威脅情報是對現(xiàn)有或即將發(fā)生的針對資產(chǎn)有威脅的了解，包括情景、機制、指標(biāo)、影響和可操作的建議等，可以為主體提供應(yīng)對威脅的策略。威脅情報顛覆了傳統(tǒng)的安全防御思維，將傳統(tǒng)的被動防御轉(zhuǎn)變?yōu)橹鲃臃烙?。威脅情報主要幫助安全管理人員及時了解系統(tǒng)的安全態(tài)勢，并對威脅動向做出合理的預(yù)判。
威脅情報的作用
1、安全模式突破和完善
基于威脅情報的防御思路是以威脅為中心的，因此，需要對關(guān)鍵設(shè)施面臨的威脅做全面的了解，建立一種新型高效的安全防御體系。這樣的安全防御體系往往需要安全人員對攻擊戰(zhàn)術(shù)、方法和行為模式等有深入的理解。
2、應(yīng)急檢測和主動防御
基于威脅情報數(shù)據(jù)，可以不斷創(chuàng)建惡意代碼或行為特征的簽名，或者生成NFT(網(wǎng)絡(luò)取證工具)、SIEM/SOC（安全信息與事件管理/安全管理中心）、ETDR（終端威脅檢測及響應(yīng)）等產(chǎn)品的規(guī)則，實現(xiàn)對攻擊的應(yīng)急檢測。如果威脅情報是IP、域名、URL等具體上網(wǎng)屬性信息，則還可應(yīng)用于各類在線安全設(shè)備對即有攻擊進行實時的阻截與防御。
3、安全分析和事件響應(yīng)
安全威脅情報可以讓安全分析和事件響應(yīng)工作處理變得更簡單、更高效。例如，可依賴威脅情報區(qū)分不同類型的攻擊，識別出潛在的APT高危級別攻擊，從而實現(xiàn)對攻擊的及時響應(yīng);可利用威脅情報預(yù)測既有的攻擊線索可能造成的惡意行為，從而實現(xiàn)對攻擊范圍的快速劃定；可建立威脅情報的檢索，從而實現(xiàn)對安全線索的精確挖掘。
威脅情報的四種類型
1、戰(zhàn)略威脅情報(Strategic Threat Intelligence)
提供一個全局視角看待威脅環(huán)境和業(yè)務(wù)問題，它的目的是告知執(zhí)行董事會和高層人員的決策。戰(zhàn)略威脅情報通常不涉及技術(shù)性情報，主要涵蓋諸如網(wǎng)絡(luò)攻擊活動的財務(wù)影響、攻擊趨勢以及可能影響高層商業(yè)決策的領(lǐng)域。
2、運營威脅情報(Operational Threat Intelligence)
與具體的、即將發(fā)生的或預(yù)計發(fā)生的攻擊有關(guān)。它幫助高級安全人員預(yù)測何時何地會發(fā)生攻擊，并進行針對性的防御。
3、戰(zhàn)術(shù)威脅情報(Tactical Threat Intelligence)
關(guān)注于攻擊者的TTP，其與針對特定行業(yè)或地理區(qū)域范圍的攻擊者使用的特定攻擊向量有關(guān)。并且由類似應(yīng)急響應(yīng)人員確保面對此類威脅攻擊準(zhǔn)備好相應(yīng)的響應(yīng)和行動策略。
4、技術(shù)威脅情報(Technical Threat Intelligence)
主要是失陷標(biāo)識，可以自動識別和阻斷惡意攻擊行為。
近年來，威脅情報行業(yè)發(fā)展迅速。企業(yè)通過建立威脅情報中心，可以從網(wǎng)絡(luò)犯罪、信譽數(shù)據(jù)庫、漏洞、惡意軟件等多個角度滿足不同用戶的特定需求。威脅情報的關(guān)鍵在于實現(xiàn)情報信息的共享，只有建立威脅情報共享機制，讓有價值的情報有效流通，才能真正建立威脅情報生態(tài)系統(tǒng)。