威胁分析
2020年1月17日 11:54 - 威胁分析 - 情报环模型 - 生成情报 - 建立调查 - 采集、处理数据 - 数据处理 - 富化信息 - 评估损害 - 生成情报 - 共享情报 - 反馈 威胁分析 威胁分析的目的是通过分析异常信息，生成可供事件响应模块使用的威胁情报。 安全分析在整个体系建设中的难点。原因在于不像安全基线和事件响应有明确的预期和肉眼可见的效果。威胁分析难以量化且是对使用者来说是个黑盒，使用者无法预料到威胁分析会有哪些产出物，以及对产出物没有衡量标准。 无论是采集到的网络行为、系统告警、未知md5，这些都是当前系统观测到的信息，这些信息或许能作为一个线头向下挖掘，但是实际挖掘过程中。入侵者可能已经建立了多个据点，也有可能只是误导防御方的佯攻。很有可能刚牵出线头线索就中断了。威胁分析模块基于这些蛛丝马迹的信息管中窥豹。所以大部分APT分析类的产品在演示时都展示得特别美好，而在使用后难有较好的效果。 威胁分析的算法和设计不是我擅长的。所以想讨论的内容还是威胁分析在安全自动化体系中的地位，和如何实现从数据->信息->情报->策略的工作流程。 一个情报从生成到被使用的全流程 数据 在建立安全基线的阶段，围绕资产生成了不少数据，包括资产的位置、资产的合规状态、资产的安全风险、资产已经配置的防护策略、资产的备份、恢复策略等，这些都是数据，在没有任何入侵活动发生的时候