科技云報(bào)道原創(chuàng)。

隨著網(wǎng)絡(luò)攻擊技術(shù)的更新迭代，政企機(jī)構(gòu)面臨著愈加嚴(yán)峻的網(wǎng)絡(luò)威脅和挑戰(zhàn)，如何有效檢測(cè)未知的網(wǎng)絡(luò)威脅成為網(wǎng)絡(luò)安全行業(yè)各方的共同著眼點(diǎn)。

在此背景下，網(wǎng)絡(luò)安全威脅信息（英文為T(mén)hreat Intelligence ，即威脅情報(bào)）正在重構(gòu)安全防護(hù)體系，幫助政企機(jī)構(gòu)更好的“知己”“知彼”，實(shí)現(xiàn)較為精準(zhǔn)的動(dòng)態(tài)防御，為政企機(jī)構(gòu)數(shù)字化轉(zhuǎn)型安全建設(shè)提供全新路徑和手段，受到了業(yè)界的廣泛關(guān)注和認(rèn)可。

為了進(jìn)一步提升廣大政企機(jī)構(gòu)的網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力，近日中國(guó)信息通信研究院安全研究所聯(lián)合北京微步在線(xiàn)科技有限公司共同研究編制了《2020年網(wǎng)絡(luò)安全威脅信息研究報(bào)告（2021年）》（以下簡(jiǎn)稱(chēng)“報(bào)告”），對(duì)網(wǎng)絡(luò)安全威脅信息的產(chǎn)業(yè)發(fā)展現(xiàn)狀和趨勢(shì)進(jìn)行了梳理，并結(jié)合行業(yè)案例分享了威脅信息的應(yīng)用落地情況。

報(bào)告指出，威脅信息的本質(zhì)是知識(shí)，如何在具體場(chǎng)景將知識(shí)落地并取得成效，是在各行業(yè)開(kāi)展網(wǎng)絡(luò)安全威脅信息應(yīng)用的核心問(wèn)題。

立足我國(guó)具體國(guó)情和網(wǎng)絡(luò)安全需求，目前國(guó)內(nèi)威脅信息應(yīng)用落地有以下三個(gè)方向可供參考。

?

落地方向一：結(jié)合檢測(cè)技術(shù)

?

在安全產(chǎn)品研發(fā)階段，將威脅信息與流量分析、終端檢測(cè)技術(shù)相結(jié)合，落地為基于網(wǎng)絡(luò)安全威脅信息的檢測(cè)響應(yīng)類(lèi)產(chǎn)品，部署在用戶(hù)機(jī)構(gòu)對(duì)應(yīng)的網(wǎng)絡(luò)環(huán)境中。

?

在這一方向上，第三方云服務(wù)是威脅信息落地的重要場(chǎng)景之一。

隨著越來(lái)越多的政企業(yè)務(wù)向公有云、政務(wù)云遷移，云端已成為黑客、黑產(chǎn)團(tuán)伙的又一攻擊目標(biāo)。

作為云服務(wù)提供商，需要提升云端整體的安全檢測(cè)與分析能力，在海量的攻擊中識(shí)別真實(shí)威脅，并對(duì)暴露資產(chǎn)進(jìn)行全面梳理，提升云服務(wù)提供商對(duì)租戶(hù)的安全運(yùn)營(yíng)能力，幫助租戶(hù)應(yīng)對(duì)安全威脅，并滿(mǎn)足合規(guī)要求。

?

以某云計(jì)算服務(wù)商為例，針對(duì)公有云和政務(wù)云兩個(gè)服務(wù)場(chǎng)景，均部署了微步在線(xiàn)具備威脅信息能力的威脅感知設(shè)備，以便更好地發(fā)現(xiàn)內(nèi)部威脅、檢測(cè)外部威脅、識(shí)別資產(chǎn)風(fēng)險(xiǎn)。

來(lái)源：中國(guó)信通院

圖：云計(jì)算服務(wù)商威脅信息管理部署

對(duì)于公有云，該云服務(wù)商依托威脅信息進(jìn)行失陷主機(jī)檢測(cè)、定位以及取證分析，完成處置閉環(huán)。

?

首先，在公有云網(wǎng)絡(luò)出口位置部署具備威脅信息能力的威脅感知設(shè)備，并旁路鏡像接入出站方向流量及內(nèi)部DNS日志；其次，利用威脅信息發(fā)現(xiàn)內(nèi)部失陷主機(jī)，并對(duì)失陷主機(jī)內(nèi)網(wǎng)滲透路徑、數(shù)據(jù)竊取等行為進(jìn)行描繪。

?

對(duì)于政務(wù)云，該云服務(wù)商依托威脅信息，覆蓋各租戶(hù)的外部攻擊感知、內(nèi)部失陷威脅、資產(chǎn)風(fēng)險(xiǎn)梳理需求。

?

首先，在政務(wù)云網(wǎng)絡(luò)出口位置部署具備威脅信息能力的威脅感知設(shè)備，并在旁路鏡像接入出入站雙向流量；其次，利用威脅信息、行為規(guī)則、機(jī)器學(xué)習(xí)、沙箱等技術(shù)，對(duì)外部攻擊、內(nèi)部失陷、內(nèi)網(wǎng)橫移、加密、數(shù)據(jù)竊取等全攻擊鏈威脅進(jìn)行檢測(cè)，并將敏感行為、告警結(jié)合威脅信息進(jìn)行智能聚合完整還原攻擊路線(xiàn)，描繪黑客畫(huà)像。

?

此外，利用旁路監(jiān)聽(tīng)，對(duì)租戶(hù)應(yīng)用系統(tǒng)暴露的服務(wù)、域名、端口、IP，以及管理后臺(tái)、弱密碼、API接口等資產(chǎn)風(fēng)險(xiǎn)進(jìn)行全面梳理；最后，通過(guò)安全運(yùn)營(yíng)平臺(tái)，對(duì)各租戶(hù)的威脅事件和資產(chǎn)風(fēng)險(xiǎn)進(jìn)行分離和獨(dú)立呈現(xiàn)，為各租戶(hù)提供安全增值服務(wù)。

?

落地方向二：建立共享機(jī)制

?

對(duì)于分支部門(mén)較多的用戶(hù)機(jī)構(gòu)，建立本地威脅信息管理平臺(tái)，構(gòu)建網(wǎng)絡(luò)威脅信息庫(kù)和威脅信息共享機(jī)制，提高網(wǎng)絡(luò)威脅挖掘研發(fā)和應(yīng)用能力。

?

共享機(jī)制的建立，既包括總部和各分支機(jī)構(gòu)子公司的信息共享，也包括企業(yè)不同部門(mén)之間的協(xié)同研判，能夠讓企業(yè)對(duì)威脅信息進(jìn)行深入分析，為企業(yè)提供準(zhǔn)確的、可讀的、有指導(dǎo)性的分析結(jié)果，研判報(bào)警的真實(shí)性、攻擊者意圖以及對(duì)應(yīng)的風(fēng)險(xiǎn)等級(jí)，并且獲得攻擊者和惡意樣本的詳盡信息，充分發(fā)揮威脅情報(bào)的真正價(jià)值，為安全決策做全面支撐。

?

以某網(wǎng)絡(luò)視頻平臺(tái)為例，除了不斷加劇的網(wǎng)絡(luò)黑客攻擊之外，新的業(yè)務(wù)形態(tài)也帶來(lái)了新型風(fēng)險(xiǎn)，如：撞庫(kù)盜號(hào)、盜播盜看、營(yíng)銷(xiāo)活動(dòng)“薅羊毛”、刷量刷人氣、支付場(chǎng)景下的欺詐等行為，對(duì)該視頻平臺(tái)的穩(wěn)定運(yùn)營(yíng)帶來(lái)了很大的沖擊。

?

為了填補(bǔ)自身安全體系的攻擊事件提取能力，提高網(wǎng)絡(luò)攻擊檢測(cè)響應(yīng)效能和業(yè)務(wù)風(fēng)控能力，該網(wǎng)絡(luò)視頻平臺(tái)部署了微步在線(xiàn)的威脅信息管理平臺(tái)，并形成共享的威脅信息庫(kù)，具體落地方案如下：

?

一方面，通過(guò)流量鏡像實(shí)時(shí)檢測(cè)可能的威脅，加強(qiáng)對(duì)未知威脅的發(fā)現(xiàn)和識(shí)別，并結(jié)合現(xiàn)有處置制度進(jìn)行工單流轉(zhuǎn)，形成高效的運(yùn)營(yíng)處置閉環(huán)，預(yù)防和及時(shí)處理各類(lèi)網(wǎng)絡(luò)風(fēng)險(xiǎn)安全事件。

?

另一方面，威脅信息管理平臺(tái)與日志系統(tǒng)、業(yè)務(wù)風(fēng)控系統(tǒng)對(duì)接聯(lián)動(dòng)，將專(zhuān)業(yè)機(jī)構(gòu)的威脅信息和風(fēng)控等業(yè)務(wù)相關(guān)的威脅信息聚合。

利用威脅信息共享機(jī)制，威脅信息管理平臺(tái)能夠過(guò)濾篩選海量日志，以高質(zhì)量的威脅信息數(shù)據(jù)支持相關(guān)的風(fēng)險(xiǎn)防控工作，賦能業(yè)務(wù)風(fēng)控形成多維度分析因子，提升平臺(tái)異常風(fēng)險(xiǎn)用戶(hù)識(shí)別精準(zhǔn)度，避免出現(xiàn)大面積封禁造成用戶(hù)無(wú)法訪(fǎng)問(wèn)平臺(tái)的現(xiàn)象，對(duì)于該視頻平臺(tái)安全風(fēng)控團(tuán)隊(duì)及時(shí)掌安全態(tài)勢(shì)并做出正確響應(yīng)具有重要價(jià)值。

?

來(lái)源：中國(guó)信通院

圖：網(wǎng)絡(luò)視頻平臺(tái)威脅信息管理部署

?

落地方向三：聯(lián)動(dòng)安全設(shè)備

?

聯(lián)動(dòng)其他網(wǎng)絡(luò)安全設(shè)備，如IDS/防火墻、日志大數(shù)據(jù)平臺(tái)等，與現(xiàn)有處置知識(shí)庫(kù)與工單系統(tǒng)構(gòu)建閉環(huán)處置流程，提升用戶(hù)機(jī)構(gòu)網(wǎng)絡(luò)安全的整體檢測(cè)響應(yīng)能力。

?

事實(shí)上，對(duì)于很多應(yīng)對(duì)高級(jí)威脅已經(jīng)乏力的傳統(tǒng)安全產(chǎn)品來(lái)說(shuō)，與威脅信息的聯(lián)動(dòng)，能夠?qū)崿F(xiàn)數(shù)據(jù)的分享與交換，形成基于威脅情報(bào)的感知能力，進(jìn)一步提升企業(yè)的整體安全防護(hù)能力，解決來(lái)自各種安全設(shè)備的海量安全告警問(wèn)題。

?

近年來(lái)，電子信息制造業(yè)已成為我國(guó)國(guó)民經(jīng)濟(jì)的重要支柱產(chǎn)業(yè)，并逐漸呈現(xiàn)國(guó)際化趨勢(shì)。

由于存儲(chǔ)了高價(jià)值知識(shí)產(chǎn)權(quán)與先進(jìn)設(shè)計(jì)文件或數(shù)據(jù)的主機(jī)或服務(wù)器，容易成為黑客攻擊目標(biāo)。

同時(shí)，電子信息制造商往往在全球有多個(gè)辦公區(qū)域，員工多、終端多，網(wǎng)絡(luò)架構(gòu)復(fù)雜，開(kāi)展網(wǎng)絡(luò)安全防護(hù)工作有一定難度。

?

為了應(yīng)對(duì)未知的高級(jí)威脅，某電子信息制造商在企業(yè)網(wǎng)絡(luò)內(nèi)部部署了微步在線(xiàn)的威脅信息管理平臺(tái)，并與現(xiàn)有防火墻對(duì)接，建立了閉環(huán)協(xié)作運(yùn)營(yíng)機(jī)制。

?

一方面，結(jié)合防火墻中網(wǎng)絡(luò)出站訪(fǎng)問(wèn)日志，碰撞威脅信息管理平臺(tái)中高質(zhì)量IOC失陷指標(biāo)（域名、IP），將確定的惡意域名回傳給防火墻。

防火墻將收到的惡意域名添加黑名單并自動(dòng)進(jìn)行攔截與告警，彌補(bǔ)防火墻的內(nèi)網(wǎng)失陷威脅檢測(cè)能力。

?

另一方面，利用威脅信息管理平臺(tái)的聯(lián)動(dòng)能力，定期與威脅信息云進(jìn)行數(shù)據(jù)同步和更新，確保失陷威脅發(fā)現(xiàn)和威脅攔截的準(zhǔn)確性和及時(shí)性，實(shí)現(xiàn)防火墻對(duì)外連惡意通信的自動(dòng)化阻斷。

來(lái)源：中國(guó)信通院

圖：電子信息制造商威脅信息管理部署

?

與電子信息制造業(yè)面臨著類(lèi)似問(wèn)題的還有電信企業(yè)。由于承載了海量公民個(gè)人信息以及網(wǎng)絡(luò)流量信息，電信企業(yè)很容易成為攻擊者竊取數(shù)據(jù)的重點(diǎn)攻擊目標(biāo)。

?

以某電信企業(yè)為例，為了實(shí)現(xiàn)企業(yè)網(wǎng)絡(luò)威脅檢測(cè)能力的全覆蓋，提升高級(jí)威脅發(fā)現(xiàn)識(shí)別能力，利用微步在線(xiàn)威脅信息賦能的威脅感知設(shè)備，對(duì)云租戶(hù)網(wǎng)絡(luò)、企業(yè)自用網(wǎng)絡(luò)、企業(yè)辦公網(wǎng)的出入站全流量進(jìn)行檢測(cè)，將告警日志統(tǒng)一接入大數(shù)據(jù)平臺(tái)。

?

同時(shí)，與現(xiàn)有處置預(yù)案知識(shí)庫(kù)與工單系統(tǒng)聯(lián)動(dòng)，形成高效的運(yùn)營(yíng)處置閉環(huán)，提升了對(duì)網(wǎng)絡(luò)威脅的檢測(cè)和響應(yīng)能力，為業(yè)務(wù)的穩(wěn)定連續(xù)增加了一道防線(xiàn)。

來(lái)源：中國(guó)信通院

圖：基礎(chǔ)電信企業(yè)威脅信息管理部署

?

結(jié)語(yǔ)

?

如今，攻擊者對(duì)國(guó)家政府部門(mén)、關(guān)鍵信息基礎(chǔ)設(shè)施、關(guān)鍵行業(yè)機(jī)密的攻擊越來(lái)越猖獗，網(wǎng)絡(luò)空間已成為國(guó)家安全的又一重要角力場(chǎng)。

金融、能源、電力、通信、交通等行業(yè)的關(guān)鍵信息基礎(chǔ)設(shè)施一旦遭到攻擊，可能導(dǎo)致交通中斷、金融紊亂、電力癱瘓等嚴(yán)重后果，對(duì)國(guó)家安全具有極大的破壞力與殺傷力；核電、軍工、高校、科技等領(lǐng)域的研發(fā)核心數(shù)據(jù)如果被竊取，可能會(huì)造成國(guó)家和企業(yè)機(jī)密泄露，后患無(wú)窮。

?

網(wǎng)絡(luò)安全威脅信息能夠檢測(cè)與阻止內(nèi)外威脅，增加黑客入侵成本，降低入侵速度，提升主動(dòng)防御能力，確保組織提前做好準(zhǔn)備，應(yīng)對(duì)攻擊，避免機(jī)密和數(shù)據(jù)泄露及資產(chǎn)損失，保護(hù)國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施穩(wěn)定安全運(yùn)行。

因此，網(wǎng)絡(luò)安全威脅信息的應(yīng)用落地對(duì)政企機(jī)構(gòu)的網(wǎng)絡(luò)安全建設(shè)和運(yùn)營(yíng)具有重要意義。

?

作為國(guó)內(nèi)首個(gè)“威脅信息”權(quán)威報(bào)告，《2020年網(wǎng)絡(luò)安全威脅信息研究報(bào)告（2021年）》系統(tǒng)梳理了四大行業(yè)的典型應(yīng)用場(chǎng)景，以詳實(shí)的案例分析，為國(guó)內(nèi)廣大政企機(jī)構(gòu)應(yīng)用落地威脅信息提供了參考和指南。

【關(guān)于科技云報(bào)道】

專(zhuān)注于原創(chuàng)的企業(yè)級(jí)內(nèi)容行家——科技云報(bào)道。成立于2015年，是前沿企業(yè)級(jí)IT領(lǐng)域Top10媒體。獲工信部權(quán)威認(rèn)可，可信云、全球云計(jì)算大會(huì)官方指定傳播媒體之一。深入原創(chuàng)報(bào)道云計(jì)算、大數(shù)據(jù)、人工智能、區(qū)塊鏈等領(lǐng)域。

來(lái)源：科技云報(bào)道

生成海報(bào)

免責(zé)聲明：此文內(nèi)容為第三方自媒體作者發(fā)布的觀察或評(píng)論性文章，所有文字和圖片版權(quán)歸作者所有，且僅代表作者個(gè)人觀點(diǎn)，與極客網(wǎng)無(wú)關(guān)。文章僅供讀者參考，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。投訴郵箱：editor@fromgeek.com。

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。