安全态势感知

原文链接:https://mp.weixin.qq.com/s/xp7Ngg_WTTBMyi-0L4Ykrw

态势感知的定义

态势感知的基础是对报警和元数据的收集,为达到“全方位全天候”的目标,需要在流量内容终端三个方面,利用实时数据历史数据进行检测。但单纯报警的可视化展示并不是真正的“态”。要呈现当前的“态”,需要针对报警或者异常,进行误报甄别、定性分析(识别定向型攻击或是随机性攻击)、了解攻击的影响范围和危害、确定缓解或清除的方法及难度等等。在这个前提下,再对组织面临安全事件全面呈现才能够称为“态”。而“势”则是未来可能的安全事件或状态,这种预测可以基于对已知攻击者的意图、技战术特点以及Killchain分析得出,如果能够获得相关行业或者组织的情报共享,无疑可以更全面的掌握“势”。

重要概念

#1 全天候全方位,可以理解为时间维度和检测内容维度。

1.)在时间维度上,需要利用已有实时或准实时的检测技术,还需要通过更长时间数据来分析发现异常行为特别是失陷情况。

2.)在内容维度上,也需要覆盖网络流量、终端行为、内容载荷三个方面。要完整提供以下5类检测能力,或者说至少4类(参照Gartner:Five Styles of Advanced Threat Defense ):

  • 基于流量特征的实时检测(WAF、IPS、NGFW等)
  • 基于流量日志的异常分析机制(流量传感器、Hunting、UEBA)
  • 针对内容的静态、动态分析机制(沙箱)
  • 基于终端行为特征的实时检测(ESP)
  • 基于终端行为日志的异常分析机制(EDR、Hunting、UEBA)

#2 “态”

  1. 是真实的攻击吗?是否可能误报?是否把扫描识别为真实攻击?
  2. 是什么性质的攻击?定向或者随机?
  3. 可能的影响范围和危害
  4. 缓解或者清除的方法及难度

#3 “势”

  1. 是新的攻击团队还是已知团伙
  2. 攻击者的意图
  3. 攻击者的技战术水平及特点
  4. 是否属于一次大型战役的一部分

谁能做态势感知?

要完成态势感知的建设目标,需要具备以下三大核心要素:流量数据采集威胁情报安全分析师

1.)流量数据采集 相对而言实施难度较小,同时还有着不可替代的价值:通过流量日志进行安全狩猎或者异常检测、分析攻击事件的影响范围、回溯完整的攻击链和TTP(战术、技术和过程)。因此流量数据是态势感知中必须考虑的一环。

2.)威胁情报 是随着新型威胁防御快速成长的一个领域,在态势感知建设中有着决定性的作用。最经常被提到的一类是可机读情报(MRTI),主要是赋能给安全产品,增强或升级其安全能力。

3.)安全分析师,是安全运营中的高级人才。安全分析师的成长需要较好的环境(如数据和情报)、以及大量的实战机会,难以大批量培养。安全分析师是态势感知必须倚重的重要部分,是确定态势感知项目成败的又一个关键因素。成功的态势项目必须考虑到如何引入或培养这样的人才,并通过提供好的工具和流程来支撑他们高效的完成任务。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

扫码关注云+社区

领取腾讯云代金券