威脅情報助力互聯網應急響應

文/國家互聯網應急中心副主任兼總工程師 云曉春

威脅情報助力互聯網應急響應

文/國家互聯網應急中心副主任兼總工程師 云曉春

威脅情報就是為發現威脅提供幫助，并進行處置的相應知識。這種知識就是威脅情報。

在網絡安全領域的知識是有所界定的。在互聯網上發生不同的安全事件的解決方法也不一樣。針對不同的安全需求，需要建立不同的問題模型，針對不同的分析對象需要采取不同的分析方法。安全分析員要基于對可以獲得的數據源的理解，有針對性的確定分析邏輯。通過挖掘數據間的關系，總結規律，進而形成知識。

知識來自于網絡，這些數據是對客觀世界的真實描述。通過挖掘數據間的關系，可以得到可處理、可分析的信息。通過總結規律，形成相應知識。在知識的基礎上，處理相應的安全事件。

知識和威脅情報不是針對某一個安全事件的具體方法和手段，威脅情報的基本定位是能夠解決不同安全事件的一般性的基礎性的資源。

威脅情報可以感應未知的威脅。一般來說，可以把威脅情報分為：第一類是信譽情報。當發現未知威脅的時候，如果攻擊源頭本身就沒有信譽，首先應該對它產生懷疑；第二類是攻擊情報。通過監測發現攻擊源、攻擊工具、曾經被利用過的漏洞；第三類是其他情報。包括僵尸網絡的地址、0day漏洞。通過這些威脅情報，可以推斷出誰在進行攻擊、什么時候發起攻擊、產生了什么樣的后果。……