2018年12月14日，腾讯安全威胁情报中心监测到一款永恒之蓝木马下载器，劫持“驱动人生”软件升级通道传播病毒，仅2个小时受攻击用户就高达10万。...近日，腾讯安全威胁情报中心还披露了一项在节假日祝福邮件中携带APT攻击组织的攻击活动，详情可以参阅“APT攻击组织‘黑格莎（Higaisa）’攻击活动披露”。...腾讯安全威胁情报中心通过多个维度分析幽虫、独狼、双枪、紫狐、贪狼等病毒木马的技术特点，进行病毒代码的同源性分析、C2服务器注册、托管等线索综合分析，最终判断这5个影响恶劣的病毒团伙背后是由同一个犯罪组织操控...基础威胁情报服务：为了给企业提供高质量威胁情报信息查询服务，腾讯安全推出了为在线环境客户使用的腾讯安知威胁情报云查服务，并且也为专网、内网等非互联网环境客户准备了可私有化部署的腾讯安知威胁情报平台，两款产品通过腾讯威胁情报来检测不同类型的攻击事件...威胁情报云查服务：依托腾讯安全近二十年在网络安全工作中积累的安全经验和大数据情报，为客户提供威胁情报（IoC）查询服务、IP/Domain/文件等信誉查询服务。
Gartner发现威胁情报服务被广泛用于制造、通信和媒体、IT服务和软件、零售、金融、医疗保健和公用事业的战略决策等，同时金融和政府垂直市场是主要消费者。...在日常安全运维中，客户对威胁情报的需求往往体现得十分直观： 某个IP、网址、域名是否危险？危险域名的所有者是否为黑客团伙？这些团伙还注册了哪些域名？还有其他恶意活动和这些域名相关吗？...黑客组织对企业及其员工有什么了解？企业的敏感信息是否被泄露？ 企业能预测攻击者的行动吗？他们可能会在什么时候以什么手段攻击？...Gartner在《市场指南》中总结了威胁情报的10余种使用场景，如情报赋能、钓鱼检测、暗网监控、威胁检测与响应、黑客画像与黑客追踪、威胁情报共享、高级应急响应（MDR）服务等12个场景，我们筛选了几个在国内较常见的场景...因此，一些情报厂商在提供威胁情报数据和产品的同时，还会提供高级应急响应服务，由专业分析师提供应急、处置、溯源等服务。
·立于真攻防视角的高价值情报 知道创宇14年来为数十万业务系统提供安全防护服务，为超35000个党政机关业务系统、超8000个央企国企等企事业单位业务系统提供防护，拥有立足于真攻防视角的高价值情报数据。...一站式情报赋能——知道创宇威胁情报订阅服务（SaaS） 知道创宇威胁情报订阅服务是基于创宇安全智脑及AI+安全大数据平台打造的真实、实时、准确、丰富的IP情报云端查询+API服务，为国家部委、政府以及国防...应用场景： ·通过云端订阅查询+API为您实时输送鲜活、丰富的IP威胁情报，协助安全专家溯源分析与研判。 ·打通整体防护建设体系，快速感知情报动态，提高安全防御效果。...产品特性： 海量情报数据在线查询、威胁情报持续实时生产、API赋能既有安全能力、情报画像支撑精准溯源 痛点：攻防演练被动挨打？防护总比攻击慢一步？...专为党政机关、国企央企、金融、高校等关基行业单位提供内外部威胁IP双向阻断、威胁情报本地云端双查询、双向联动赋能等核心能力，通过部署在业务网及办公网出口对现有防护设备统一情报双向赋能，具有极高的实战化防护能力
最早的援引应该是Gartner在2014年发表的《安全威胁情报服务市场指南》中提出的定义，即: 威胁情报是关于IT或信息资产所面临的现有或潜在威胁的循证知识，包括情境、机制、指标、推论与可行建议，这些知识可为威胁响应提供决策依据...1941年12月7日，日军袭击珍珠港，致使太平洋舰队遭受重创。 珍珠港事件后，美军吸取了珍珠港失利的教训，意识到对情报的忽视是失败的根源，空前重视情报工作。...这时候就有读者要问了，难道威胁情报只能结合产品使用，只能给企业做安全防护吗？答案：当然不是！ 下面我将用一则小例子给大家讲解一下，我们个人用户怎么使用威胁情报来降低自身被攻击的风险。...这时读者可能就要问了，难道没有其他方式，能让我们判断这是不是钓鱼吗？ 当然不是！这时我们就可以借助威胁情报的力量了。 对于威胁情报最基础的证据无非是域名、IP、历史解析IP。...我们结合 dzgli.cn 这个钓鱼域名进行详细分析: 首先查询情报库。 ? 图13. 情报库查询 由于是X社区的帖子，所以X社区已经有判定结果了。
而这已经成功发现和阻止了一些APT性质的活动。但是是否发现和阻止了所有的这些活动？很不幸的答案是“没有”。CSIRT团队有了很有价值的数据，以及记录了这些高级和持续性的威胁。...第三，你需要有能力快速的查询你网络的中的连接或者流量情况，可以通过netflow或者类似netflow之类的服务来覆盖所有网络的关键节点。 ? 第四，分析人员。...对于这三个重要的防御工具（日志、DPI、连接记录），你要保证有查询历史记录，查询实时记录，以及在未来事件中进行告警的能力。而把这些都运作起来，你需要分析人员和调查人员进行大量的监控和深入的调查工作。...这个团队以及他们的监控基础设施必须要有快速的应变能力适应当今的威胁。 第五，情报共享。在尽可能的完成以上所有的工作，你还需要和其他组织发展起可靠可信的关系，来共享安全事件情报。...但是，不得不说的是由于APT的天然特性总是会努力保持攻击的唯一性，下次可能就是不一样的攻击特征了，因此任何的情报都会有个有效期。 你会是APT的目标吗？
这有助于检测潜在的威胁、恶意代码和异常活动。...外部威胁情报（External Threat Intelligence）： NGFW可以与外部威胁情报源集成，以获取有关已知威胁、恶意IP地址和恶意域名的信息。...外部威胁情报： NGFW可以与外部威胁情报源集成，以获取有关已知威胁和恶意IP地址的信息。这增强了NGFW的威胁检测和阻止能力。...NGFW还可以扩展NAT、PAT和VPN功能，并与新的威胁管理技术集成。NGFW还可以支持多种安全服务，如反病毒、反间谍软件、反垃圾邮件等。...往期推荐 你有使用过细长跳线吗？是不是越细越好？ 以太网无源光纤网络 (EPON) 和千兆位无源光纤网络 (GPON)有啥区别？ Uniboot 光缆：双剑合一，高密度光纤连接再也不怕了！
3月初，威胁情报公司Cyble的研究人员首次分析了Nexus勒索软件。...然而，根据Cleafy的威胁情报与响应团队报告，早在2022年6月就检测到了第一批Nexus感染，比MaaS的公开广告早了几个月。...专家认为，尽管有多个活动在野外积极使用Nexus木马，但Nexus木马仍处于发展的早期阶段。...据观察，Nexus完全是从零开始编写的，但研究人员发现Nexus和SOVA银行木马之间有相似之处，后者于2021年8月出现在威胁领域。Nexus木马可以针对多个银行和加密货币，企图控制客户的账户。...该恶意软件还支持通过滥用安卓的可访问性服务，使用短信或谷歌认证器应用程序绕过双因素认证（2FA）的功能。同时，该安卓木马还支持自动更新机制。 那么它对安卓用户是否构成威胁？
在此博客中，我们将分享审查代码库的过程，重点介绍一种特定的技术：使用 CodeQL 查询来大规模分析我们的源代码，并排除存在代码级别的危威胁情报（IoCs）和与 Solorigate 相关的代码模式。...为了保持我们对防御者知识的了解并加快社区对复杂威胁的响应的愿景，微软团队在此次事件期间公开透明地共享了威胁情报，详细的攻击分析和 MITER ATT＆CK 技术，高级狩猎查询，事件响应指南以及风险评估工作簿...我们正在开源这些代码级威胁情报的多个 C# 查询，目前可以在 CodeQL GitHub 代码仓库中找到它们。...该仓库中的 Solorigate-Readme.md 包含每个查询的详细说明以及每个查询试图查找的代码级威胁情报。...我们使用 CodeQL 寻找代码级威胁情报的方法 在寻找代码级 Solorigate 威胁情报时，我们使用了两种不同的策略。一种方法是寻找在 Solorigate 代码级威胁情报中脱颖而出的特定语法。
1.2 KILL CHAIN模型 “杀伤链”(KILL CHAIN)模型是由洛克希德-马丁公司所提出的威胁情报驱动防御模型，用于指导并识别攻击者入侵网络目的所需完成的所有活动。...(2)Endgame EQL项目 EQL（Event Query Language）是一种威胁事件查询语言，可以对安全事件进行序列化、归集及分析。...战略威胁情报通常不涉及技术性情报，主要涵盖诸如网络攻击活动的财务影响、攻击趋势以及可能影响高层商业决策的领域。 2....(某某公司存在大量越权漏洞，公司可针对该漏洞开发检测工具，对公司相关业务批量检测) 2.2威胁检测 威胁检测与分析方式可对网络流量和终端，应用威胁情报、机器学习、沙箱等多种检测方法，发现隐藏在流量和终端日志中的可疑活动与安全威胁...如图2-4所示，System Monitor (Sysmon)是一款常见的Windows系统服务和设备驱动程序，以监视系统活动并将其记录到Windows事件日志中。
背景 APT-C-01组织是一个长期针对国内国防、政府、科技和教育领域的重要机构实施网络间谍攻击活动的APT团伙，其最早的攻击活动可以追溯到2007年，360威胁情报中心对该团伙的活动一直保持着持续的跟踪...360威胁情报中心对日常的在野恶意代码跟踪流程中发现疑似针对性的APT攻击样本，通过对恶意代码的深入分析，利用威胁情报中心数据平台，确认其与内部长期跟踪的APT-C-01团伙存在关联，并且结合威胁情报数据挖掘到了该团伙更多的定向攻击活动...该漏洞文档是一个关于十九大的PPT，其最后修改时间为2017年12月12日。...但从本次攻击活动的分析我们也可以发现对于攻击团伙和其拥有的资源丰富程度，其通常并非拥有无限的控制基础设施资源，所以当持续积累了足够的基础设施相关数据，并结合威胁情报的持续运营，往往可以将看似独立的事件关联到一起并确定指向...目前，基于360威胁情报中心的威胁情报数据的全线产品，包括360威胁情报平台（TIP）、天眼高级威胁检测系统、360 NGSOC等，都已经支持对此APT攻击团伙攻击活动的检测。
TDP：TDP和HFish同出一家，TDP是流量分析系统，同时提供HFish的接入功能，在HFish相对早期的版本，我们将HFish接入到TDP系统，尝试让HFish威胁日志接入数据库集群，并在某些安全活动使用...图片 IP信誉库：在实践的过程中，蜜罐系统与HIDS系统，在判定IP的威胁时，用了同一套IP信誉库，与TDP不同的是， TDP有本地的威胁情报库，会远程下拉同步威胁情报，所以也没有查询上限的限制， 而其他系统需要通过...API来完成IP研判工作，没有本地的威胁情报库，有API每天的调用上限次数限制。...HFish可以与SIP、X社区的联动，使用社区的威胁情报查询Key，进行威胁溯源，还可以与自家的流量威胁检测服务产品TDP进行联动。...图片 添加X社区的威胁查询APIKey与IP信誉库进行关联。图片 申请的API有又上的权限。图片 大屏幕与TDP的4种视角不同，只有一种模式，但是看着还是很直观的。
IP信誉库：在实践的过程中，蜜罐系统与HIDS系统，在判定IP的威胁时，用了同一套IP信誉库，与TDP不同的是， TDP有本地的威胁情报库，会远程下拉同步威胁情报，所以也没有查询上限的限制， 而其他系统需要通过...API来完成IP研判工作，没有本地的威胁情报库，有API每天的调用上限次数限制。...HFish可以与SIP、X社区的联动，使用社区的威胁情报查询Key，进行威胁溯源，还可以与自家的流量威胁检测服务产品TDP进行联动。...添加X社区的威胁查询APIKey与IP信誉库进行关联。 申请的API有又上的权限。 大屏幕与TDP的4种视角不同，只有一种模式，但是看着还是很直观的。...HFish支持分布式部署管理，支持与X社区联动，取威胁情报，支持与TDP流理分析平联动，关联攻击IP在内网的所有威胁事件，全流量网络连接分析，这些特性是别的单体蜜罐做不到的，提供的服务要比一般的蜜罐，不能与威胁情报联动
2020年中 2 攻击活动分析 从目前观测到的数据来看，攻击者的主要手段有钓鱼网站攻击和木马投递。...图 4-1 苦象组织活动映射到ATT&CK框架 5 防范建议 安天全线产品可以有效对抗上述威胁： 安天智甲终端防御系统，通过安天AVL SDK反病毒引擎有效查杀相关威胁载荷，并通过黑白双控机制，全面强化服务器...、关键工作站、SCADA等关键节点安全环境；通过内核级主防有效拦截邮件、浏览器、内存注射等攻击入口，以及修改MBR、修改注册表、建立内核模块、创建服务等持久化行为；通过威胁情报拦截主机对钓鱼站点的访问和实现既往攻击追溯...安天追影威胁分析系统，通过安天下一代检测引擎和沙箱结合，实现深度动静态分析，有效实现细粒度揭示攻击行为和威胁情报生产。 安天威胁情报推送服务，为订阅客户提供按照相关标准或客户自定义格式的情报推送。...主管部门和相关职能部门客户，可通过安天ATID威胁情报门户账号查询更多攻击关联信息，有效支撑威胁的关联分析与溯源。
手游安全 天御借贷反欺诈 T-Sec 天御-借贷反欺诈 保险反欺诈 T-Sec 天御-保险反欺诈 定制建模 T-Sec 天御-定制建模 星云风控平台 T-Sec 天御-星云风控平台 活动防刷 T-Sec...图片内容安全 T-Sec 天御-图片内容安全 / T-Sec 灵鲲-营销号码安全 业务风险情报 T-Sec 灵鲲-业务风险情报 安全运营中心 T-Sec 安全运营中心 堡垒机 T-Sec 堡垒机 数盾数据安全审计... 凭据管理系统 安全咨询 T-Sec 安全咨询 渗透测试 T-Sec 网站渗透测试 应急响应 T-Sec 应急响应 代码审计 T-Sec 代码审计 漏洞检测 T-Sec 脆弱性检测服务 安图高级威胁追溯系统...T-Sec 高级威胁追溯系统 安知威胁情报云查服务 T-Sec 威胁情报云查服务 御知网络资产风险监测系统 T-Sec 网络资产风险监测系统 安脉网络安全风险量化与评估 T-Sec 公共互联网威胁量化评估...腾讯IPv6技术创新获“科学技术奖”一等奖，创新构建双栈智能防御体系 关注腾讯云安全获取更多资讯 点右下角「在看」 开始我们的故事 ?
2021年，奇安信威胁情报中心首次使用奇安信威胁雷达对境内的APT攻击活动进行了全方位遥感测绘。...下图为2021年奇安信威胁雷达遥测感知的我国境内每月连接境外APT组织C2服务器的疑似受害IP地址个数统计：平均每月有超过\\\\余个境内IP地址与特定APT组织的C2服务器产生非法连接，且年中、年末为攻击高峰时期...； 2、EICAR组织全年攻击活动集中在10-12月，与蓝宝菇相似，均使用少量C2服务器批量攻击境内目标； 3、南亚地区APT组织（如：蔓灵花）的网络服务器资产较为分散，通常在攻击活动中灵活更换C2...服务器，或与其攻击组织的人员规模有一定正比关系。...奇安信威胁情报中心会在未来一段时间内公布该组织从2017年至今的活动。
：用标准化的框架进行威胁情报描述与共享 威胁特征分类：通过人工方式或自动化工具将威胁特征进行分类 威胁及安全事件应急处理： 安全事件的防范、侦测、处理、总结等，对以后的安全事件处置能够有很好的借鉴作用...STIX有两个版本：STIX 1.0基于XML定义，STIX 2.0基于JSON定义，STIX 1.0定义了下图所示的8种对象，STIX 2.0定义了12种域对象(将1.0版本中的TTP与Exploit...TAXII客户端服务器需求集，以及如下两种主要服务来支持多种通用共享模型 汇聚服务(Collections)：由TAXII服务器作为情报中心汇聚威胁情报，TAXII客户端和服务器以请求-响应模型交换信息...，多个客户端可以向同一服务器请求威胁情报信息 通道服务(Channels)：由TAXII服务器作为通道，TAXII客户端之间以发布-订阅模型交换信息，通道服务允许一个情报源将数据推送给多个情报用户同时每个情报用户可接收到多个情报源发送的数据...IP/DNS/URL等信息、安全攻击事件信息、恶意代码活动及特征信息、僵尸网络活动信息、0day/nday漏洞信息、黑客及其组织的TTP(策略技术和过程)信息等方面 轻量型威胁情报共享利用框架将威胁情报信息统一采用
位于荷兰的著名安全厂商Fox-IT（Fox-IT 公司向全球的大型企业提供IT安全管理和威胁情报服务）今天披露称，一小部分 Fox-IT 用户遭受不知名黑客的中间人攻击。...攻击者总共拦截了9名用户的凭证信息以及12份文件，受影响用户数量少是因为 Fox-IT 公司在事件发生的最初5个小时内就检测到了域名劫持和中间人攻击活动并禁用了其双因素验证服务，从而有效地阻止了其它用户的登录操作以及其它关键文件和数据泄露...- Fox-IT 在攻击发生10小时后检测到异常 - Fox-IT 公司表示，行业平均检测威胁所需时间是几周，这次安全事件相对而言检测时间很短。该公司还表示已将事件告知荷兰执法部门。...具体时间轴如下： 2017年9月16日 攻击者针对公司的基础设施开展第一次侦察活动，包括常规端口扫描、漏洞扫描等扫描活动。...2017年9月19日, 12:45 我们禁用了ClientPortal登录认证系统的双因素验证（通过文本信息），有效地阻止了ClientPortal用户成功登录后流量遭拦截。
17年在某个大厂开始从安全技术转型从事黑灰产威胁情报这方面研究，从事黑灰产威胁情报挖掘也已经有三年多了。也认识了很多同行，有甲方也有乙方，但是每一家都是在摸爬滚打中前进，各有各的优势与看法。...前言 黑灰产威胁情报就是针对黑灰产行为进行研究，所以首先得定义什么是是黑灰产行：我认为，以获利为目的，针对公司业务，给公司造成较大损害的行为，即使这个行为可能不违法，也可能符合活动规则等，都属于黑灰产行为...除此之外的黑客们早已经成为产业中的一个模块，为广大黑灰产人员提供服务。黑灰产中技术与非技术的融合，也标志着安全圈的趋势也会是技术威胁情报应该与业务威胁情报的融合。...这也是我们进行的第一个讨论，给我们带来威胁大的是这个刚刚学会说话的小孩，还是教会小孩使用“+12真·天崩地裂般若奔雷大刀”的师傅，亦或是制作出“+12真·天崩地裂般若奔雷大刀”的工具大师？...威胁情报的目的就是帮助安全团队在黑产中插入一双双眼睛和手，时时刻刻了解黑产当前发生的事情，认清敌人。
(2)Endgame EQL项目 EQL（Event Query Language）是一种威胁事件查询语言，可以对安全事件进行序列化、归集及分析。...ATT&CK 适用的场景有很多，有关具体的应用场景介绍大家可以参考 MITRE 官方发布的《ATT&CK设计白皮书》。下面列举了一些常见的应用场景：情报分析、威胁检测、模拟攻击、安全评估。...战略威胁情报通常不涉及技术性情报，主要涵盖诸如网络攻击活动的财务影响、攻击趋势以及可能影响高层商业决策的领域。 2....(某某公司存在大量越权漏洞，公司可针对该漏洞开发检测工具，对公司相关业务批量检测) 2.2威胁检测 威胁检测与分析方式可对网络流量和终端，应用威胁情报、机器学习、沙箱等多种检测方法，发现隐藏在流量和终端日志中的可疑活动与安全威胁...图2-3 ATT&CK攻击技术数据源信息 如图2-4所示，System Monitor (Sysmon)是一款常见的Windows系统服务和设备驱动程序，以监视系统活动并将其记录到Windows事件日志中
战略情报来自更为长期项目的趋势分析，常常采用了例如DBIR和CRS(国会研究服务)的报告形式。战略情报帮助决策者洞悉哪种威胁对业务及公司未来产生最大影响，以及他们应当采取何种措施缓解这些威胁。...你通过哪些IoC发现异常活动?Herman Statman的威胁情报列表为查询战术情报提供了详实的资料。...你从网络中收集的战略层信息并进行基于网络日常活动进行的分析都归属为威胁形势研究。你以及公共领域信息的动态情报都可以服务于威胁形势研究。...这里列出了一些比较有用的资源，可以帮你了解那些常见的威胁情报模型。 不同的模型可以为不同的目的服务。SWOT方法更适合于实施更高级别的分析，通过与对手的比较发现自身存在的优势和不足。...通过训练，情报分析员有能力对信息来源进行评估，以便掌握该信息是否因为主观因素而影响了可靠性。在开展网络威胁情报分析工作时，我们还是主要依赖于其他渠道收集的数据而非第一手信息。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
