最大化威胁情报价值:正确衡量威胁情报指标

日期:2016-12-22作者:Char Sample

【TechTarget中国原创】

威胁情报服务能够产生价值,但企业必须首先确定如何正确地衡量威胁情报指标。在本文中,Char Sample为大家解释了实现这一目标的最佳途径。

威胁情报在日益增长的网络安全领域是项非常庞大且逐渐扩展的业务。相关领域的增长预示着威胁情报服务业务的提升,就像我们见证了入侵检测和预防系统、防火墙、VPN等安全产品的崛起那样。

要触发威胁情报流程,威胁必须发生在某些风险功能的合适角度。重要的是要获得准确和相关的威胁情报度量标准。这个过程的第一步是获得彻底理解公司的环境。

理解公司的环境需要深入了解其当前的漏洞以及它们与公司的风险状况之间的关系。这种理解必须在威胁情报收集和威胁分析开始之前。为什么?因为威胁情报的度量标准必须与这种理解存在相关性。

理解风险和成功的状况,优先选择定量的内容,帮助确定问题的边界。有边界的问题是威胁情报度量标准具有意义的关键组成部分。此外,当问题边界不清楚时,通常是由于公司对风险和成功的理解不当,每个威胁源(threat actor)对应每一项威胁被不当评估和优先从而出现新的问题方向。在某些情况下,这会产生以前所不存在的问题。

边界威胁情报度量标准

在无边界环境中实现有边界威胁情报度量标准是很棘手的,但并不是不能实现。即使是一份基本的风险分析也需要首先提供必要的输入。发现的风险可以被认为是“已知糟糕的”或具有风险的。那些“已知无害的”的部分也可以被量化。综上,对公司原始环境理解的量化对精确和有效的威胁度量标准是必要的。

依赖建模(Dependency modeling)提供了最准确的方法。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

企业安全风险管理>更多

相关推荐

  • 如何确定应用程序的攻击面?

    应用程序漏洞以及错误配置都可能成为攻击者的靶子。能够正确的防御这些应用程序的要求是,在健全的风险管理发生之前,企业能够确认攻击面……

  • 隐私vs.安全:该如何平衡?

    中国的《网络安全法》已于今年6月1日正式开始实行,这给现代企业在维护信息隐私和安全性方面带来更多的挑战,也将对如何平衡隐私和安全性的探讨推上风口浪尖。

  • 抵御WannaCry等攻击?这里有一波资源来袭……

    连续几天勒索蠕虫WannaCry都作为霸屏一般的存在,且该勒索病毒源头软件背后的黑客黑客组织放话还要在6月持续放大招,不免令人担心。那么为了应对潜在的恶意攻击,企业该怎么做呢?

  • VeriSign iDefense威胁情报功能一览

    VeriSign iDefense威胁情报为选定系统提供实时威胁数据,同时,该服务还可提供有关国家和区域新兴事件的可操作情报报告,以及针对特定行业和企业风险问题的定制报告。

技术手册>更多

  • 恶意软件检测与防御

    一般来说,恶意软件只是进入系统的切入点,通过下载和安装其他应用来获取管理权限,完成攻击。然而,随着网络安全战的持续胶着,威胁环境日益复杂,恶意软件也在连番升级……

  • 高级持续性威胁(APT)剖析与防护

    高级持续性威胁(APT)的目标是访问企业网络、获取数据,并长期地秘密监视目标计算机系统。这种威胁很难检测和清除,因为它看起来并不象是恶意软件,却深入到企业的计算系统中。此外,APT的设计者和发动者为逃避检测还会不断地改变其代码,从而持续地监视和指引其活动。那么,企业是否就拿这种威胁束手无策了呢?当然不是的。

  • 善用威胁情报 加固企业安全

    多年来,企业投资于安全信息和事件管理以及日志管理技术来收集、管理和分析日志。大规模数据分析领域的进步让企业使用程序得以从数据中发现异常活动和分析攻击。然而,企业很容易被从这些数据中获得的指标和警告所淹没。这正是威胁情报派上用场的时候。

  • 端点安全实用指南

    端点安全一直是令IT团队头痛的问题。如今,越来越多的员工使用自己的智能手机、平板电脑和笔记本进行工作,同时,这些设备中平台和服务数量日益增多,再加上云计算技术使用的增加,都让信息安全专业人士更加头痛。

TechTarget

最新资源
  • 存储
  • CIO
  • 数据库
  • 网络
  • 数据中心
【TechTarget中国原创】

威胁情报服务能够产生价值,但企业必须首先确定如何正确地衡量威胁情报指标。在本文中,Char Sample为大家解释了实现这一目标的最佳途径。

威胁情报在日益增长的网络安全领域是项非常庞大且逐渐扩展的业务。相关领域的增长预示着威胁情报服务业务的提升,就像我们见证了入侵检测和预防系统、防火墙、VPN等安全产品的崛起那样。

要触发威胁情报流程,威胁必须发生在某些风险功能的合适角度。重要的是要获得准确和相关的威胁情报度量标准。这个过程的第一步是获得彻底理解公司的环境。

理解公司的环境需要深入了解其当前的漏洞以及它们与公司的风险状况之间的关系。这种理解必须在威胁情报收集和威胁分析开始之前。为什么?因为威胁情报的度量标准必须与这种理解存在相关性。

理解风险和成功的状况,优先选择定量的内容,帮助确定问题的边界。有边界的问题是威胁情报度量标准具有意义的关键组成部分。此外,当问题边界不清楚时,通常是由于公司对风险和成功的理解不当,每个威胁源(threat actor)对应每一项威胁被不当评估和优先从而出现新的问题方向。在某些情况下,这会产生以前所不存在的问题。

边界威胁情报度量标准

在无边界环境中实现有边界威胁情报度量标准是很棘手的,但并不是不能实现。即使是一份基本的风险分析也需要首先提供必要的输入。发现的风险可以被认为是“已知糟糕的”或具有风险的。那些“已知无害的”的部分也可以被量化。综上,对公司原始环境理解的量化对精确和有效的威胁度量标准是必要的。

依赖建模(Dependency modeling)提供了最准确的方法。因此,测量的第一个单元来自对现有与成本相关的漏洞威胁的检查。这里的目标是了解破坏所造成的确切成本。下一步则是将威胁显性化。

来到实际的威胁度量标准环节,希望首先剔除的是多个反馈报告都在相同的因素和事件上进行反馈的那种重复回声式的内容。在提高效率和准确性的努力过程中,使用多路威胁情报服务的公司可以追踪按日期/时间分布的威胁。当匹配的威胁被识别和分发,威胁应该被捕获(按照日期/时间,已识别威胁源和利用手段)并跟踪对抗竞争对手。最感兴趣的两个度量标准是分布的时间,以及其与现有已识别的风险区域的相关性。这将帮助您确定哪些供应商及时提供信息,同时帮助企业减少无用信息,并帮助您理解反馈的相关性和重要性。

衡量成功的因素

接下来,可能也是最重要的一步,度量标准是公司如何处理威胁。尽管许多公司喜欢横向收集他们所在行业相关的度量标准,真正的目标是保持运营并抵御威胁,同时对威胁的存在的保持清醒。因此,最被忽视的度量标准之一是确定多少已被识别的威胁正在尝试利用和攻击公司存在的漏洞。在很多情况下发生的一项早期指示信息,是威胁因素尝试对安全服务进行侦查。因此,了解有多少次尝试被阻止也是很值得的。

当然,即使99%的威胁尝试都失败了,如果有1%的攻击通过了,那么所有类型的活动都需要重新考虑风险和成本。假设可怕的1%攻击成功造成了破坏的情况,下次的度量标准将涉及恢复测量方法。恢复系统实际到原始纯净版本并安装好必要的补丁需要多长时间?

除了跟踪某一条目的典型日期/时间,发现和执行度量标准,关键是要注意向量类和因素数据。标识攻击来自内部还是外部的信息来源是非常重要的,因为涉及到攻击者的性质。例如,一个成功的钓鱼结构通常包括一个不知情的内部与外部的始作俑者。需要在他们的组群中捕捉这些源头,以使威胁源度量标准显现出价值。

需要跟踪发现时间以及确定损害程度所需的时间。最终,这一度量标准,与其他已识别的度量标准一样,应随着时间的推移而进行跟踪。对于可能缺乏资源的威胁情报度量标准的网站团队来说,至少也要每季度进行跟踪。此外,更多的资源密集型网站可能要每周跟踪指标,因此趋势是会按照典型的每周、每月、季度和年度报告进行跟踪。

结论

威胁情报度量标准包含很多方面,某一公司希望在威胁度量标准上投资的深度程度很大程度上取决于其资产的价值。威胁分析服务缺乏个性化网站所需要的定制化,但他们拥有许多中小企业所缺乏的资源。更大的公司有能力,而且也应该投资组建威胁度量标准团队,与数据科学家一道,不仅仅检查公司所遭受到的威胁,同时也可以融入其他数据的作用,如将地缘政治,经济和自然灾害数据混合到一起进行分析。

无论公司规模是大还是小,威胁情报度量标准必须跟踪当前的风险区域。因此,所有的工作都应该在公司环境中具有详细的、可量化的风险理解。只有这样,所得到的威胁度量标准才能显现意义和价值。