如何选择威胁情报平台厂商

来源：蜘蛛抓取(WebSpider) 时间：2016-12-28 03:17 标签： 威胁情报 标准
ISC2015：威胁情报是应对新威胁的解决之道
<meta name="description" content="ISC2015：威胁情报是应对新威胁的解决之道,ISC2015：威胁情报是应对新威胁的解决之道">
ISC2015：威胁情报是应对新威胁的解决之道
9月30日，2015中国互联网安全大会（ISC2015）暨全球互联网安全精英峰会继续在北京召开，本次会议引起了整个互联网行业的广泛关注。当日下午，国家互联网应急中心副主任兼总工程师云晓春发表了《应对新威胁：威胁情报助力互联网应急响应》主题演讲。
在演讲中，云晓春从2014年底震惊行业的SONY被黑客攻击事件的启示谈及国内网络安全的能力和不足，云晓春认为，建立威胁情报库、构建威胁情报系统是应对互联网新威胁的解决之道。
图：云晓春在全球互联网安全精英峰会上发表演讲
2014年12月圣诞节前夕，索尼公司遭遇到重大APT攻击，上万台电脑受到影响，大量数据遭到盗窃。云晓春认为，以此为鉴，现在的网络安全策略能否适应日益高级的攻击手段值得反省。如何降低攻击者肆意而为的时间，提高响应速度，已经成为应对互联网新威胁的关键要务。
基于此，云晓春提出要建立形成系统的威胁情报库。云晓春表示，当威胁来临时，首先要“看见”，从及时发现、及早预警、全民追踪、到有效处置，四个环节形成一套解决方案。关键是如何针对不同的安全需求，建立不同的问题模型；针对不同的分析对象，采取不同的分析方法。这需要安全分析员基于对数据源的理解，确定分析逻辑，挖掘数据间的关系，总结规律，从而形成知识。
“所谓的威胁情报就是帮助我们发现威胁，并进行处置的相应知识。这种知识就是我们所说的威胁情报”。云晓春表示，威胁情报的定位不是基于某一研究某一事件的具体方法和手段，而是能够解决安全事件的基础性资源。
云晓春称，美国已经建立了国家级威胁情报中心，360也建立了国内首个威胁情报中心，基于已经形成的威胁情报，则可以进行一系列的应急响应”。在演讲最后，云晓春表示，网络安全是全局性问题，任何一个网络安全问题都不能靠单一的部门来解决。只有各方联动，形成合作，提供更有价值的威胁情报信息，构建更有实用性的威胁情报库，才能为政府机构、安全厂商、企事业用户提供更好的支持。
编 辑：王洪艳
余承东：华为荣耀已成为双品牌&未来将走独立品牌道路,6月30..
CCTIME推荐
CCTIME飞象网
CopyRight &
京ICP备号&& 京公网安备号
公司名称： 北京飞象互动文化传媒有限公司
未经书面许可，禁止转载、摘编、复制、镜像　　什么是威胁情报，其实安全圈一直在使用着它们，漏洞库、指纹库、IP信誉库，它们都是威胁情报的一部分。情报就是线索，威胁情报就是为了还原已发生的攻击和预测未发生的攻击所需要的一切线索。&所谓的威胁情报就是帮助我们发现威胁，并进行处置的相应知识。这种知识就是我们所说的威胁情报&。
　　互联网安全曾经历经了流氓互殴，侠客对决、黑社会火并等等阶段，现在已经形成了攻击者有组织有预谋，防御者有侦查有战术的局面&&无论是攻击还是防御，都超越了点对点的战术，而越来越倚仗于全面的战法。简单来说，就是搞安全的不仅要看编程指南，还要看孙子兵法了。既然是正规军对垒，战法就要变得相对立体。所谓知己知彼，百战不殆。威胁情报，就像是八百里加急快报送来的敌情。
　　二战中，盟军依靠计算机之父图灵的天才破解了德国的密码，得知德国马上要对考文垂进行轰炸。但是为了争取更大的决定性胜利，盟军选择不让德国人知道对手已经破译了其密码。因此盟军方面没有对考文垂进行有针对性的的防御措施。于是德国人相信其密码依然是安全的，从而一步步走进了盟军的圈套。
　　在威胁情报中，安全公司同样运用类似的方法和黑客斗法。例如：穿梭各大安全论坛，装作黑客的样子，开心地与之讨论最近哪种攻击方式最流行，有哪些漏洞可以利用。然后回家修补漏洞。
　　于是，通过威胁情报，企业会对未来的攻击拥有免疫力，这就彻底改变了原本的攻防态势。原来也许黑客可以用上整整一年的攻击手段，一旦进入威胁情报，就被重点监控。如果攻击者第二次还在用同样的后门，就等于主动跑到了探照灯下。
　　某大神爆料，目前美国正在有计划有组织地曝光其他国家对其基础设施发动的攻击。这句话让人细思极恐，这表明美国已经拥有了一份精准的威胁情报，对其攻击者的攻击路径已经了如指掌。为了不打草惊蛇，其中有60%-70%的攻击路径，美国并没有曝光。没错，美国正在静静地看对手装X。　
　　讲了什么是威胁情报，接下来说威胁情报有什么用？威胁情报给谁用？
　　从个人角度，如果提供代理IP，刷流量的人想要（绕过IP限制）；如果提供僵尸网络IP，安全防御者想要，其实攻击者也想要，攻击者要的总是比防御者多，所以Ta们更能达到目的。从公司角度而言，先说项目之间，做WAF的、做扫描器的、做漏洞管理平台的可以交换漏洞信息，做杀毒的和入侵检测的可以交换恶意样本信息，做业务欺诈的和做网络攻防的可以交换IP信誉信息，这些都是为了做到内部资源（扫描器，WAF，IPS等安全组件）甚至外部资源（开源资源集合、厂商资源交换）的整合（现状是公司越大，这些信息越碎片化），整合才能起到协同防御的效果，才能有能力地进行深度分析去发现真正有价值的攻击事件与高级的难以发现的APT定点攻击事件。
　　过去，我们将太多的精力放在实时防御上面，但并没有将威胁完全挡住，这个时代已经过去了。我们需要建立一个完整的防御体系，从防御、检测到响应，甚至通过威胁情报将攻击事件的预测做起来，而这一切的核心就是要掌握海量的数据，并具备强大的数据分析能力。威胁情报，是面向新的威胁形式，防御思路从过去的基于漏洞为中心的方法，进化成基于威胁为中心的方法的必然结果，它和大数据安全分析、基于攻击链的纵深防御等思想正在形成新一代的防御体系的基石。
阅读(...) 评论()威胁情报服务 | 绿盟科技博客

我要回帖

更多关于 威胁情报 标准 的文章

 

随机推荐