威胁情报七大通用守则
作者:星期四, 三月 9, 20170

威胁情报的价值在于,可使企业安全领先黑客一步,甚至是多步。

网络安全是一项艰难的事业。每天,企业都要面临来自全球各地黑客的猛攻。身为一名网络安全从业人员,我们的任务不仅仅需要实时对抗这些攻击,还要在事发前缓解以预防威胁。而这就需要威胁情报。

无论选择哪种类型的威胁情报,总有那么一些良好实践可以遵循。甚至网上有一些免费可得的开源信息,可帮助企业预测并准备好应对未来的攻击。Recorded Future 公司的情报及策略副总裁,李维·甘德特,带来以下7条威胁情报通用规则。无论我们是否采用威胁情报平台,或者采用哪种平台,这都是我们应该做到的守则。

守则#1:谷歌一下

谷歌也许搜索不了深网或暗网,但其用处依然超乎想象之外。我们每天都在用谷歌,网络安全上自然也不应例外。每天都有无数闲话和情报产生,我们可以从中获取有用的东西。毕竟,大多数数据都产生自网上。你甚至可能会被仅使用公开Web搜索引擎就能保持领先的程度所惊到。用公开引擎替代专用威胁情报供应商是不现实的,但用用又没什么坏处不是?

守则#2:汲取别人的经验教训

显然,我们已经踏入了攻击和数据泄露的未知领域。不过,此类活动激增的正面信息是:它给了我们极好的机会从别人的案例中学习如何更好地应对威胁。网络安全当前显然正处于其“狂野西部”阶段,我们能从别的攻击和黑客活动中学到越多,我们自身的准备度就越高。

不仅仅要知道哪个企业又遭了数据泄露,还要知道细节。怎么发生的?第一条线索什么时候出现的?攻击者如何进入网络的?你对当前攻击所知越深入,你的团队对未来攻击的准备就越充分。

守则#3:查看Pastebin和GitHub

Pastebin和GitHub是很多安全团队的痛点。个人信息、口令,以及其他敏感信息经常在Pastebin上出现,毕竟人家是全球最流行文本共享网站之一嘛。

GitHub,作为全球最大代码仓库,也有其自身的问题。任何人都可以频繁上传源代码,其中就可能包括有盗来的专利数据,或者用来对你的系统进行漏洞利用的代码。监视这两个网站,这样你就能够采取合适的行动了。

守则#4:关注黑客聊天

很多大型攻击或数据泄露都是“说”出来的,事发前就多有讨论。比如,TalkTalk在2015年的重大数据泄露就有一大堆关于如何执行攻击的聊天讨论。其中一些聊天甚至就在公网上;一些则隐身深网和暗网。无论哪种方式,对黑客组织聊天内容投以关注,会让你的团队保持警惕,并对潜在安全问题准备的更为充分的。

守则#5:IOC是我们的朋友

团队应该总是重视攻击指标(IOC)。 地理上的异常、陌生的IP地址、异常活动或流量高峰,都意味着攻击的进行或数据泄露的发生。

人工处理或许一定程度上有效,但为跟上攻击的广度和深度,最好还是利用威胁情报提供商。有些提供商能够利用机器学习来实时标记事件,这就是阻断攻击进程和只能在事后清理的差别所在。

守则#6:知道自己的TTP

以攻击者的思维看问题;我们的网络弱点在哪儿?顶级攻击路线是什么?先自己把这些给分析清楚了,然后再找找对手的战术、技术和规程(TTP)。鉴于这些信息中很多都可以在网上免费找到,团队就能探知潜在攻击者的想法。通过对所有噩梦中的“假设”场景做好准备,大家晚上也能睡得更安心些,更有效地胜任工作。

守则#7:清楚任何事都有可能发生

攸关公司安全威胁,团队灵活性和开放思维尤其重要。虽然很多攻击者会用相似的模式和TTP进行攻击,有些却不会。好的经验法则是:不排除任何可能性!只要没有经过恰当的调查,无论多么异想天开的可能性都不排除。

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章