威脅情報用戶有效關聯的重要性

劉詢

確保組織的安全基礎設施覆蓋所有可能的威脅入口是一回事，而確保主動保護是另一回事。

在不斷增長的在線威脅和復雜的網絡威脅中，組織需要通過積累威脅情報不斷增強其網絡防御能力，以跟上發展的步伐。但是，責任并不僅限于此，他們需要理解收集到的數據，并把這些聯系起來，以保持一個沒有威脅的環境。

有效的威脅關聯是主動防護的關鍵要素，不僅可以防御已知威脅，還可以防御未知威脅，這就是組織通常在IT安全解決方案和系統中尋找的東西。如果他們依靠外包商來滿足安全需求，這也是他們對各自提供商的期望。

有效威脅關聯的要素

保證客戶網絡的安全，需要安全服務提供商減少誤報和漏報，并驗證傳感器的性能和可用性。這些挑戰可以通過有效的威脅關聯來解決。

通過適當的威脅關聯，安全響應團隊可以專注于他們的最優先級。這提高了他們的效率，同時降低了由于更嚴格的隱私保護指南和法律帶來的潛在風險和公司責任。但怎樣才能建立有效的威脅關聯呢？

為了有效地連接構成當今混合威脅的各個部分，安全提供商需要高質量的數據，添加到客戶的解決方案和系統中的信息必須及時且相關。

理想的相關過程是使用接近實時的信息。安全提供商越早發現主動入侵，就能越快處理它。識別和監控潛在的威脅源也比事后處理攻擊的效果更劃算。一旦發現數據泄露，受害者必須向擁有受影響數據的人支付經濟補償。

安全外包也將使用相關信息。他們需要在正確的時間將正確的信息傳遞給正確的人。例如，由于網絡故障而無法連接到客戶端的防火墻，應該通知網絡運營中心，而不是安全團隊。除此之外，還需要過濾掉不相關的噪聲，以免誤報。他們需要檢測手動日志調查或僅查看單個設備的工具可能會忽略的高風險威脅。網絡中的每個設備都需要以無縫方式與所有其他設備一起使用。

安全提供商需要確保他們的基礎設施能夠滿足客戶的威脅情報收集、整合和關聯需求。

威脅關聯架構的三要素

一個有效的威脅關聯架構至少包含3個基本步驟：收集、整合和關聯。

收集

一些安全解決方案只是從公司網絡中提取傳感器日志文件，然后將其上傳到中央存儲庫，采用壓縮來減少網絡帶寬需求。其他的通常在單個設備上執行收集和初始分析以分配收集過程，從根本上減少了帶寬需求。無論如何分配和完成工作，此步驟都只是收集所有需要標準化或聚合的可用威脅情報和數據源。

整合

這個階段也稱為“標準化”或“聚合”，它涉及過濾無關數據，將重點放在安全解決方案及其用戶通常定義的重要內容上。在這一步中，許多誤報被消除。

整合會去除重復的數據，并確保每個數據都是標準格式。通過這種方式，在關聯時，可輕松地將信息與其他所有信息進行比較。即使數據來自不同的來源（不同配置的系統或不同供應商的解決方案等），仍然可以形成相互關系。

關聯

最終目標是從多個安全平臺獲取數據，并將其關聯起來，為威脅響應團隊提供及時、相關和準確的情報。

對于使用集中式數據庫的解決方案，分析人員只需運行適當的查詢就可以得到響應。但是，這可能會受到可伸縮性和性能問題的限制。為了分析大量的數據，組織需要大量能夠滿足處理需求以及時間的系統，考慮到威脅滲透網絡的速度，這些時間可能是有限的。

每個組織都需要一個有效的威脅關聯架構，他們要承受不斷增長的數量和復雜性威脅所帶來的風險。不管他們的安全需求是依賴內部的還是第三方的，都有一個共同點。他們需要及時、相關和準確的數據———幸運的是，這些數據并非遙不可及。