安保要挟情报有效经常使用的基础

要挟情报是近两年来被安保界提及最多的词汇之一。有人说要挟情报是处置现有安保疑问的良药，有人说要挟情报不是新颖事儿，上古”就已有之，这种百花怒放的情势必将对国际网络消息安保的开展带来渺小影响。

2013年5月16日，Gartner给出了要挟情报的定义：“Threat intelligence is evidence-based knowledge,including context, mechanisms, indicators, implications and actionable advice,about an existing or emerging menace or hazard to assets that can be used to inform decisions regarding the subject's response to that menace or hazard.”‍

即：“要挟情报是基于证据的常识，包含场景、机制、目的、含意和可操作的倡导。这些常识是关于现存的、或许是行将发生的针对资产的要挟或风险的，可为主体照应关系要挟或风险提供决策消息。”‍

1、Evidence：证据，是证实理想的资料，即证据是必需经过查证失实。

2、Context：可翻译为语境、高低文、背景、 环境。在这个定义中见到过翻译成情境、高低文等，这里翻译为场景，指每个情报都有其实用的环境和机遇。

3、mechanisms：机制，指情报所触及要挟所驳回的方法和路径。

4、indicators：目的，形容要挟情报的时触及一些目的。

5、advice：倡导，针对要挟的消减或照应处置的倡导。

6、an existing or emerging menace orhazard to assets：要挟情报针对的对象是资产。‍

要挟是一个常被滥用的术语，特意是当一个要挟对某组织存在而对另一个组织“不存在”时。很多组织没有正确了解要挟的含意，没能准确识别要挟，造成在失误方向投入了少量的安保资源，或破费了太长的期间去启动风险和软弱性剖析，而不是将贵重的期间破费在消减或修复疑问上。‍

要挟是用意、才干和时机三局部的联合。不足这三要素，关于团体或组织而言，在那个期间点，那个场景下“要挟”或“危害”不存在。要挟的三要素，即：

用意：指恶意行为者把你的组织定为目的;

才干：指恶意行为者能经常使用的手腕和方法(例如不凡类型的恶意代码等);

时机：指恶意行为者所需的缺口(例如软弱性、无论它是软件的、配件的还是人员的);‍

假设恶意行为者有用意有才干，但组织没有软弱性，或许说如今没无时机，恶意行为者并不构成要挟。留意，这里讲的是“构成要挟”，而不是"要挟",“构成要挟”同等于风险的概念。

虽然要挟情报的供应商们启动了各种尝试，要挟情报通常不用XML扩展格局来形容，而是以感化目的(Indicators of Compromise，简称为IoCs)或要挟馈送(threat feeds)的方式来表白，因此，要挟情报的有效目的批示或馈送要求组织要先了解自己，而后才是了解对手，即《孙子兵法》中的“知己知彼”。 ‍

假设一个组织不了解自己的资产、基础设备、人员和业务运营状况，将不可了解能否给了恶意行为者无隙可乘。因此，对自己没有足够的了解的组织，不可识别或许对其感兴味的恶意行为者，更不能正确识别恶意行为者的用意。

相比于恶意行为的用意，恶意行为者的才干更容易被识别(很多时刻咱们看到的要挟情报侧重于这局部内容)。很多才干是享誉中外的，还有一些是经常被有效经常使用的，例如钓鱼邮件(phishing emails)。有效的要挟情报可以识别新型恶意才干，其中有些关键用于公用目的。虽然恶意行为者经常使用的大局部方法和手腕易于识别，但那些连最基础安保措施都没做好的组织将不可充沛应用要挟情报。‍

要挟情报是对恶意行为者的攻打用意、机遇和才干剖析后所失掉的消息，是情报的一种。情报的生命周期对其实用，即方案、搜集、处置、制造和流传关系消息。要挟情报有别于其余情报之处在于着眼于要挟的识别。‍

与组织的状况婚配与否是判别要挟情报能否对组织有价值的依据，因此，情报的方案阶段变得至关关键，假设收到情报的组织不可知道哪些消息适宜于自己，要挟情报毫无价值。假设情报供应商能为组织量身定制，客户化后的要挟情报看起来将是完美的，而没有做过定制的要挟情报对组织而言很或许仅仅是一堆不相干的数据。‍

制造和生产定制化要挟情报的才干有战略和战术两种运行选用，这将对组织的安保状况发生影响。共享战术级别的要挟情报，不只能到达战术级目的，而且可有助于运用感化目的构建出战略级的更上层面要挟图示。‍

要挟情报通常不是战略情报就是战术情报，战略要挟情报通常是较为普遍，更初级别形象的数据，用于识别要挟以及研判组织如何缩小要挟，决策如何性能安保估算，人员应聚焦在哪些方面。‍

战术级的要挟情报则普遍的处置所搜集的数据，以失掉正确的网络消息，经过剖析，识别要挟并照应。这类处置通常是在网络安保监控环节成功，要挟情报提供剖析出的感化目的(IoCs)用于寻觅被入侵的迹象。‍

感化目的(IoCs)普通体现为以下几种状况：

原子级的消息，如IP地址，邮件地址;‍

可计算的消息，如恶意文件的数字哈希;‍

行为目的消息，如恶意行为者的行为概览;‍

被识别进去的感化目的(IoCs)可以经过STIX/TAXII 和OpenIOC等规范共享，如特定行业通常从消息共享与剖析核心(ISACs)失掉和共享要挟消息，关于大组织来说，ISACs是为面向特定行业的要挟识别的不错的始点。‍

随着安保要挟概念被普遍认知，国际相继成立了几家安保要挟情报核心，后续会有更多的安保要挟情报核心涌现，但没有任何一种方式可以笼罩一切的要挟情报。虽然如此，还是有些关键的论断有助于人们和组织在要挟情报这个畛域开个好头儿。

不要重复制造轮子：摒弃细节后，你会发现自己所了解的事情或许曾经被做进去了，或许和很多人的想法萍水相逢。因此，尽或许的搜集可用的消息，运用已知的方法按需启动定制，不要重复制造轮子!‍

工具不能智能生成情报：无论供应商如何宣传，都请坚信数据馈送(data feeds)不能间接给出要挟情报。任何类型的情报都须要剖析，而剖析这项上班必定要人介入，各种各样智能剖析工具的作用是优化剖析效率，失掉有效结果的剖析环节必需有剖析师介入。‍

不“知己”情报无用：在不能识别哪些情报实用于你的组织时，失掉多少情报都是无用的。须要从业务处置环节到组织里有哪些资产，网络上提供了哪些服务等方面了解自己的组织。‍

盈亏平衡点前必需放大基础树立投入：基础安保措施曾经消弭了针对组织无以计数的要挟。当基础安保措施建完后，像要挟情报这种初级手腕更有助于组织对初级对手实施的要挟启动识别、消减和照应处置。基础安保措施不用奢求完美，但必需存在一个盈亏平衡点，在此之前，必需放大基础树立的投入，否则将不可收回安保上的投资。

最后不得不说：当面对数不清的要挟时，进攻是件艰巨的事。必定要先了解自己，再基于情报消息处置了解对手，虽然这两件事做起来都不容易，但一旦成功就可使进攻可为，有或许使让进攻者转处于下风。

参考：