網(wǎng)絡(luò)威脅情報(bào)應(yīng)用逐漸普及，網(wǎng)絡(luò)威脅情報(bào)應(yīng)用的誤區(qū)也隨之而來(lái)。錯(cuò)誤的威脅情報(bào)應(yīng)用模式不僅僅是資源的誤用，還可能帶來(lái)額外的暴露面，其支持者可能被對(duì)抗性情報(bào)模式所利用。作為定向攻擊的武器篩選條件，而這些誤區(qū)被推廣則可能會(huì)造成更大面積的潛在受害者群體，甚至作為攻擊關(guān)鍵信息基礎(chǔ)設(shè)施的跳板，因此，筆者選擇一些典型的誤區(qū)，剝開(kāi)“洋蔥的心”。

　　誤區(qū)一：告警查詢論

　　最嚴(yán)重的誤區(qū)莫過(guò)于“告警查詢論”，該方法主張將網(wǎng)絡(luò)安全設(shè)備或系統(tǒng)平臺(tái)（如：IDS、WAF、NGFW、SIEM、態(tài)勢(shì)感知等）產(chǎn)生的告警日志，取出IOC值（IP、域名、URL等）提交威脅情報(bào)平臺(tái)查詢，根據(jù)查詢結(jié)果決定封禁與否，甚至支持永久封禁。

　　誤區(qū)分析：

　　1、首先，如果這是一個(gè)確認(rèn)的攻擊日志，網(wǎng)絡(luò)安全人員必須對(duì)此做出響應(yīng)，因?yàn)椤?00個(gè)人說(shuō)它是無(wú)害的，它就是無(wú)害的嗎？它攻擊我，它就是有害的，即使除了我以外其他任何人或機(jī)構(gòu)都沒(méi)有標(biāo)記這是一個(gè)惡意的對(duì)象！”，所以“告警查詢論”存在嚴(yán)重漏洞！

　　2、在該言論中，放棄了對(duì)未告警的信息的檢查。如果安全人員到網(wǎng)上以“繞過(guò)”+【安全設(shè)備】，【*】中可以為任何安全設(shè)備的代換，可以看到大量的繞過(guò)安全設(shè)備的帖子。未將威脅情報(bào)應(yīng)用于主動(dòng)防御或更全面的檢測(cè)，是一種嚴(yán)重的資源浪費(fèi)和疏忽。

　　3、第三，忽略了威脅情報(bào)的重要屬性之一：時(shí)間屬性。IP、域名等均為網(wǎng)絡(luò)資源，都可以更換屬主，可回收、可轉(zhuǎn)讓，注銷(xiāo)后可能會(huì)被其他屬主所使用，因此“永久”這種用法忽略了威脅情報(bào)的時(shí)間屬性。

　　4、另外，該觀點(diǎn)的支持者忽略了私有威脅情報(bào)的概念，告警經(jīng)過(guò)分析研判，可以根據(jù)結(jié)果決定是否納入私有威脅情報(bào)管理。并且，可以利用威脅情報(bào)交換機(jī)制和協(xié)議（例如：TLP）進(jìn)行發(fā)布，作為對(duì)合作伙伴、行業(yè)、國(guó)家安全的回饋。

　　正確理解：

　　沒(méi)有任何一種方法可以獨(dú)立完成網(wǎng)絡(luò)安全防護(hù)、檢測(cè)全部需求，網(wǎng)絡(luò)威脅情報(bào)的應(yīng)用如同我們所列舉過(guò)的所有設(shè)備、系統(tǒng)、平臺(tái)一樣，是一種具有獨(dú)特能力的網(wǎng)絡(luò)安全補(bǔ)充，它和其他所有的網(wǎng)絡(luò)安全設(shè)備與系統(tǒng)，共同承擔(dān)著企業(yè)網(wǎng)絡(luò)安全防護(hù)，對(duì)針對(duì)性繞過(guò)技術(shù)是一種強(qiáng)補(bǔ)充。

　　針對(duì)網(wǎng)絡(luò)威脅情報(bào)的自定義篩選應(yīng)用，可以構(gòu)成主動(dòng)防御陣線，例如：在有效情報(bào)的前提下，設(shè)置網(wǎng)絡(luò)規(guī)則。大家一定不會(huì)忘記WannaCry通過(guò)Sinkhole免疫的方法（如果可以成功訪問(wèn)iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com，則電腦在中了勒索病毒后不會(huì)進(jìn)行文件加密而直接退出），因此只需要打開(kāi)防火墻規(guī)則，則可以避免該災(zāi)難，但需要注意的是Sinkhole可能會(huì)搜集受害群體的信息。

　　同時(shí)，威脅情報(bào)可以針對(duì)告警信息進(jìn)行線索擴(kuò)展。在線索擴(kuò)展場(chǎng)景下對(duì)告警信息的優(yōu)先級(jí)重定義起到重要作用。

　　誤區(qū)二：公開(kāi)失效論

　　另一個(gè)廣泛被傳播的誤區(qū)是“公開(kāi)失效論”，即網(wǎng)絡(luò)威脅情報(bào)一經(jīng)公開(kāi)就失效了，將希望寄于攻擊者不會(huì)再次使用該方法，或者漏洞將被完全關(guān)閉，攻擊方法會(huì)失效。讓我們先學(xué)習(xí)如下案例：

　　WannaCry持續(xù)被利用。提起勒索軟件，可能無(wú)人不知WannaCry以及它的“業(yè)績(jī)”，曾經(jīng)在瞬間造成約150個(gè)國(guó)家200萬(wàn)臺(tái)計(jì)算機(jī)被攻擊。然而，這個(gè)臭名昭著的勒索軟件，并不是利用0Day進(jìn)行攻擊，根據(jù)報(bào)道，微軟在WannaCry肆虐前兩個(gè)月即發(fā)布了補(bǔ)丁，按照“公開(kāi)無(wú)效論”者的觀點(diǎn)，這本是一個(gè)可以避免的災(zāi)難，但不幸的是，災(zāi)難還是發(fā)生了。筆者建議“公開(kāi)失效論”者應(yīng)該思考一下這句話“study in preventable catastrophes” （https://datatechvibe.com/data/wannacry-should-you-still-worry/）。

　　到目前為止，WannaCry似乎并沒(méi)有完全被控制住，我們還是經(jīng)常可以看到被WannaCry入侵的案例被報(bào)道出來(lái)。

　　誤區(qū)分析：

　　網(wǎng)絡(luò)情報(bào)僅當(dāng)對(duì)抗雙方信息一致，并且采取了必要、完整的對(duì)抗手段，公開(kāi)的網(wǎng)絡(luò)威脅情報(bào)（也稱為：開(kāi)源網(wǎng)絡(luò)威脅情報(bào)）才是出現(xiàn)“失效”，這種“失效”是網(wǎng)絡(luò)威脅情報(bào)應(yīng)用的結(jié)果，而“對(duì)抗雙方完全利用”的場(chǎng)景則出現(xiàn)的比例極少。

　　正確理解：

　　1、網(wǎng)絡(luò)威脅情報(bào)公開(kāi)不代表目標(biāo)受眾均有效接收，按照信息理論，信息接受方需要正確解讀發(fā)送方的全部含義。然而，現(xiàn)實(shí)中很多網(wǎng)絡(luò)安全人員沒(méi)能夠接收或者完整接收到威脅情報(bào)的相關(guān)信息，并根據(jù)威脅情報(bào)的建議進(jìn)行了部署。威脅情報(bào)的完整接收和理解是網(wǎng)絡(luò)安全人員需要進(jìn)行提升的關(guān)鍵環(huán)節(jié)。

　　2、網(wǎng)絡(luò)威脅情報(bào)的公開(kāi)，需要對(duì)抗手段的對(duì)齊，方能發(fā)揮威脅情報(bào)的效用。

　　彩蛋：有心者是否注意到關(guān)于WannaCry的威脅情報(bào)中提到僅打補(bǔ)丁是不足夠的？

　　誤區(qū)三：開(kāi)源無(wú)用論

　　“開(kāi)源無(wú)用”論者認(rèn)為開(kāi)源情報(bào)因?yàn)槭艿叫畔l(fā)布的管制，缺少情報(bào)研究所需的高價(jià)值信息，并且隨著自媒體、多種媒體方式的衍生，開(kāi)源情報(bào)存在著大量冗余、錯(cuò)誤、虛假的情報(bào)，因此沒(méi)有用途。

　　針對(duì)這一言論，請(qǐng)先看一起非網(wǎng)絡(luò)安全的開(kāi)源情報(bào)分析案例：

　　上個(gè)世紀(jì)50年代，格林斯潘靠著有限的公開(kāi)信息，從飛機(jī)構(gòu)件材料中鋁、銅、鋼鐵的比例和數(shù)量入手，推出美國(guó)軍工業(yè)對(duì)經(jīng)濟(jì)體構(gòu)成的影響。他發(fā)表的統(tǒng)計(jì)結(jié)果，跟美國(guó)軍方所掌握的秘密數(shù)據(jù)驚人地接近，以至于五角大樓的人立刻斷定“這個(gè)人肯定是拿到了我們的秘密數(shù)據(jù)，否則不可能這么精確”。

　　誤區(qū)分析：

　　產(chǎn)生“開(kāi)源無(wú)用”論的基礎(chǔ)，是情報(bào)分析人員的思維慣性、惰性、能力所造成，他們認(rèn)為公開(kāi)的情報(bào)由于受到各種嚴(yán)格的審核，無(wú)法推導(dǎo)出有效的結(jié)論。

　　正確理解：

　　“凡有接觸，必留痕跡”（Every contact leaves a trace，Edmond Locard），筆者在《溯源（歸因分析）與機(jī)器學(xué)習(xí)》中曾引用這一觀點(diǎn)。

　　關(guān)于開(kāi)源威脅情報(bào)，首先面對(duì)的是冗、錯(cuò)、偽的挑戰(zhàn)，這需要分析人員或組織投入大量人力、財(cái)力研究威脅情報(bào)的源頭、記錄威脅情報(bào)傳播的路徑、并進(jìn)行冗余管理，同時(shí)還需要解決開(kāi)源網(wǎng)絡(luò)威脅的錯(cuò)誤信息，甚至處理上升到威脅情報(bào)對(duì)抗角度的虛假情報(bào)。

　　開(kāi)源情報(bào)分析，需要情報(bào)分析人員的思維具有嚴(yán)謹(jǐn)、開(kāi)拓等多面性，避免思維慣性，甚至是惰性的工作習(xí)慣，其培養(yǎng)過(guò)程漫長(zhǎng)，并且還需要一些“天才”人物的出現(xiàn)。

　　開(kāi)源情報(bào)在溯源分析中起到了重要作用，下圖則是筆者利用開(kāi)源情報(bào)所獲得的信息（先進(jìn)威脅情報(bào)商已經(jīng)于更早時(shí)間開(kāi)始重點(diǎn)布局開(kāi)源情報(bào)）：

　　筆者一直有一個(gè)疑問(wèn)，“開(kāi)源無(wú)用論”者是否真正研究過(guò)開(kāi)源情報(bào)并愿意通過(guò)理論基礎(chǔ)公布是他們是如何得出“開(kāi)源情報(bào)無(wú)用”這一結(jié)論的？

　　其他誤區(qū)

　　一勞永逸論：

　　“人不能兩次踏進(jìn)同一條河”---赫拉克利特

　　一勞永逸論者，通常會(huì)提出威脅情報(bào)永久使用的期望，忽略了威脅情報(bào)具有動(dòng)態(tài)的特性。這一輪點(diǎn)的支持者，通常略加思考，即能正確認(rèn)識(shí)到事實(shí)。

　　上帝視角論：

　　“你們的威脅情報(bào)是最新、最全的嗎？”這是上帝視角論者最常提出的問(wèn)題。從追求威脅情報(bào)質(zhì)量的角度上看威脅情報(bào)永遠(yuǎn)都有可提升的空間，但由于傳遞時(shí)效、范圍（想一想“鐵路警察各管一段”的故事，更何況有著利益沖突的多方角逐）等因素的影響，新、全、準(zhǔn)，就如同奧林匹克的精神一樣，可以不斷被刷新；最需要注意的重點(diǎn)是，威脅情報(bào)帶有預(yù)測(cè)，而預(yù)測(cè)總有伴隨著準(zhǔn)確、遺漏的平衡。

　　試想，如果針的有上帝視角，我們把安全交給上帝，不香嗎？

　　結(jié)語(yǔ)

　　關(guān)于網(wǎng)絡(luò)威脅情報(bào)的誤區(qū)，或許還有很多，筆者所揭開(kāi)的只是這顆洋蔥“一層”，希望廣大威脅情報(bào)研究者站出來(lái)共同糾偏，促進(jìn)網(wǎng)絡(luò)威脅情報(bào)的應(yīng)用。