威脅情報是指企業組織可能面臨的潛在攻擊以及如何檢測和阻止這些攻擊行為的信息。威脅情報可以幫助企業或組織快速地了解到敵對方對自己的威脅信息，從而提前做好威脅防范，并更高效地進行攻擊檢測與響應。

　　在實際應用中，研究機構Gartner將威脅情報分為了以下三類：戰略威脅情報、戰術威脅情報和運營威脅情報。基于這種分類，每個安全運營團隊和運維人員可以根據需要選擇最相關的情報信息，更有效地進行風險識別和防范，并了解攻擊者的作案動機。本文將對其中的運營威脅情報相關概念、獲取方式、應用價值等進行重點介紹。

　　01 什么是運營威脅情報？

　　運營威脅情報主要描述攻擊者使用的戰術、技術和程序 （TTP），可以為安全分析師提供安全事件的背景，重點關注惡意軟件、木馬和網絡釣魚等攻擊是如何執行的，攻擊的足跡是什么，以及攻擊過程中的哪些環節受到了影響等，使防御者對網絡犯罪分子的作案手法有準確而深刻的認知，并尋找尚未被發現的惡意行為，從而加快對可疑行為的調查。

　　由于運營威脅情報可以深入了解所涉及攻擊者（團體）的起源和組織結構，并幫助響應者理解特定攻擊的類型、意圖和時間框架，目前已經成為保障企業網絡安全彈性的關鍵工具。高質量的運營威脅情報甚至能夠讓防御者有機會提前實施控制措施并挫敗攻擊，這也使其在許多方面成為網絡安全實踐的黃金標準。即便是并不完整的運營威脅情報也可能為即將發生的攻擊提供重要線索，例如，在攻擊被利用之前找出潛在的資產暴露面和攻擊途徑。

　　運營威脅情報一般包括以下內容：

　　特定威脅分組資源（后門家族、共享基礎設施）；

　　與特定危險組相關的TTP（標準文件名、端口、臨時目錄、協議、首選文件類型等）；

　　未來可能會出現的TTP（包含持久性、可利用性和網絡釣魚等的新攻擊策略）。

　　從事件響應的角度來看，如果企業正在處理一起入侵事件，就需要全面了解攻擊者如何進行數據盜竊、橫向移動或特權升級等攻擊行為，并通過查找某些行為來搜索未知但可能會發生的惡意活動。各類網絡安全專家，例如應急響應人員、惡意軟件分析人員、網絡防御團隊、安全管理者、行動執行者等都可以使用運營威脅情報。運營威脅情報威脅識別并非只限于內部運營環節，與客戶、友商、合作伙伴、分支機構相關的安全缺陷也都需要被審查記錄。

　　02 運營威脅情報如何獲取？

　　由于運營威脅情報與特定的威脅策略相關，所以獲得運營威脅情報的方法有兩種：

　　可通過招募或策反的方式，在活躍的威脅團體中培養情報線人；

　　通過滲透和監視等技術手段，截取威脅團體間的通信。

　　總的來說，運營威脅情報最有可能從封閉渠道收集。雖然一些不太成熟的威脅組織滿足于通過相對開放性的渠道來討論他們的戰略，但更嚴謹的犯罪活動更有可能采取隱蔽措施。這就引出了一個重要的問題：由于運營威脅情報涉及特定人員和群體的行動和通信，因此收集這些情報會引發一些法律和倫理方面的爭議。

　　運營威脅情報是一種全面的信息數據集，它提供解決安全威脅所需的各種信息。因此，運營威脅情報的采集是個系統化的過程，從規劃開始到評估數據的可用性，整個收集過程包含了多個階段。

　　1、需求研究

　　在開始尋找足數據之前，企業必須清楚地了解自己需要了解什么。研究人員應該知道誰會使用這些知識以及為什么。網絡威脅情報應該與公司或行業相關，并清楚地說明它將如何提供幫助。此外，還應該考慮使用者的具體需求特點（技術專家、董事會成員或首席執行官等）。

　　2、數據收集

　　運營威脅情報的數據收集工作需要在企業內部和外部同時開展。通過各種安全設備的日志數據，可以采集到完善的內部數據，同時，還應該通過公開的安全技術論壇、開發者社區和事件公告等，獲取更廣泛的外部信息。

　　3、數據處理

　　在以較原始的形式（惡意IP和域、未編譯代碼、個人信息等）收集到大量數據后，需要通過過濾清洗，提升數據的準確性和可用性，包括使用相關信息更新元標記（meta tag），刪除那些無用或者已經過時的低價值信息。目前，這項工作大多通過人工智能和機器學習來自動化完成。

　　4、分析評估

　　在對原始數據進行處理并剔除不相關信息后，就可以對數據進行評估和關聯，以發現潛在的安全風險。在將信息發送給關聯部門之前，應該將其結構化處理，這樣更加易于理解。

　　5、分發與反饋

　　在此階段，主要將收集到的行動情報，按照應用相關性分發給不同的應用者和分析師。為了更好的優化未來的數據收集質量，應該對情報的利用率及準確性進行評價和反饋。為了評估情報是否真正發揮作用，需要從請求情報的用戶獲得準確的應用效果反饋。

　　03 運營威脅情報的挑戰

　　在收集和分析運營威脅情報的過程中，威脅分析人員可能會遇到以下挑戰：

　　通信數據獲取：多數威脅組織在討論他們的計劃時都會采取一些預防措施，并盡最大努力保持隱蔽。不僅要考慮倫理和法律方面的影響，還有技術手段方面的局限。在許多情況下，想要獲取一個群體的內部通信數據會非常困難；

　　語言：威脅群體會位于不同的國家和地區，通常會使用母語進行交流。盡管可以通過使用自然語言處理（NLP）引擎來克服這一障礙，但這仍會增加發掘運營威脅情報的成本和難度；

　　干擾信息：通過自動化技術監測常見的運營威脅情報來源（如討論群和開源社區）時干擾信息太多，人工監控又并不顯示，這時就需要通過威脅情報分析技術手段來應對這一障礙；

　　混淆戰術：許多威脅組織正不遺余力地隱藏他們的意圖。常見的混淆策略包括使用專用代碼來代替目標名稱和/或攻擊類型，以及定期更改個人代號等。

　　運營威脅情報收集并非一個簡單的過程。它可能需要一段時間，也需要大量的專業技能和技術理解來支持。為了正確地收集足夠數量的數據，機器學習技術的應用是非常必要的。

　　04 運營威脅情報的價值

　　運營威脅情報是通過研究以往攻擊的具體情況而獲得的信息。分析人員可以通過關聯多個戰術指標和數據來構建有關威脅行為者攻擊方式的完整視圖，并將其衍生為運營威脅情報。這有助于：

　　為安全人員提供他們需要的事件背景信息，通過增強安全事件和已識別的IOC（入侵指標）通知，來做出更準確的安全判斷；

　　改進事件響應策略和緩解方法，為即將到來的網絡攻擊和入侵做好準備；

　　尋找規避傳統安全措施的可疑文件和活動，建立并加強主動發現過程（“狩獵計劃”）；

　　根據在野攻擊者的方法，采用實用的紅隊策略；

　　分析惡意軟件家族和參與者，以識別對企業、行業、地區或國家的高風險威脅；

　　創建獨立于IOC的檢測技術，以更快的方式提供更廣泛的威脅覆蓋范圍。

更多信息可以來這里獲取==>>電子技術應用-AET<<