向，及时确认攻击行为并按优先级排序，采取相应手段遏制。 响应环节。检测、遏制攻击后要及时调查成因、留存证据，并根据攻防对抗过程和攻击造成的影响改进前三个环节的方案，修复和完善安全防护系统。 3.2. 基于用户角色的不同应用场景 态势感知中有关威胁情报的应用对不同用户有不同的价值 [ 9 ] ： 对于需要安全防护的企业，威胁情报应用于态势感知可以大大缩短从威胁检测到应急响应的时间周期；还可以帮助管理层对下级子公司或者分支机构进行管理，对安全预算、安全流程改进、安全人员配置做出更好的决策，同时全方位、快速了解行业内的安全状况； 对于监管、风险控制和应急响应部门，威胁情报应用于态势感知可以提供对监管对象和供应商网络安全状况评价的客观依据； 对于负责基础设施安全保障的日常安全运维人员，他们在安全事件处理过程中，可以利用威胁情报所提供的恶意软件签名、黑名单等数据对事件进行辅助判断，决定防火墙、网关、IDS/IPS系统和其他安全产品是否采取阻断控制； 对于网络安全专家，他们需要有关攻击者和攻击行为的深入情报，即描述敌手的战术、技术和程序(TTP)的“战术情报”，进行有关恶意软件分析、目标漏洞成因的专业技术分析，提高安全服务能力。 3.3. 基于特定需求的不同应用场景 即使是同一类用户，在态势感知中使用威胁情报的具体需求也不尽相同，威胁情报在这些特定需求下的应用场景包括：安全预警、实时对比研判、历史回溯、交互式威胁猎捕、协同响应、情报机读化、攻击背景分析等。 3.3.1. 安全预警 安全预警是网络空间安全态势感知的第一道防线，完备的预警机制可以让安全运维达到事半功倍的效果，是在安全对抗中掌握主动的关键。如果不能居安思危、敏锐地捕捉到当前系统中可能存在的风险，那么对安全事件的检测、响应和处理就更无从谈起。安全预警通常包括对潜在威胁的预警、对系统漏洞的预警和对攻击事件的预警，如图2所示。 (1) 威胁预警 攻击情报(战略情报/战术情报)被收录进攻击情报库，给出了宏观层面的攻击背景、攻击者有关情况以及攻击目标、攻击实施流程等细节，这些描述与漏洞库中漏洞危害级别、漏洞类型(将如何被攻击者利用)等信息进行比对，决定是否触发威胁预警。例如，通过威胁情报的采集与分析，发现某组织对某能源企业进行持续性攻击：攻击情报与攻击情报库的匹配结果显示攻击者具体采用的是钓鱼邮件类的攻击手段，利用嵌入到邮件正文中的链接或附件中的恶意代码攻击系统漏洞；该结果再次与漏洞库进行匹配，显示这类攻击利用的漏洞是零日漏洞，特征明显、证据完备，于是触发威胁预警。 (2) 漏洞预警 首先将收集到的漏洞类威胁情报信息与漏洞库进行比对，一旦命中某类漏洞，再将漏洞库中该类漏洞的厂商、受影响实体等信息与资产库中系统、应用、相关组件的名称和版本等信息进行比对，若匹配到结果则触发漏洞预警。 图2. 安全预警流程示意图 (3) 事件预警 事件情报的来源多、内容涉及广，在大量的内部和外部事件中发现两起甚至多起事件的关联是事件预警的前提。例如，详细分析事件情报发现，某单位互联网出口中一些通信设备产生的流量是与C & C服务器通信的流量，同时有从暗网中得来的威胁情报表明，该单位的敏感信息在暗网黑市中被售卖，两起事件对应到一起触发了事件证据完备，触发事件预警。 3.3.2. 实时比对 信息从来都是并将一直是安全决策的关键因素。攻防双方在信息时效性和有效性上的差距几乎意味着实力的差距和竞争的胜负。因此威胁情报常与时效性高的实时数据结合，作为重要的参考条件筛选出更加有效或是针对某一特定关注点的信息资源，使防护方掌握“新”、“准”兼备的网络安全态势。 持续采集网络状况、主机行为等实时事件流的入侵检测系统往往会产生大量告警，但其中有相当一部分告警是误告警，这些误告警不仅白白地消耗了防护平台的安全事件响应和处理能力，更严重的是其引发的错误安全决策可能影响受保护客户的正常业务。如果以威胁情报库作为比对依据，在实时事件流触发事件告警之前，在实时关联引擎中按照定义好的情报关联规则确认某事件是否足够可疑到被视为威胁情报，例如若某攻击源处在确定性置信白名单中，则取消该告警，那么可以消除大量无效告警，减轻后续安全运维与分析的压力。 在反欺诈检测中，防护方一般更加关注账号的异常行为。首先持续搜集某可疑目标的所有实时数据，再与恶意URL、恶意域名、恶意IP、域名解析库等威胁情报信息比对，将关注点聚焦在“平均一个异常IP使用两次”、“失陷账号平均使用少于5次”等异常行为，由这些行为特征生成置信度不同的告警。例如，可以设置“1分钟内，来自同一个源的WEB请求数量大于预定义的阈值，并且源IP在威胁情报中命中了高威胁度IP”作为情报关联规则，一旦规则命中，立即触发高置信度告警。另外，在产生并记录告警后，还可以对该IP添加威胁情报标签，对威胁情报起到反馈作用。 3.3.3. 历史回溯 历史回溯是基于新的外部共享知识对旧的内部审计记录进行查漏补缺的过程。任何防护系统都不是无懈可击的，总会有精心伪装的攻击者成为漏网之鱼，但由于现阶段威胁情报的大规模共享，我们从接收到的外部威胁预警情报中很有可能发现这些自己遭受过却浑然不觉的攻击。例如，如果从来自某安全组织的外部情报中发现自某个时间点起，该组织掌握了一组用于信息窃取操作的僵尸网络的IP地址，那么可以回溯本单位从该时间点起至今所形成的内部告警库/事件库，查看是否有来自这组僵尸网络的IP地址的访问记录，并基于连接具体行为和处理情况，判断影响、评估造成的损失。虽然这种方式多少有些“亡羊补牢”的意味，但这些重新被审计的攻击行为将作为强特征，成为对今后决策依据的重要补充。 3.3.4. 威胁猎捕 威胁猎捕是对威胁进行详细分析并试图反制的过程，其中威胁情报可以提供多个层面的线索支撑。第一阶段，与实时比对类似，系统根据攻击情报库、安全事件库和情报关联规则，从实时事件流日志或告警中发现蛛丝马迹，判定其中的事件是否为可疑事件，对可疑事件从攻击来源和攻击目标两方面展开持续、细致的侦查：a) 确定系统内部受到攻击影响的目标，对该受害目标持续跟踪监测、挖掘分析所得数据，生成有关该目标资产信息的内部情报，同时还原完整的攻击链，展示攻击过程和手法；b) 对外找到直接的攻击源，结合通过共享得来的外部安全情报库，尝试寻找攻击源存在的漏洞，实现反制，并逐步找出攻击实施人员，甚至发现幕后的组织。整个过程中威胁情报在内部事件关联和外部攻击溯源两大环节中都发挥了关键作用，如图3所示。 图3. 威胁猎捕流程示意图 另外，系统生成的内部安全情报除了用于补充自身的攻击情报/安全事件库，也可以共享或是进行商业化交易，成为其他安全系统追踪攻击源时依据的外部安全情报库。如在政府或非营利部门内，不同机构在威胁猎捕中生成的内部威胁情报可按照一定的政策机制(如政务信息资源共享)进行情报的共享；营利机构与非营利机构、营利机构之间可通过情报服务供应商进行威胁情报交易，也可通过约定好的协议或标准进行协同。 3.3.5. 协同响应 协同响应是威胁情报在态势感知中的重要应用形式。如今的安全系统为了应对日益复杂的攻击手段，往往规模庞大、构造复杂，包括由防火墙、IDS等组件组成的安全设备系统和由内部人力手动操作进行配合的运维系统，而协同响应的目标是使这些子系统成为一个有机整体，在安全事件响应和处理过程中步调一致。这就需要以外部及内部威胁情报为基础，在对事件做出研判决策后，将事件信息与内部资产信息进行匹配，对匹配到的相关设备给出指令，如为防火墙配置ACL规则阻断某些连接等，实现设备间的联动，同时利用工单系统、OA协同系统或邮件/短信/微信等多种形式的协同请求，对相关人员给出指令，如手动执行打补丁、升级病毒库等操作或进行其他安全配置，实现人与设备的联动。