威脅情報(bào)是對(duì)現(xiàn)有或即將發(fā)生的針對(duì)資產(chǎn)有威脅的了解，包括情景、機(jī)制、指標(biāo)、影響和可操作的建議等，可以為主體提供應(yīng)對(duì)威脅的策略。威脅情報(bào)顛覆了傳統(tǒng)的安全防御思維，將傳統(tǒng)的被動(dòng)防御轉(zhuǎn)變?yōu)橹鲃?dòng)防御。威脅情報(bào)主要幫助安全管理人員及時(shí)了解系統(tǒng)的安全態(tài)勢(shì)，并對(duì)威脅動(dòng)向做出合理的預(yù)判。
威脅情報(bào)的作用
1、安全模式突破和完善
基于威脅情報(bào)的防御思路是以威脅為中心的，因此，需要對(duì)關(guān)鍵設(shè)施面臨的威脅做全面的了解，建立一種新型高效的安全防御體系。這樣的安全防御體系往往需要安全人員對(duì)攻擊戰(zhàn)術(shù)、方法和行為模式等有深入的理解。
2、應(yīng)急檢測(cè)和主動(dòng)防御
基于威脅情報(bào)數(shù)據(jù)，可以不斷創(chuàng)建惡意代碼或行為特征的簽名，或者生成NFT(網(wǎng)絡(luò)取證工具)、SIEM/SOC（安全信息與事件管理/安全管理中心）、ETDR（終端威脅檢測(cè)及響應(yīng)）等產(chǎn)品的規(guī)則，實(shí)現(xiàn)對(duì)攻擊的應(yīng)急檢測(cè)。如果威脅情報(bào)是IP、域名、URL等具體上網(wǎng)屬性信息，則還可應(yīng)用于各類在線安全設(shè)備對(duì)即有攻擊進(jìn)行實(shí)時(shí)的阻截與防御。
3、安全分析和事件響應(yīng)
安全威脅情報(bào)可以讓安全分析和事件響應(yīng)工作處理變得更簡(jiǎn)單、更高效。例如，可依賴威脅情報(bào)區(qū)分不同類型的攻擊，識(shí)別出潛在的APT高危級(jí)別攻擊，從而實(shí)現(xiàn)對(duì)攻擊的及時(shí)響應(yīng);可利用威脅情報(bào)預(yù)測(cè)既有的攻擊線索可能造成的惡意行為，從而實(shí)現(xiàn)對(duì)攻擊范圍的快速劃定；可建立威脅情報(bào)的檢索，從而實(shí)現(xiàn)對(duì)安全線索的精確挖掘。
威脅情報(bào)的四種類型
1、戰(zhàn)略威脅情報(bào)(Strategic Threat Intelligence)
提供一個(gè)全局視角看待威脅環(huán)境和業(yè)務(wù)問題，它的目的是告知執(zhí)行董事會(huì)和高層人員的決策。戰(zhàn)略威脅情報(bào)通常不涉及技術(shù)性情報(bào)，主要涵蓋諸如網(wǎng)絡(luò)攻擊活動(dòng)的財(cái)務(wù)影響、攻擊趨勢(shì)以及可能影響高層商業(yè)決策的領(lǐng)域。
2、運(yùn)營(yíng)威脅情報(bào)(Operational Threat Intelligence)
與具體的、即將發(fā)生的或預(yù)計(jì)發(fā)生的攻擊有關(guān)。它幫助高級(jí)安全人員預(yù)測(cè)何時(shí)何地會(huì)發(fā)生攻擊，并進(jìn)行針對(duì)性的防御。
3、戰(zhàn)術(shù)威脅情報(bào)(Tactical Threat Intelligence)
關(guān)注于攻擊者的TTP，其與針對(duì)特定行業(yè)或地理區(qū)域范圍的攻擊者使用的特定攻擊向量有關(guān)。并且由類似應(yīng)急響應(yīng)人員確保面對(duì)此類威脅攻擊準(zhǔn)備好相應(yīng)的響應(yīng)和行動(dòng)策略。
4、技術(shù)威脅情報(bào)(Technical Threat Intelligence)
主要是失陷標(biāo)識(shí)，可以自動(dòng)識(shí)別和阻斷惡意攻擊行為。
近年來，威脅情報(bào)行業(yè)發(fā)展迅速。企業(yè)通過建立威脅情報(bào)中心，可以從網(wǎng)絡(luò)犯罪、信譽(yù)數(shù)據(jù)庫、漏洞、惡意軟件等多個(gè)角度滿足不同用戶的特定需求。威脅情報(bào)的關(guān)鍵在于實(shí)現(xiàn)情報(bào)信息的共享，只有建立威脅情報(bào)共享機(jī)制，讓有價(jià)值的情報(bào)有效流通，才能真正建立威脅情報(bào)生態(tài)系統(tǒng)。