<delect id="ngoyb"><em id="ngoyb"><var id="ngoyb"></var></em></delect>
<p id="ngoyb"></p>
<delect id="ngoyb"></delect>

<samp id="ngoyb"></samp>
<p id="ngoyb"></p>

<p id="ngoyb"></p><p id="ngoyb"></p><samp id="ngoyb"><legend id="ngoyb"><var id="ngoyb"></var></legend></samp>

<samp id="ngoyb"><em id="ngoyb"><blockquote id="ngoyb"></blockquote></em></samp>
<button id="ngoyb"></button>

<p id="ngoyb"><div id="ngoyb"><label id="ngoyb"></label></div></p>

<var id="ngoyb"><option id="ngoyb"><blockquote id="ngoyb"></blockquote></option></var>

威脅情報雜談——IOC情報的使用
發布時間:2019-10-21 15:14:29

IOC情報的使用

當前國內市場上,威脅情報最普遍的使用場景,就是利用IOC情報( Indicators of Compromise)進行日志檢測,發現內部被攻陷的主機等重要風險。這種情況下可以發現傳統安全產品無法發現的很多威脅,并且大多是成功的攻擊,對于安全運營有較大的幫助。這種場景看似簡單,就是日志數據和情報之間的匹配,其實并不是如此,個人在這幾年的工作中,對這個場景的認識有了多次轉變,現今看來可以小結為3個層次。

最初的時候,認為IOC情報匹配本身并不復雜,核心的問題是情報本身的質量(相關性、及時性、準確性、可指導響應的上下文),特別是上下文問題,非常重要,除了一般會考慮到的風險等級、可信度等信息外,還需要提供相關攻擊團伙和家族的攻擊目的、危害、技戰術等相關的內容,提供相關的遠控端是否活躍,是否已經被安全廠商接管等信息,以此響應團隊可以判定是否需要響應,哪個事件的優先級更高等。后續發現對于很多團隊缺乏事件響應經驗,理想情況下情報上下文最好能提供不同威脅的響應參考策略,這部分似乎也可以歸入到上下文中。這個層次暫且稱其為簡單匹配。

后來逐步發現IOC的匹配問題并不單純,針對不同的日志類型需要有專門的優化。典型的例子就是DNS日志或者防火墻的五元組日志,下面以DNS日志為例進行說明。DNS日志是進行IOC匹配比較理想的類型,因為有些遠控服務器當時可能不能解析,因此不會產生其它類型的應用層日志,但通過DNS活動就可以推斷對應的主機上已經運行了一個木馬或者蠕蟲病毒,甚或是APT攻擊。這個遠控的IOC形式可能是一個域名,這種情況就比較簡單;但如果是一個URL,這種情況下如何匹配就是一個相對復雜的事情,因為單純的DNS數據是不能精確判別是否出現失陷的,往往要引入一些參考的數據類別,并考慮企業對哪些威脅類型更加關注,這種情況下需要有更加復雜的匹配機制。這個層次可以稱其為高級匹配。

經過前兩個階段,對于大多數組織應該可以較好的使用威脅情報做檢測了。但從更高要求看,可能還會出現一些需要解決的問題,如日志中顯示的域名沒有直接的威脅情報命中,但是域名所在的主機其實已經明確是屬于某個網絡犯罪組織的,這種情況下如何產生報警;再如對一個郵件做詳細的分析判定,是需要從多個維度進行分析,其中會使用多個類型的威脅情報。解決這些問題不但需要有威脅情報及網絡基礎數據,還需要有相應的分析判定模型,這部分可以說在編排和自動化范圍內(SOAR),如果還需要有一個名字,不知智能化匹配是否合適。

簡單匹配、高級匹配、智能化匹配,這是基于過去對IOC使用情況思考的一個簡單總結。不能確定是否還會有更多的層次,但有一點可以肯定,隨著對威脅情報IOC使用的不斷探索,威脅情報在檢測過程的作用一定會越來越大。


咨詢電話
400-1188-776
日韩一级无码电影