你好,游客 登录
背景:
阅读新闻

威胁追捕有3种技术风格 假设驱动威胁值得关注

[日期:2017-10-11] 来源:安全牛  作者: [字体: ]

  威胁追捕,就是主动识别并抑制已在企业环境中建立了桥头堡的对手。这与威胁检测不同,威胁检测主要是靠特征码检测或系统事件关联等手段,发现入侵指标(IOC),识别出威胁。此类上下文中的威胁,就是具备做坏事的意图、能力和机会的对手。威胁追捕是对威胁检测的补充。威胁检测有其局限,且依赖4个先决条件(或者假设):

  IOC可预测

  IOC有逻辑且可量化

  IOC静态且不可交换

  IOC可见且可发现

  这4个先决条件未必总能满足,某些情况下,一个都不能满足。即便前3个都满足了,最大的挑战在于最后一个往往满足不了。监测每个可能的系统、网络或用户,是非常难的。更重要的是,时间和金钱的消耗都太大了。产出的大量警报、事件和误报,也引发了其自身的一系列问题。而且,即使威胁检测成功,相关警报也有可能被漏过,或者事发后很久才被注意到。威胁驻留时间的统计数据,已一次又一次地证实了这一点。

  如果信禅,或许会问:“如果网络上出现了一个IOC,而没人正在监视,那还算是威胁吗?”鉴于高调数据泄露发生的频率,该问题的答案无疑是:算!

  黑客同样注意到了这些因素,并据此对自身战术、技术和流程(TTP)做出调整,尽可能地消除这些先决条件。这是网络安全中自然选择的基础,也是黑客与网络安全人士间持续武器竞赛的根源。

  威胁追捕旨在矫正威胁检测中的固有弱点。很明显,如果黑客已经出现在内部网络中,威胁检测就已失败,或者说,至少是在初始漏洞利用前没能做出响应。若是前者,发现自己是否被黑的唯一方法,就是从等待检测技术指出威胁,转向人工调查是否有检测技术漏掉的指标。若是后者,威胁追捕将专注评估入侵的范围,旨在肃清攻击者建立的任何立足点。

威胁追捕

  一、威胁追捕的3种风格

  1. IOC驱动威胁追捕

  检测已知IOC,并用于识别相关IOC和TTP,以驱动对环境中存在威胁的搜索与分析。

  2. 分析驱动威胁追捕

  高级分析、机器学习和行为分析技术识别出异常或可疑活动,驱动进一步调查。一定程度上,行为分析技术已自动化了传统威胁追捕的某些方面,但承袭了与威胁检测类似的局限,且产生了一些自身的弱点。

  3. 假设驱动威胁追捕

  特定威胁可能已成功侵入环境的初始假说或假设。可推断出与该威胁相关的TTP和IOC,驱动对威胁的搜索与分析。

  聪明的读者可能已经发现,前两种风格都依赖对至少一个IOC的成功检测及发现。因此,这两种方式主要用于验证入侵是否发生,并评估威胁的散布范围。

  二、假设威胁

  假设驱动威胁追捕不依赖前置检测。这种方法会假设有尚未检测到的威胁可能已经针对公司下手了。这其中比较没那么明显的一点,是假设驱动威胁追捕、威胁评估和威胁模拟之间的关系。

  1. 威胁评估

  威胁评估中,可能针对公司的潜在相关威胁,往往通过利用威胁情报的方式,被识别出来。然后纳入风险管理过程,用以确定需要部署哪些安全预警措施,来抵御潜在威胁。

  2. 威胁模拟

  威胁模拟中,威胁TTP与现有安全技术、人员和过程相抗衡,借以评估攻击情况下能否撑住。若能实际测试,效果会更好。真正的渗透测试或道德黑客活动,或者成熟企业所谓的红队测试,就是该方法的一个样例。

  三、假设驱动威胁防御

  假设的一个定义,是“基于有限证据做出的假设或提案,用作进一步调查的起点。”对网络安全人员来说,“有限证据”是其中关键词。

  威胁检测技术提供有限证据——或许会发现一些IOC,但可能提供不了对高级/大范围入侵的清晰评估。这些技术可能根本无法成功检测威胁。威胁情报提供理论上都有些什么的大量证据,但无法确定到底谁会实际攻击你。预防技术防护多种已知攻击类型,但我们没有足够证据证明可以防住下一波攻击。

  假设驱动威胁防御,将这些假设都整合进了单个框架中,用作风险管理项目的基础。威胁假设、威胁模拟和假设驱动威胁追捕,是假设驱动安全的三大基石,也是成功威胁缓解的三驾马车。综合起来,它们考虑的是:谁可能针对你,他们有没有可能成功,以及他们是否已经成功了。

  威胁快速进化,技术不断涌现,再加上可执行证据和确定性的缺乏,这么一种态势下想要成功,假设,已经是我们最逼近预测的做法了。

收藏 推荐 打印 | 录入:Cstor | 阅读:
相关新闻      
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数
点评:
       
评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款