网络安全与自动化威胁情报共享最佳做法
许多组织选择通过多种方式共享网络威胁情报（Cyber Threat Intelligence, CTI）订阅各种信息源，其中包括妥协指标方案（Indicators of Compromise, IOC）。在当前市场上，威胁情报最普遍的使用场景是利用IOC情报（Indicators of Compromise, IOC）进行日志检测来发现内部重要风险。这种方式可以发现传统安全产品无法发现的很多威胁，并且因为这其中大多是已经被成功攻击的操作，所以“亡羊补牢”对于安全运营仍会有较大的帮助。该方法的核心是从浩如烟海的日志数据中提取出威胁情报，此时，威胁情报的数目仍然较为庞大，需要从威胁情报中进一步提取出具有实用价值的IOC情报以进一步在安全社区内共享，这就要求根据情报本身质量过滤IOC情报，例如相关性、及时性、准确性、可指导响应的上下文等，上下文问题除了一般会考虑到的风险等级、可信度等信息外，还需要提供相关攻击团伙和家族的攻击目的、危害、技战术等相关的内容，提供相关的远控端是否活跃，是否已经被安全厂商接管等信息，以此响应团队可以判定是否需要响应，哪个事件的优先级更高等。
- 2022-03-31
- 阅读227
- 下载0
- 7页
- docx
