0x00 大規(guī)模系統(tǒng)下的威脅
隨著用戶數(shù)量、業(yè)務(wù)量的增長，互聯(lián)網(wǎng)企業(yè)的業(yè)務(wù)系統(tǒng)也變得越來越復(fù)雜，大量的訪問日志、龐大的代碼倉庫、數(shù)十萬或百萬計的IDC資產(chǎn)以及幾萬種開源組件構(gòu)成了龐大的業(yè)務(wù)系統(tǒng)，但是隨之而來的是大量的威脅，體現(xiàn)在了可產(chǎn)生告警的設(shè)備數(shù)量非常大，使得產(chǎn)生的告警非常之多，并且部分告警是完全無效或者不可運營的。正是由于告警數(shù)量的龐大，安全運營團隊背負著巨大的心理壓力和負擔(dān)去處理，最后發(fā)現(xiàn)是個誤報或者說是個無意義的告警，久而久之安全運營就會疲于應(yīng)付告警，這個時候一旦有攻擊出現(xiàn)，往往就會在很短的時間內(nèi)失去整條防線，也就是經(jīng)常說的一個段子：每年在安全上砸了一堆錢，但是實際上還是很容易被人家打進來了。龐大的資產(chǎn)、日志、流量，加上海量的不可運營的告警，也就間接對業(yè)務(wù)系統(tǒng)產(chǎn)生了大量的威脅。
通過對各種角度上的威脅進行梳理后，我們可以把整個互聯(lián)網(wǎng)企業(yè)可能面臨的安全威脅分為三大類，一類是以通用組件漏洞、僵木蠕為首的面向基礎(chǔ)設(shè)施的威脅，第二類是以業(yè)務(wù)系統(tǒng)缺陷、越權(quán)漏洞為代表的面向業(yè)務(wù)系統(tǒng)的威脅，第三類是以POI/UGC爬取、欺詐流量（也就是刷差評/好評的）等面向業(yè)務(wù)數(shù)據(jù)層面的威脅。有了威脅，才能去談威脅的情報。
在梳理完上述威脅后，筆者第一時間也去問詢了一些同行業(yè)的朋友，但是老朋友的反饋多為“買買買”，當(dāng)然這個可以理解，因為最省事兒的方法就是買買買，但是仔細思考之后，筆者發(fā)現(xiàn)了“買買買”之后會衍生出來一大堆的問題，比如說如何評價威脅情報做的好不好，這也是筆者在接手威脅情報能力建設(shè)之后被老大挑戰(zhàn)的最多的問題之一；第二個問題似乎更現(xiàn)實一點，那就是威脅情報團隊的績效怎么去給，或者說如何評價威脅情報團隊的工作對整個安全建設(shè)工作是有實際意義的，這兩個問題其實在企業(yè)里面是常見但是不太好作答的問題。除了評價和KPI的問題，威脅情報本身由于先天的滯后性和本身的缺陷，也有很多不是很好解決的問題，由于問題多了所以便有了以下的段子。
首當(dāng)其沖的是情報的準(zhǔn)確性，很多情況下我們抓到一條情報之后，無從判斷真?zhèn)危械臅r候直接抓到了就直接定性是虛假情報了，這樣無形增加了很多的運營成本。第二個問題就是消息不對稱，很有可能情報從原始處獲取到了之后，由于生產(chǎn)的問題導(dǎo)致情報出現(xiàn)了失真，最后拿到手里是殘缺甚至是錯誤的情報，安全運營拿到了之后不知道如何處理這類的情報，在這里舉一個例子，在漏洞預(yù)警中，可能不小心沒有注意到告警描述里面的prior，導(dǎo)致了影響版本的誤判。
第三個問題其實更比較常見，我們買了很多IOCs、買了很多情報服務(wù)，數(shù)據(jù)量可能非常之巨大，但是實際上能拿來運營的往往就那么幾條。舉一個很常見的例子，我們在購買的IOC中只會提及IP是個掃描器、是個僵尸網(wǎng)絡(luò)，從來沒有人主動了解也沒有人去詢問他掃描了哪個端口，被哪個家族的僵尸網(wǎng)絡(luò)bot控制了，更有甚者會將一些公司的正常資產(chǎn)標(biāo)記成惡意的，這個時候沒有人為威脅情報的結(jié)果負責(zé)，標(biāo)簽就變成了無意義的話題。安全運營的同學(xué)見的多了自然就會對威脅情報產(chǎn)生了嚴重的質(zhì)疑，再加上前面提到的安全運營會因為海量的告警出現(xiàn)了告警懈怠，導(dǎo)致真正有用的情報沒有能夠及時處理，讓真的威脅情報變成了”無效情報“，變成了為企業(yè)添堵。
最后就是情報的滯后，舉個很簡單的例子，就是通用漏洞的威脅情報。通用漏洞的情報很多時候都是看到朋友圈大量轉(zhuǎn)發(fā)或者群里大面積討論才知道有漏洞了，實際上這個漏洞很有可能是很早之前就發(fā)了修復(fù)補丁大家完全沒注意的。
再舉個很現(xiàn)實的例子，在今年7月12號的時候Squid（一款Web代理軟件，廣泛用于各大企業(yè)中）發(fā)布了一次安全更新，安全更新提到了包含認證、溢出等五個漏洞，CVSS評分最高6.8，但是到了今年8月底的時候，ZDI的一篇文章徹底引爆了這個漏洞，導(dǎo)致朋友圈瘋狂轉(zhuǎn)發(fā)，我們拋開這些告警來看，實際上這個漏洞已經(jīng)有了一個月左右的窗口期，這就是典型由于消息滯后所導(dǎo)致的重要情報漏過，這個時候也會對企業(yè)的系統(tǒng)造成威脅。
這個時候，絕大多數(shù)都會想到，我們要去建立一套完整的威脅情報體系和運營流程，但是這個時候往往又會收到老板的連環(huán)追問:● 買了威脅情報服務(wù)是不是全接進來？
● 威脅情報數(shù)據(jù)質(zhì)量是否有保證？
● 能不能及時產(chǎn)生有效的威脅情報通知或者工單？
● 工單有沒有人跟進閉環(huán)或者處理？
● 解決以后有沒有事后復(fù)盤等等問題接踵而至…看完這些你可能有點想放棄了，但是經(jīng)過仔細考慮一下自己的KPI之后，你會發(fā)現(xiàn)買買買的方法并不能解決這些問題。所以這個時候你就會考慮構(gòu)建自己的威脅情報能力了。
威脅情報的這一概念實際上是2013年被Gartner帶火的，Gartner對于威脅情報的定義是: 威脅情報是一種基于證據(jù)的知識，包括了情境、機制、指標(biāo)、隱含和實際可行的建議。威脅情報描述了現(xiàn)存的、或者是即將出現(xiàn)針對資產(chǎn)的威脅或危險，并可以用于通知主體針對相關(guān)威脅或危險采取某種響應(yīng)。就目前看，這一定義對整個威脅情報行業(yè)甚至是安全行業(yè)都有一定的指導(dǎo)意義，但是這一個定義的普適性很高，正是由于其普適性高的原因直接導(dǎo)致了我們在企業(yè)實際安全運營時候發(fā)現(xiàn)，Gartner所定義的威脅情報并不適用于實際的安全運營場景，原因是未對業(yè)務(wù)層面上的威脅進行定義。如果要建立一個完整的威脅情報體系，那么就必須要把業(yè)務(wù)系統(tǒng)、業(yè)務(wù)數(shù)據(jù)等業(yè)務(wù)層面的攻擊面以及閉環(huán)流程也納入進來，這樣的話我們對于針對企業(yè)各個層次上的威脅都有對應(yīng)的威脅情報能力，這就是我們所認為的真實環(huán)境下應(yīng)具備的威脅情報能力：能夠為發(fā)現(xiàn)潛在或已發(fā)生的威脅（包括但不限于業(yè)務(wù)數(shù)據(jù)、業(yè)務(wù)系統(tǒng)和基礎(chǔ)設(shè)施）提供有效且可靠的消息類型或者知識類型的數(shù)據(jù)，且該數(shù)據(jù)能夠通過安全運營進行高自動化的閉環(huán)處理能力，稱之為威脅情報能力，提供的數(shù)據(jù)稱之為威脅情報數(shù)據(jù)。
0x02 如何評價威脅情報能力建設(shè)的好壞
諸多血淋淋的案例和運營經(jīng)驗告訴我們，威脅情報的能力構(gòu)建不是簡單“買買買”就能搞定的，“買買買”不能解決實際的安全運營問題，這個時候我們就需要自己打造威脅情報能力體系了。但是在正式開始威脅情報的建設(shè)前，我們需要明確威脅情報能力的一個指標(biāo)，也就是如何去評價威脅情報能力建設(shè)的好壞，我們通過內(nèi)部的討論以及我們對于安全運營的經(jīng)驗和實踐，為我們的威脅情報能力設(shè)置了四個比較現(xiàn)實的目標(biāo)：低延時、高精度、可運營和能閉環(huán)。所謂低延時，目標(biāo)是為了減少安全應(yīng)急團隊的等待時間，縮短威脅響應(yīng)的時間，并且盡量減少人工的介入，讓威脅情報能力能夠幾乎100%自動化的運營，減少因為人為原因而等待的時間，同時又保證有效情報的輸入和處理，所以自動化率和有效情報轉(zhuǎn)化率是在這部分需要關(guān)注的問題。
所謂高精度，指的是采集威脅情報數(shù)據(jù)的渠道足夠穩(wěn)定，質(zhì)量足夠高，來源足夠可靠，并且通過高準(zhǔn)確度的算法來讓情報的精準(zhǔn)度和內(nèi)容豐富度達到可運營的標(biāo)準(zhǔn)及以上，這里就需要考驗情報生產(chǎn)算法和情報渠道的可靠性和穩(wěn)定性，穩(wěn)定的情報數(shù)據(jù)和渠道是高品質(zhì)威脅情報的基石。
所謂可運營，是指我們的情報成品也就是FINTEL（全稱為是Final Intelligence，在情報界的表示交付的情報成品）的質(zhì)量是否能夠高可讀、高可用同時具備閉環(huán)的特性，這個時候可操作性成為了評價這部分的指標(biāo)。
最后就是能閉環(huán)，前面提到了情報如果不能夠運營和閉環(huán)的話，實際上就是無效情報，這個時候的考核指標(biāo)可能就是閉環(huán)成工單的數(shù)量。
0x03 威脅情報生命周期和體系建設(shè)
在確定了清晰的目標(biāo)之后，就應(yīng)該開干了，我們在建設(shè)威脅情報能力體系的過程中，把整個威脅情報能力體系劃分成了四個部分：
1. 威脅情報數(shù)據(jù)
2. 情報生產(chǎn)工具
3. 情報管理平臺
4. 安全運營團隊
這也就是外界所說的人+數(shù)據(jù)+平臺的方式建設(shè)體系。
這里數(shù)據(jù)既包含了內(nèi)部的諸如流量、日志、安全設(shè)備告警，也包含了外部的IOC、風(fēng)控情報、第三方商業(yè)情報等外部情報數(shù)據(jù)，平臺這部分比較好理解，主要是為了提高運營效率，理想中的威脅情報平臺至少需要包含采集端、生產(chǎn)端和傳送端，其中采集端主要負責(zé)聚合各個來源的數(shù)據(jù)并且完成諸如分類、去除雜訊、去重等預(yù)處理工作；生產(chǎn)端負責(zé)的工作主要完成的事情是對威脅情報的修飾、加權(quán)分析、高階聚合操作，將威脅情報由預(yù)處理數(shù)據(jù)轉(zhuǎn)換成可用的情報成品FINTEL；而在傳播端則是將不同種類的情報成品FINTEL按照需求和運營方式傳遞給不同的人，完成后續(xù)運營和閉環(huán)的工作。截止到目前，我們在現(xiàn)有威脅情報體系中已經(jīng)建成了一個基于威脅情報生命周期且兼容現(xiàn)有安全架構(gòu)的威脅情報運營體系，同時建成了兩個情報平臺和三個數(shù)據(jù)庫，兩個平臺其中一個負責(zé)完成情報的閉環(huán)管理，我們叫它MT-Nebula，另一個完成情報按需推送，我們叫它MT-Radar，三個數(shù)據(jù)包含用來刻畫外部資產(chǎn)畫像、外部資產(chǎn)指紋數(shù)據(jù)庫，用來存放通用組件漏洞的漏洞信息數(shù)據(jù)庫，以及集成了公開IOC、自爬取情報和第三方商業(yè)情報的外部情報數(shù)據(jù)庫。在此基礎(chǔ)上，我們也建立了四個情報反饋渠道，包含人工、自動化、第三方和SRC，我們的SRC是既收漏洞也收情報的。
0x04 威脅情報的閉環(huán)與運營
首先我們先來談一下企業(yè)的威脅情報生命周期，根據(jù)我們的業(yè)務(wù)特性和運營與閉環(huán)模式，我們根據(jù)實際的安全運營經(jīng)驗和威脅情報的一些理論知識將威脅情報能力的運營和信息的閉環(huán)分為了四個階段，分別是：威脅情報策略制定、威脅情報采集與分析、威脅情報成品交付與情報運營和事后的復(fù)盤分析。
我們認為威脅情報能力應(yīng)該是一個規(guī)劃導(dǎo)向的安全能力，并且威脅情報計劃是一個高度可操作的詳盡計劃，所以在日常的威脅情報工作中，我們對情報規(guī)劃這一部分看的很重，甚至一度認為沒有規(guī)劃后面做的很多東西可能都是錯的甚至是完全相悖的。在實際操作中，我們可能有35%甚至更長的時間和精力是在做一個可操作的威脅情報計劃，計劃的內(nèi)容包含了評價的指標(biāo)、不同類型情報的運營與閉環(huán)的策略、需要接入哪些類型的威脅情報、情報與資產(chǎn)數(shù)據(jù)的交互標(biāo)準(zhǔn)、交付規(guī)范等問題。好的規(guī)劃確實會事半功倍，同時也會讓運營效率更高。其次是威脅情報能力建設(shè)工作中技術(shù)含量最高的一部分，情報采集和分析，在這部分主要的工作點是數(shù)據(jù)完整性確認、情報數(shù)據(jù)預(yù)處理、分析建模、精加工和修飾調(diào)整。目前從效果來看的話，在粗處理階段引入機器學(xué)習(xí)的分類方法，會使后期情報數(shù)據(jù)精加工的工作變得異常容易，但是在精加工階段，機器學(xué)習(xí)又顯得非常”添亂“，一方面是因為客戶的需求眾口難調(diào)，另一方面是準(zhǔn)確度的問題。在精加工完畢后，我們需要對FINTEL添加佐料，佐料的作用是為了后面增加情報的可運營性。
下一步進入了一個非常重要且非常難做的環(huán)節(jié)，威脅情報成品的交付和運營。如果前面做了詳實且可執(zhí)行的威脅情報計劃，在這里就變得輕松了許多，按部就班按照計劃執(zhí)行即可，需要考察威脅情報的準(zhǔn)確性和閉環(huán)成工單的數(shù)量，威脅情報運營手段與其他的安全運營手段相比沒有什么特殊之處。
最后一個階段就是威脅情報運營結(jié)果的復(fù)盤和總結(jié)，這部分主要是為了解決情報反饋出來的問題，也就是所謂的“分鍋大會”，這一點往往是情報產(chǎn)生實際價值的時候。值得注意的是，情報的計劃可能會隨著多個case的積累而發(fā)生改變，并且解決問題不應(yīng)該是追責(zé)，而是應(yīng)該閉環(huán)。
當(dāng)我們完成了對威脅情報能力生命周期的構(gòu)建之后，下一步就是基于這一部分周期來設(shè)計一個完整的威脅情報體系。在設(shè)計這一部分體系的時候，首當(dāng)其沖要考慮的應(yīng)該是威脅情報體系應(yīng)當(dāng)兼容現(xiàn)有的安全體系，其次，要完全按照情報的生命周期逐漸累加必要的數(shù)據(jù)和分析方法，最后將這些能力和威脅情報生產(chǎn)算法平臺化和規(guī)范化。
我們在經(jīng)過一段時間的運營和實際的應(yīng)用的結(jié)果來看，結(jié)合我們現(xiàn)有的安全能力和體系，我們的威脅情報體系如下圖所示，該體系分為了五個層次，分別對應(yīng)上文中威脅情報生命周期中的四個環(huán)節(jié)，規(guī)劃部分對應(yīng)策略制定環(huán)節(jié)，數(shù)據(jù)研判、情報處理、情報分析對應(yīng)采集與分析環(huán)節(jié)，情報運營、閉環(huán)處理和復(fù)盤分析分別對應(yīng)情報運營環(huán)節(jié)。
在情報規(guī)劃階段，我們需要考慮的內(nèi)容是我們會面臨何種類型的威脅、我們?nèi)绾稳ナ占l(fā)現(xiàn)這些威脅所對應(yīng)的威脅情報、收集到的威脅情報如何加工成我們想要的FINTEL成品、成品如何交付和運營、閉環(huán)策略分別是什么等問題。緊接著就是數(shù)據(jù)研判，所謂數(shù)據(jù)研判第一件事情是先確認內(nèi)部的數(shù)據(jù)是否完整、可用，因為內(nèi)部數(shù)據(jù)的不可用很有可能會影響后面的數(shù)據(jù)交叉分析，除此之外，外部情報也要保證按照事先的情報計劃接入對應(yīng)的數(shù)據(jù)，保證數(shù)據(jù)是充足的，我們在綜合了業(yè)務(wù)安全情報和基礎(chǔ)安全情報后，優(yōu)先考慮接入了黑產(chǎn)情報渠道監(jiān)控、Github監(jiān)控和人工反饋渠道，而老生常談的IOCs、OSINT數(shù)據(jù)、第三方商業(yè)情報數(shù)據(jù)甚至是我們自己構(gòu)建的指紋數(shù)據(jù)庫，則以API的形式對外提供檢測服務(wù)，允許其它安全設(shè)備接入獲取對應(yīng)的數(shù)據(jù)，達到為安全賦能的目的，同時我們允許人工反饋情報，實現(xiàn)現(xiàn)有情報源的有機補充。
當(dāng)數(shù)據(jù)準(zhǔn)備完畢后，接下來就是情報數(shù)據(jù)的預(yù)處理環(huán)節(jié)，預(yù)處理需要解決的問題包含：情報來源格式不統(tǒng)一的問題、情報來源不可信的問題、情報素質(zhì)低的問題、情報重合的問題等，在經(jīng)過預(yù)處理后，我們將會得到一個具備初步可分析條件的威脅情報數(shù)據(jù)，成為粗產(chǎn)品。
在拿到粗產(chǎn)品后，我們需要對粗產(chǎn)品進行進一步的精加工，其目的是為了保證情報滿足我們最初設(shè)計的目標(biāo)，達到目的和效果。在經(jīng)過分析后，我們就會得到完整的情報FINTEL成品。
緊接著我們在得到FINTEL成品后，會通過各種形式讓情報進入運營狀態(tài)，這些形式不拘泥于表象，包括但不限于工單、信息推送等。同時在這里，平臺化的能力沉淀就顯得十分重要。到此，我們的情報能力矩陣就介紹完畢。
0x05 情報分析技術(shù)探秘
以上內(nèi)容讓我們對情報體系有了一個初步的了解，但是作為技術(shù)能力最強的分析，我們需要詳細闡述一下情報的分析過程，為了方便大家的理解，我會以漏洞情報作為例子來闡述一下具體的操作，整體流程如下圖所示：
首先在一條情報進來之后，他可能是多種形式，可能是一個微信群聊的截圖、一篇新聞，也有可能是一條Twitter，大概率也可能是一個很豐滿的JSON數(shù)據(jù)，至于STIX、TAXII、CyBox這種也會存在，那么這個時候我們就需要將這些數(shù)據(jù)通過各種方法整合成我們大概能看懂的一個粗產(chǎn)品。我們以漏洞情報為例來說明，當(dāng)我們拿到一個原始的漏洞數(shù)據(jù)的時候，他可能是一個GitHub上的issue，也可能是一封來自于Openwall的郵件，更有可能是某個群里一句話，通過絕大多數(shù)的實驗和實際場景，我們認為郵件是一個比較好的切入點，因為既包含了issue又包含了openwall的列表，所以我們往往會以郵件作為重要的情報來源之一。在獲取上述情報來源后，需要對情報進行初加工，這一部分依賴的技術(shù)主要是OC
R技術(shù)和NLP技術(shù)，OCR技術(shù)的作用是用來識別圖片中的文本信息，提取出其中的文本，達到了圖片轉(zhuǎn)文字的效果，在這一部分處理后，我們剩下的多為文本情報了，這個時候NLP技術(shù)將會幫助我們提取其中的關(guān)鍵信息如詞性、詞頻等，比如說專有名詞、時間等，獲取到這些信息之后，我們將會把這些分析結(jié)果向量化，使用機器學(xué)習(xí)方法（如目前的機器學(xué)習(xí)網(wǎng)紅算法XGBoost）對這些詞進行聚類，然后通過自己訓(xùn)練的模型將關(guān)鍵信息分類，整理到一條數(shù)據(jù)結(jié)構(gòu)中。
對于我們的漏洞而言，在上一步獲取到源數(shù)據(jù)之后經(jīng)過上面提到的方法，我們整理出了以下內(nèi)容，當(dāng)然內(nèi)容不完全正確。很明顯這個時候情報仍然是不可用的，因為雖然有了漏洞信息，但是情報仍然不可
讀、不可用，這個時候我們就需要通過其他的情報進行交叉填充，完成對情報數(shù)據(jù)的補充，如上面提到的漏洞，詳情可以通過MITRE和NVD的官方數(shù)據(jù)庫獲取詳情。
由于我們獲得了版本號，所以在CPE數(shù)據(jù)或者SWID數(shù)據(jù)中，我們可以拉取對應(yīng)廠商對應(yīng)產(chǎn)品下該版本的所有分支版本，這樣就可以獲得完整的影響范圍。
另外我們也可以從官方公告中獲取CVSS數(shù)據(jù)，來輔助判斷影響范圍。
這個時候，我們大概就得到了一個詳實的數(shù)據(jù)結(jié)構(gòu)，但是這仍然不是我們想要的FINTEL，這部分只能作為情報的粗加工產(chǎn)品，傳遞至精加工的流程。
在我們拿到粗加工的情報產(chǎn)品后，我們會和內(nèi)部數(shù)據(jù)進行交叉分析，同時引入數(shù)據(jù)的校準(zhǔn)機制，目前這部分工作絕大部分依靠人工，少部分依賴正則表達式，同時我們還會對情報封裝快捷操作和功能，將一些必要的英語通過翻譯API翻譯成中文方便運營的理解，并且通過不同的影響范圍，人工或者自動地調(diào)整情報成品中各個情報源的比重來完善這一情報生產(chǎn)模型，這一過程稱之為情報生產(chǎn)模型的迭代，再經(jīng)過人工修飾后，我們就得到了情報的FINTEL成品。一個好的FINTEL必須滿足以下條件：保證情報內(nèi)容可在短時間之內(nèi)讀懂，所有評估所需要素一應(yīng)俱全，提供閉環(huán)所需解決方案，影響范圍一目了然，方便后續(xù)運營閉環(huán)操作。當(dāng)然同類型FINTEL的交付模式應(yīng)有對應(yīng)的交付驗收，以保證情報FINTEL滿足運營團隊的運營需要。
接著上面的漏洞情報，我們最終交付的情報成品是這樣的。通過上述的運營方式，我們一般可以最少提前行業(yè)內(nèi)的預(yù)警十幾個小時獲知此漏洞的存在，目前獲取的最長時間差為7天時間。
0x06 威脅情報與安全設(shè)備的聯(lián)動
生成的威脅情報成品如果還有包含信譽類檢測的功能，我們應(yīng)當(dāng)保證這些功能是被安全設(shè)備調(diào)用的，這也是威脅情報賦能的一種表現(xiàn)。企業(yè)內(nèi)部的安全產(chǎn)品如果按照生產(chǎn)環(huán)境和辦公環(huán)境劃分的話，生產(chǎn)環(huán)境的三大件是IDS、WAF和防火墻，辦公環(huán)境的三大件是DLP、EDR和郵件網(wǎng)關(guān)（絕大多數(shù)EDR廠商的前身都是殺軟廠商，所以殺軟和EDR在好的產(chǎn)品中應(yīng)該是打包的）。對于各自的三大件，情報的賦能限于檢測和查詢，如以下的告警則是和HIDS進行聯(lián)動的應(yīng)用場景。
當(dāng)然業(yè)務(wù)層面上的情報，除了與反爬系統(tǒng)聯(lián)動之外，最好的應(yīng)急方式是拉群定損，這個時候情報的評價就會體現(xiàn)在快不快上，因為快意味著損失會少，產(chǎn)出會更明顯一些。
0x07 summary
在龐大的復(fù)雜系統(tǒng)下去干威脅情報，難度不亞于刷王者級副本，從獲取威脅情報到完全閉環(huán)一個告警是一個極其困難且有很大挑戰(zhàn)的過程。雖然很多企業(yè)在構(gòu)建威脅情報的時候都不約而同的選擇了以買買買為核心的情報能力構(gòu)建，但是一直“買買買”實際上不能解決“未運營的威脅情報不會產(chǎn)生任何使用價值”的問題。其實威脅情報能力對于企業(yè)安全的價值最重要的兩點是減少信息不對稱帶來的損失、賦能于安全提高威脅發(fā)現(xiàn)率。但是由于行業(yè)內(nèi)各家對于威脅情報的理解和看法都不盡相同，所以在威脅情報具體落地實施的情況下都是各走各的路，各有千秋。但是我們始終認為威脅情報是規(guī)劃導(dǎo)向的產(chǎn)物，在實際威脅情報運營和閉環(huán)中，我們發(fā)現(xiàn)很多問題在規(guī)劃階段就可以完全避免這一類問題的發(fā)生。所以在構(gòu)建企業(yè)級威脅情報能力的時候，往往坑在規(guī)劃，重在生產(chǎn)，難在運營，結(jié)果取決于閉環(huán)的結(jié)果。
但是即使做好了，在面對考核和評價的時候，往往也要給自己定一個小目標(biāo)，也就是評價威脅情報能力好不好的四大標(biāo)準(zhǔn)：速度快、情報準(zhǔn)、可運營、能閉環(huán)。有了體系，就需要將能力沉淀下來，構(gòu)建人+平臺+數(shù)據(jù)的解決方案，在威脅情報體系建設(shè)中，情報體系、自動化平臺、數(shù)據(jù)資源、獲取渠道都是會影響威脅情報能力的關(guān)鍵指標(biāo)，過程不重要，在結(jié)果導(dǎo)向的環(huán)境下，F(xiàn)INTEL的好壞才是成敗的關(guān)鍵，因為FINTEL的好壞直接決定運營難度，好的FINTEL需具備易讀懂、可操作、能運營的特性，讓運營同學(xué)一看就能用。
雖然各家對于威脅情報的看法不盡相同，但是希望這篇文章闡述到的觀點能夠成為一個可供同行參考的模型，這才是真正意義上的威脅情報為行業(yè)賦能。
信息來源：網(wǎng)絡(luò)
圖片來源：網(wǎng)絡(luò)
如有侵權(quán)請聯(lián)系刪文
400-603-8000
