威胁情报学习

安全响应分析，安全分析师对已知的安全事件进行分析，安全攻击事件的确认，主动寻找攻击的线索协助cso指定安全策略等。

威胁情报

• 起源
  • 军事领域概念成熟后引入信息安全领域
  • 与网络安全态势感知密切相关
• 定义
  • 基于证据的知识
  • 包含场景、机制、指标含义和可操作性的建议
  • 包含资产漏洞 威胁风险运行和事件等维度的安全知识集合
  • 威胁情报是对抗的产物，是对威胁的具体化描述即“知彼”
• 分类
  • 战术级情报
    • 自动化检测分析，用于发现攻击事件和对告警事件的确认以及对告警事件的排序等；
  • 战略级情报
    • 给组织的安全管理者，指导整体安全投资策略等；
  • 运营级情报
    • 安全响应分析，安全分析师对已知的安全事件进行分析，安全攻击事件的确认，主动寻找攻击的线索协助cso指定安全策略等；
• 生命周期
  • 规划
    • 在此阶段，定义了数据收集的要求。必须提出正确的问题以产生可操作的信息。
  • 收集
    • 定义收集要求后，将收集有关当前和将来威胁的原始信息。
  • 加工
    • 收集数据后，将使用元数据标签对其进行组织。(使用SIEM之类的工具可以使数据组织更简单。
  • 分析
    • 在此阶段，将使用结构化分析技术来分析处理后的数据。
  • 传播
    • 在此阶段中，前一阶段的分析将按时发送给合适的人员。
  • 反馈
    • 在此阶段，确定威胁情报是否解决了组织的所有网络威胁问题。
      • 如果是，则网络威胁情报周期即将结束。
• 情报运用
• 安全情报
  • 是威胁轻薄概念的延伸，运用威胁情报的理念和技术，对网络安全态势感知ooda过程，所需的各类安全知识的综合运用，以支撑组织内的所有安全活动；
  • 包含了威胁情报、资产情报、漏洞情报和事件情报是情报概念和技术演进的方向；
  • 情报的价值在于共享赋能，推动多方协同和共赢；（情报生产&消费）
  • 包以德循环也称OODA循环，基本观点是武装冲突可以看做是敌对双方互相较量谁能更快更好地完成“观察—调整—决策—行动”的循环程序。
    • 首先是观察。在实施指挥行动前,就需要有明确的观察计划。双方开始,需要通过观察来自于交战双方开始的新情况以及对方的反应。
      • 通过观察,拟定合理计划
    • 其次是判断。观察的情况有很大的不稳定性,当前制定出的合理决策很快会因为情况的改变而失去最初的决策意义。为更好地理解判断,可以把它想成是先前观察到内容的大纲或指导原则。
      • 通过判断,了解敌方企图
    • 再次是决策。决策是为了明确表达行动过程并在行动过程中选择简捷快速的行动路线。决策方案确定下来,决策者还应定下是否给下属人员施以足够行动特权以确保下属能够定下决心并执行决策的决心。
      • 通过决策,掌握战场主动
    • 最后是行动。行动过程中决策者要适时对行动结果进行观察、判断,并对观察、判断的结果在效率、适时上区分等级,根据等级的高低作出新的决策直至实施新的行动。
      • 通过行动,发挥决策效能
  • OODA循环是由Observation观察、Orientation判断、Decision决策、Action执行四个单词的首字母组合得名。
  • 双方都从观察开始，观察自己、观察环境和敌人。基于观察，获取相关的外部信息，根据感知到的外部威胁，及时调整系统，做出应对决策，并采取相应行动。