什么是威胁情报？
威胁情报定义
威胁情报（也称为 TI 或网络威胁情报）是通过研究和分析现有和新兴网络威胁而获得的背景信息。威胁情报帮助网络安全专业人员理解并主动防御威胁行为者的最新策略，从而扩展组织检测和响应新型威胁类型的能力。
通常，安全团队会订阅多个威胁情报源，这些情报源可以为安全分析师提供原始威胁信息，甚至可以直接集成到团队的安全工具中，用于自动检测新的威胁类型。原始数据经过处理、解析和解释后，即可转化为行之有效的威胁情报。
为什么威胁情报很重要？
威胁情报是主动网络安全策略的关键组成部分。它为组织提供了检测和应对网络威胁的关键背景信息，帮助降低风险并提升防御能力。
在安全运营中心（SOC）中，威胁情报通过识别入侵指标（IoC），在帮助团队检测、优先处理和应对威胁方面起着关键作用。这些可能包括与网络攻击相关联的恶意域名、IP、URL 或文件哈希值。此外，威胁情报源还能提供关于威胁行为者常用的战术、技术和程序 (TTP) 的见解。通过威胁情报，组织可以预测和应对有针对性的攻击，以减少安全事件发生的可能性和影响，并最终增强其整体安全态势。
在处理威胁情报时，需重点关注以下三个关键因素：
- 威胁情报必须定期更新，最好是实时更新。最新的 TI 和攻击技术为安全团队提供最佳检测规则和其他网络安全防御措施的信息。
- 威胁情报不能孤立存在。必须将来自不同来源的威胁情报整合到安全工作流中，以确保可见性和有效执行。
- 背景信息至关重要。安全团队在利用威胁情报时，需要依赖与其行业、技术堆栈、地区、业务规模等最相关的信息。
威胁情报如何发挥作用？
威胁情报通过收集多源数据，分析并识别潜在威胁，从而提供针对潜在威胁或当前攻击行之有效的见解。
对于网络安全团队，威胁情报可以由分析人员收集，或更常见地通过安全从业人员将情报源集成到其环境中。无论哪种方式，目标都是收集、分析和解释威胁数据，以创建威胁情报报告。
威胁情报是如何收集的？
威胁情报分析师从多种来源收集数据，例如开源情报 (OSINT)、政府与执法情报、商业威胁信息、内部日志与遥测数据，以及行业特定的信息共享与分析中心 (ISAC) 等。
例如，2024 年，Elastic Security Labs 的研究人员分析了来自 Elastic 独特遥测数据的 10 亿多个数据点，并在年度《Elastic 全球威胁报告》中展示了研究结果。这份报告中的见解可以帮助安全团队设定优先事项并调整工作流程。
通常，组织会综合利用来自私人和公共来源的威胁情报。每个威胁情报源都是关于当前和新兴威胁的持续、精心整理的数据流，能够支持主动响应。
尽管一些组织依赖自身安全团队来收集、整理、分析和解读威胁情报源的数据，但对于规模较小的团队而言，这可能是一项挑战。他们可以利用威胁情报平台 (TIP)，而不是手动聚合和管理大量威胁情报数据。TIP 是一种网络安全工具，能够简化从多源、多格式数据中摄取和准备数据的过程。通过提供所有 IOC 的统一视图，并支持搜索、排序、过滤、数据丰富和快速响应，TIP 能够帮助情报分析师迅速发现并应对报告的威胁。
在选择 TIP 时，安全领导者通常会关注以下关键能力：
- 能够轻松从领先的威胁情报提供商摄取数据，并实现广泛的威胁情报集成
- 自动识别关键且广泛存在的漏洞，例如 Log4j、BLISTER 或 CUBA
- 在一个集中化视图中访问所有活动的 IoC
- 实时搜索、排序和筛选 IoC 的能力
如何使用威胁情报？
威胁情报为组织提供现有和新兴威胁的相关数据，从而推动构建更积极主动的防御体系。威胁情报最常见的使用方式包括：
- 识别潜在威胁：通过监测威胁源和分析数据，威胁情报分析师可以主动检测新出现的威胁、攻击向量或恶意行为者。
- 调查 IoC：威胁情报分析师可以实时调查 IoC。通过增强背景信息分析，他们能够更快地检测并遏制正在进行的攻击。
- 确定漏洞的优先次序：利用深入的背景见解，并根据风险和潜在影响对漏洞进行排序，TI 可以优先处理需要立即关注的漏洞。
- 检测和响应事件：威胁情报可以帮助识别当前环境中活跃的威胁，使安全团队能够采取知情且迅速的行动。
- 制定安全策略：通过对潜在和现有威胁的概述，组织可以建立更强大的网络安全策略。
安全团队通过威胁情况评估组织在识别和预防网络安全威胁方面的可见性、能力及专业知识水平。安全领导者利用威胁情报来回答诸如以下问题：当前和新出现的威胁对组织环境有何影响？这些信息是否会改变组织的风险状况或影响风险分析？组织的安全团队需要对控制、检测或工作流进行哪些调整？
威胁情报类型
根据利益相关者、背景和威胁分析的复杂性，TI 分为四类：战略、战术、运营和技术威胁情报。
战略威胁情报
战略威胁情报提供了对威胁格局及其对组织潜在长期影响的概述。它可以包括有关地缘政治事件、更广泛的行业趋势和有针对性的网络安全威胁的信息。
目标：风险管理、长期规划、战略安全和业务决策制定
利益相关者：高管
战术威胁情报
战术威胁情报提供有关威胁行为者使用的 TTP 的详细信息。它描述了可能针对组织的攻击，以及如何最好地防御这些攻击。
目标：管理防御/终端、安全控制决策
利益相关者： SOC 和 IT 领导者
可操作性威胁情报
可操作性威胁情报能够帮助组织构建更加积极主动的防御体系。它提供了针对企业的最可能威胁行为者、其可能利用的漏洞或目标资产的深入洞察。
目标：漏洞管理、事件检测、威胁监测
利益相关者： SOC 分析师、威胁猎手
技术威胁情报
技术威胁情报通常侧重于 IoC，帮助检测和响应正在进行的攻击。这类情报能够持续适应不断变化的安全环境，并且最容易实现自动化。
目标：事件响应
利益相关者：SOC 分析师、事件响应人员
探索威胁情报生命周期
威胁情报生命周期是一个将原始威胁数据转化为行之有效的见解。通过这一框架，组织可以优化资源分配，同时保持对不断变化的威胁态势的高度警惕。
威胁情报生命周期通常由六个阶段组成，这些阶段循环进行以持续改进流程：
- 规划。为整个威胁情报项目设定明确的目标对于其成功至关重要。在此阶段，团队应明确目标、流程和工具（包括风险和漏洞），并确保这些目标符合业务及各利益相关者的需求。
- 数据收集。一旦确定了目标，就该从各种来源收集数据了。
- 处理。不同来源的数据可能采用不同的格式。安全团队会将原始威胁数据规范化为可用的格式。
- 分析。处理后的数据已准备好进行分析。在规划阶段，团队会寻找问题的答案，识别模式，评估潜在影响，并将数据转化为可供决策者和利益相关者行之有效的见解。
- 报告。在此阶段，安全团队会在 SOC 内部或与管理团队共享分析结果。
- 反馈。在此阶段，通过收集反馈，威胁情报生命周期会得到优化。优先事项可能发生变化，威胁也可能演变，因此在此阶段需要进行调整和更改，以确保威胁情报计划的运行效率。
尽管威胁情报生命周期依赖于人类威胁情报分析师及其知识，但一些耗时较长的步骤（例如威胁情报报告）可以实现自动化。Elastic 提供了一种简化的方法，通过使用 Elastic AI Assistant for Security 来协助撰写威胁情报报告。它利用 Markdown 模板和 Elastic AI Assistant 的知识库来完成报告。
如何将威胁情报集成到安全工作流中
威胁情报应增强组织的 SecOps 工作流。当与团队安全堆栈中的工具集成时，威胁情报是最有效的。它最适合作为自动化系统的一部分，能够将多源威胁数据直接引入安全平台，从而实现统一的分析和检测工作流。
除了工具之外，有效的安全计划还需要包含用于响应和管理威胁的工作流。这些工作流对于识别和响应安全事件至关重要。Elastic 的检测工程行为成熟度模型 (DEBMM) 为安全团队提供了一种结构化方法，帮助他们持续改进流程和行为，其中威胁情报是重点之一。良好的数据源对于安全团队确保检测规则的有效性和准确性至关重要。这包括整合威胁情报工作流，通过相关威胁背景信息丰富遥测数据，从而全面提升检测能力。
一个集成良好的威胁情报计划能够更轻松地将威胁数据引入组织的安全基础设施，提供更多见解，帮助团队更快地检测和响应威胁。