什麼是威胁情报？
概述
什麼是網路威胁情报？威胁情报也稱為网路安全情報，是針對組織網路、設備、應用程式和數據的犯罪活動的循證資訊。它使企業能夠更好地了解過去、當前和未來的網路危險。它包括機制、背景、影響、指標和關於資訊资产新出現或現有危害的面向行動的建議。
威胁情报資訊可以指導企業確定哪些網路资产受到攻擊的風險最大，以及哪些资产的攻擊影響最大。它為企業提供了他們需要的知識，讓他們知道要保護哪些資訊资产、保護它們的最佳方法以及最合適的緩解工具。威胁情报為準確、相關、可操作、及時和明智的決策提供了所需的上下文。
作為一個概念，威胁情报很容易理解。然而，收集所需的資訊並對其進行分析要具有挑戰性得多。大量可能危及或削弱企業資訊技术的威脅可能會讓人感到不知所措。
收集的一些上下文威胁情报包括您的漏洞是什麼、誰在攻擊您、他們的動機是什麼、他們的能力是什麼、他們可能對您的資訊资产造成什麼損害，以及您應該注意哪些入侵指標。
好色先生TV? ArcSight? 情報為您提供有关对您的基础设施、财务和声誉的最强大威胁的资讯。有了它，您可以建立防御机制并设置有效的风险缓解措施。
威胁情报
為什麼威胁情报很重要
威胁情报工具從多個來源讀取有關現有和新出現的威脅以及威脅參與者的原始數據。對數據進行分析和過濾，以開發可供自动化安全解决方案使用的情報源和報告。為什麼這很重要？
- 获取组织保护自己免受威胁和攻击所需的资讯。
- 及时瞭解不良行為者、各种漏洞、攻击方法、零日漏洞利用和高级持续性威胁带来的风险。
- 维护一种结构化的方式来处理跨越眾多参与者和未连接系统的大量内部和外部威胁数据。
- 避免误报。
- 最大限度地减少数据洩露以及随之而来的财务、声誉和合规成本。
- 获取识别最有可能起作用的安全工具所需的知识。
- 网路安全团队和分析人员可以对未来的威胁保持积极主动，同时避免处理大量、未经处理、未确定优先顺序的原始数据的负担。
- 让领导者、使用者和利益相关者瞭解最新威胁以及威胁可能对组织产生的影响。
- 提供决策者可以理解的及时上下文。
威胁情报對於網路連接到萬維網的任何人來說都至關重要，這幾乎是當今每個組織。防火牆和其他安全系統很重要，但它們並不能取代企業隨時瞭解危及其資訊系統的威脅的需求。當今網路攻擊的多樣性、複雜性和可擴充性使得威胁情报變得至關重要。
威胁情报生命週期
威胁情报不是由清單驅動的端到端過程。它是連續的、週期性的和反覆運算的。永遠不會有一個時間點，一個組織已經識別並消除了所有潛在的威脅。
威胁情报生命週期是對威脅環境不斷變化的性質的認識。避免一次攻擊或危機並不意味著工作已經完成。您必須立即考慮、預測併為下一個做好準備。新的差距和問題將繼續出現，需要新的情報要求。
威胁情报生命週期包括以下步驟。
- 规划 – 定義數據收集的要求。提出具體問題，引導您朝著正確的方向前進，並旨在生成可操作的資訊。確定誰將成為威胁情报的最終消費者。
- 收集 – 從可靠來源收集原始威脅數據。這裡的可靠來源可能包括系統審計跟蹤、過去的事件、內部風險報告、技术外部來源和更廣泛的互聯網。
- 处理 – 組織原始數據以準備分析。放置元數據標記，以便更輕鬆地消除冗餘資訊、漏報和誤報。SIEM 可以促进该组织的发展。他们使用关联规则来构建不同用例的数据。
- 分析 – 分析階段是威胁情报與基本資訊收集和传播的區別，因為它是您理解數據的地方。將結構化分析技术應用於处理後的資訊並量化威脅。這將生成威胁情报源，工具和分析師會對其進行掃描以確定入侵指標。入侵指標包括可疑的IP位址、URL、電子郵件、電子郵件附件、註冊表項和哈希。
- 传播 – 威胁情报在正確的時間轉發給正確的人時會起作用。 Share 使用預定義的內部和外部溝通管道與相關利益相關者進行分析。以目標受眾更容易理解的格式传播資訊。這可能包括從威脅清單到同行評審報告。在大型組織中，威脅檢測和緩解是涉及多個團隊的集體工作。讓每個人都了解情況，以發現新的見解、解决方案和機會。
- 集成 - 將可操作的威胁情报集成到工作流、事件響應計劃和票證系統中。
- 经验教训 - 分析情報，瞭解長期经验教训和更廣泛的影響。對策略、過程、流程、基礎結構和配置進行適當的更改。
- 反馈 – 查看操作並確認威脅是否已被阻止或遏制。
网路安全威脅的類型和威胁情报
网路安全威脅和威胁情报可以根據業務需求、情報來源和目標受眾進行分類。在這方面，有三種類型的网路安全威脅和威胁情报。
戰略威胁情报
這些是廣泛或長期的趨勢或問題。對戰略威脅的審查通常是高級非技术受眾（如最高管理層）的專利。戰略威胁情报提供了威脅的能力和意圖的鳥瞰圖，從而可以做出明智的決策並及時發出警告。
戰略威胁情报的來源包括新聞媒體、主題專家、非政府組織政策檔、安全白皮書和研究報告。
戰術威胁情报
戰術威胁情报通過日常情報事件和操作处理入侵指標，為威脅參與者的程式、技术和戰術提供結構。它是面向技术性更強的受眾的智慧，例如安全專業人員、系統架構師和网路管理員。
戰術威胁情报使組織能夠更深入地了解他們如何受到攻擊，以及針對這些攻擊的最佳防禦措施。來自安全供应商和公司网路安全顧問的報告通常是戰術威胁情报的主要來源。
運營威胁情报
操作威胁情报也稱為技术威胁情报。它非常專業，技术含量很高。它处理特定的攻擊、惡意軟體、工具或活動。
操作威胁情报可以採用取證威胁情报報告、威脅數據源或截獲的威脅組通信的形式。它使事件回應團隊能夠深入瞭解特定攻擊的時間、性質和意圖。
什麼是威胁检测？
威脅檢測是一個有時與威胁情报互換使用的術語，但兩者的含義並不相同。威脅檢測是對數據的被動監控，以發現潛在的安全問題。
它专注於在安全漏洞之前、期间或之后发现和识别威胁。威胁可能是恶意软体范例中的字串、异常部件上的网路连接、网路流量意外激增或下降，或者是保存到临时目录的可执行档。
数据洩露检测工具可分析使用者、数据、应用程式和网路行為的异常活动。入侵检测系统是威胁检测工具的一个例子。
威胁情报和威脅檢測如何協同工作
威胁检测系统通常使用来自 等廣泛社区的威胁情报來檢查網路流量。他們部署自定義警報和事件通知。威脅檢測工具允許監控來自不同來源的日誌，並針對不同的環境進行定製。
因此，当检测到威胁时，会发出警报。通常，人类会进行干预，审查威胁，确定正在发生的事情，并採取适当的行动。
正確的工具，提供正確的威胁情报
当今的组织面临攻击者的风险，这些攻击者可能有数百万种方式来获得未经授权的访问并造成严重破坏。此外，威胁的规模、复杂性和复杂性也在不断增长。这意味着，儘管你和你的组织尽了最大努力，但最好假设攻击者会突破。建立适当的物理和逻辑控制对减少成功攻击的机会大有説明。
威胁情报對於及時有效地檢測和回應威脅是必不可少的，也是瞭解和防範潛在网路安全威脅的必要因素。您的團隊和組織對潛在威脅的瞭解越好，您就越有能力制定功能回應並確定其優先順序，並快速檢測威脅。
即使對於小型企業來說，威胁情报也是一項艱巨而耗時的工作。幸運的是，市場上有許多威胁情报工具可以提供説明。然而，並非所有人都是平等的。被公認為网路安全領域的全球领导者， 好色先生TV 提供組織所需的正確工具，以快速生成有意義、可操作的動態威胁情报。
