网络情报 网络安全之情报浅析

460500587

大多数人在没有经过正式培训的情况下从事某种形式的情报分析，许多安全团队有意或无意地使用类似于情报分析的过程来进行调查。企业和政府在进行情报运作时，都是基于多年形成的正规流程和原则。此外，在网络安全和事件响应过程中，还有一个特殊的情报操作正式流程。涉及的一些关键概念来自情报，一些来自安全，还有一些是两者的结合。我们先从抽象的概念入手，主要是从情报原理中提炼出来的，然后转向可以直接应用到事件应对调查中的具体概念。

一.数据和情报

“数据”和“情报”都是安全社区的重要术语，很多从业者很难解释两者的区别。然而，它们经常互换使用。

“联合出版物2-0”是美军的主要联合条令，也是目前仍在使用的基本文件之一。它在介绍中指出:“信息本身可能对指挥员有用，但当它涉及到有关作战环境的其他信息，并根据以往的经验加以考虑时，就会引起对信息的新认识，这种认识可能被称为。”

数据是一条信息、事实或统计结果。数据是用来描述什么的。在网络安全领域，IP地址或者域名就是数据。如果没有额外的分析来提供背景，它们只是一个事实。当我们收集和关联各种数据时，我们有能力提供对某些需求的洞察，然后它们就变成了智能。

从收集、处理、分析数据的过程。情报分析完成后，必须进行传播，使情报更加有用。没有合适受众的信息不是好信息。瑞典作家威廉·阿格雷是和平与冲突方面的专家。他曾痴迷地说:“情报分析是一门将新闻动态与解决科学问题相结合的学科。”

数据和真实的区别在于分析。为了回答问题，需要根据一系列要求进行分析。没有分析，安全行业产生的数据大部分还是数据。然而，同样的数据，一旦根据需要进行了适当的分析，就会变得复杂，因为它包含了回答问题和支持决策所需的背景内容。

国际奥委会

有一段时间，很多人把IOC当成了威胁情报的代名词。IOC可以帮助我们在系统或网络日志中找到某种特征数据，以找到被入侵的目标，这些特征数据包括与C2服务器或恶意软件下载相关联的IP地址和域名、恶意文件的哈希值以及可以指示入侵的其他基于网络或主机的特征。

二、来源和方法

现在我们已经搞清楚了数据和情报的区别，接下来的问题是:“我们从哪里获取数据，以便分析数据，生成情报？”

传统的情报来源通常围绕各种ints展开，这些ints描述了在哪里收集数据:

人工智能

人工智能来源于人类，无论是秘密地下收集还是通过外交手段公开收集，都是最古老的情报收集形式。网络威胁情报能否从HUMINT获得，争议很大。一个例子是尝试与涉及入侵或入侵经历的人进行采访或对话。另一个被认为最接近HUMINT的例子是通过有限的或仅限会员的在线论坛与黑客互动以获取信息。这种类型的情报收集也可以被认为是SIGINT，因为它来自电子通讯。

信号智能

信号情报包括从电子信号中获得的信息，包括通信情报、电子情报和外部仪器信号情报。大部分技术情报收集都属于SIGINT。毕竟计算机的功能来自于电子信号，所以从计算机或者其他网络设备输出的任何东西都可以被认为是SIGINT。

公共情报

公共信息来源包括新闻、社交媒体、商业数据库和其他来源。关于网络安全威胁的公开报告是一种OSINT。另一类是公众可访问的IP地址或域名的技术细节，例如，WHOIS查询恶意域名注册人的细节。

图像智能

图像情报是从视觉表现中收集的，如摄影和雷达。IMINT通常不是网络威胁情报的来源。

测量和特征智能

MASINT是指通过信号和图像之外的技术手段收集的情报。MASINT通常包括核、光、射频、声学和地震特性。MASINT不包含信号情报，所以通常不是典型的网络威胁情报来源。

地理信息空)

地理空信息来自地理空数据，包括卫星图像、侦察地图、GPS数据和其他与位置有关的数据源。有的企业认为IMINT是GEOINT的一部分，有的认为是一个单独的学科。与IMINT类似，GEOINT不是网络威胁情报的典型来源，但它可以提供关于威胁的上下文信息，帮助您了解攻击者如何使用网络域来实现他们的目标。

很多人可能会提出INT的各种概念，比如网络智能、技术智能、金融智能，但这些新名词大部分已经被其他情报搜集方法所涵盖。比如网络智能主要来自ELINT和SIGINT。演示现有INTs的数量并不重要。重要的是我们需要了解数据的来源。如果INT的这些概念有助于总结具体的集合类型，那么我们就不需要详述它们了。让我们关注如何解决这个领域可能出现的术语冲突。

我们引入了一些传统的情报收集方法，其中一些常用于网络威胁情报。了解特定威胁数据的来源非常有用。

事件和调查

这些数据是从数据泄漏调查和事件响应活动中收集的。这通常是网络威胁情报中最丰富的数据集之一，因为调查人员可以识别威胁的多种因素，包括黑客使用的工具和技术，并且通常可以识别入侵背后的意图和动机。

极有吸引力的事物

这些设备被配置为虚拟机或网络，并收集与这些设备交互的信息。蜜罐有很多种:低交互蜜罐、高交互蜜罐、内部蜜罐、边界蜜罐。蜜罐信息非常有用，只要我们了解蜜罐的类型，它们在监控什么，交互的性质。在蜜罐上捕获的攻击尝试流量通常比分析网络扫描流量或网络爬虫流量更有用。

论坛和网站

很多公司自称拥有地下网络或者黑暗网络的情报搜集能力。在许多情况下，这些公司指的是那些通过互联网访问的受限论坛和聊天室。在这些论坛网站上，很多人在完成信息分析后，会互相交换有价值的信息。这种类型的网站太多了，几乎没有公司能完全覆盖这些黑暗的网络。在这里，我们需要知道，每个公司的情报收集范围往往是有限的，这与其他声称拥有类似数据的公司不同。

这些技术都是过去常见技术的新迭代，但随着技术的发展，智能用新瓶换旧酒也没什么区别。正如乔治·桑塔亚纳所说，忘记过去和以往一样真实。

军事术语

网络安全的一个共同点就是军事术语的使用。情报工作已经存在了几个世纪，并被编入军事机构的文件中。大多数非军事情报应用仍然非常重视这些文件中记录的普遍原则，这导致了现代情报分析中大量军事术语的出现。同样，在网络威胁情报领域，从这些军事原则中提取了大量概念。然而，就像营销一样，军事术语在某些情况下是有用的，在其他情况下是无用的。如果军事术语的使用阻碍了信息的传递，那就可能不是使用这些术语的好时机。

第三，过程模型

模型通常用于构建信息进行分析和处理。此外，在智能生成过程中，我们还使用了几种模型。下面描述了有效生成和动作的两种智能模型。首先是OODA循环，可以用来快速做出时间敏感的决策；第二种是情报周期，可以用来生成更正规的情报产品，它们有多种用途，比如情报报告策略或者情报策划。

有效使用模型

乔治·E . p . box说:“所有模型都是错的，少数模型是有用的。”每个模型都是有助于理解问题的抽象。另一方面，有一个很自然的现象，每一个模型都是还原论者，很容易丢失重要的细节。所以，把所有的数据都适应一个特定的模型并不重要，但是把模型作为理解和改进思维方式的一种方式总是有价值的。

1.OODA循环

安全领域经常引用的一个军事概念是OODA循环，它是“观察、定向、决定和行动”的缩写。如图1所示，OODA循环是20世纪60年代战斗机飞行员、军事研究员、战略家约翰·伯伊德发明的。他认为，当战斗机飞行员面对装备和能力比自己更强大的对手时，可以利用OODA循环，通过果断的行动更快地应对周围的环境，从而有效地攻击对手，最终可能获胜。

图1 OODA循环

以下是对OODA周期四个阶段的介绍:

观察

观察阶段侧重于信息收集。在这个阶段，我们从外界收集任何有用的信息。比如我们要抓棒球，这个阶段就是观察棒球，确定它的速度和轨迹。同样，如果我们试图捕获网络攻击者，观察阶段包括收集日志、监控系统和收集任何有助于识别攻击者的外部信息。

配置

在定位阶段，根据已知的信息将观察阶段收集的信息转换成上下文内容。在这里我们需要检验我们过去的经验、预设的概念、期望和模型。以棒球为例，定位依赖于观察者对棒球运动方向、速度和轨迹的判断，预测其方向和抓握时产生的冲击力。在网络攻击的例子中，该位置需要从日志中提取监控数据，并将其与关于网络、相关攻击组织和先前识别的攻击策略的知识相结合。

决策

在这个过程中，信息已经被收集和上下文相关，所以是时候确定动作模式了。决策阶段不是执行操作，而是审查各种行动计划，直到最终决定采取哪项行动。

在处理网络攻击的情况下，这意味着决定是否等待并继续观察攻击者的动作，是启动事件响应动作，还是忽略该活动。无论如何，辩护方决定下一步实现目标。

行为

显然，行动阶段是直观的:个人遵循选择的行动计划。行动结果并不意味着100%成功，需要在下一个OODA周期的观察阶段确定。

OODA循环是每个人每天都要经历成千上万次的基本决策过程的概括。它解释了个人如何决策，团队和企业如何决策。它解释了网络维护者或事件响应者在收集信息并知道如何使用信息时所经历的过程。

OODA循环不是单方面使用的。作为网络维护者，我们经历了很多情况下的观察、定位、决策、行动的过程，也经历了攻击者的过程。攻击者观察网络及其防御者在网络中的行为，决定如何采取行动改变环境，争取胜利。和大多数场景一样，能更快观察和适应的人往往会赢。图2显示了攻击者和防御者的OODA循环。

图2防守者和进攻者的竞争OODA循环

多后卫OODA循环

除了进攻和防守的OODA循环，想想多防守的OODA循环也是有用的，也就是说一个后卫的决定如何影响其他后卫也是有用的。一个防守队员做出的很多决策，都可以为其他防守队员创造竞争条件。例如，如果一名防御者成功地执行了安全事件应急响应，然后公开分享了关于攻击的信息，那么第一名防御者就已经开始赋予所有其他防御者这种智慧。如果攻击者能够更快地通过OODA循环找到关于这些活动的公开信息，并在第二个防守者使用这些信息之前改变策略，攻击者就会打一个翻身仗，在这种情况下，第二个防守者的处境将是危险的。

因此，我们应该仔细考虑如何与其他组织分享我们的行动，包括对手和盟友。一般情况下，计算机网络防守是为了减缓对手的OODA循环，加速防守者的OODA循环。

这种广义的决策模型提供了一个理解守卫者和攻击者决策的模板，这种模型侧重于理解各方的决策过程。

2.智力周期

图3所示的智力循环是一个生成和评估智力的正式过程。这个循环从最后一个情报过程结束时开始，一直持续下去。智力循环不需要完全遵循这个过程。

图3智力周期

要正确使用智能循环，你需要知道步骤中涉及到什么，接下来会介绍这些步骤。

方向

智力循环的第一步是方向。方向是建立智能打算解决的问题的过程。这个问题可以从外部来，由情报团队开发实现。或者由内部有益的商业团体和情报团队联合开发。这个过程的理想结果是问一个清晰简洁的问题，利益相关者可以找到有用的答案。

收集

下一步是收集回答问题所需的数据。这是一项大规模的活动，所以我们应该集中精力从多个来源收集尽可能多的数据。多余的信息在这里会增加价值，因为佐证往往很重要。

这里有一个制定有效情报计划的关键想法:建立收集能力。我们很难确切知道哪些数据最终可能被证明是有用的，因此建立广泛的收集各种信息的能力很重要。这包括基础设施、恶意软件和漏洞等战术信息，以及攻击者目标、社交媒体监控、新闻监控和高级威胁分析文档等战略运营信息。这里一定要记录出处，注意:新闻故事往往会重复发表或引用相同的原始素材，这让我们很难知道什么是佐证，什么是相同素材的重组。如果无法确定特定数据集的来源，请尽量避免将其作为收集来源。

收藏是一个过程，不是一次性的动作。将第一轮收集的信息用于第二轮处理，然后继续第三轮收集。随着逐渐收集，信息将呈指数级增长。这个阶段的重点不是数据之间的关系，而是尽可能多的展开信息，然后慢慢分析。另外，别忘了考虑内部来源，比如内部事件管理系统。企业往往会发现自己已经熟悉的对手或攻击。

命名冲突

命名是情报收集的一大挑战。虽然命名过去侧重于别名和涵盖术语，但今天，这一领域结合了情报收集和命名惯例的不同性质。每个公司，每个情报分析小组，每个情报机构都有自己的威胁组织名称。收集所有这些名称非常重要，因为忽略具有特定名称的报告可能会导致关键数据丢失。

处理

不能立即使用数据的原始格式或收集数据的格式。此外，不同来源的数据可能有不同的格式，因此需要将它们转换为相同的格式，以便一起分析。使数据可用的过程通常是一项被忽视的任务，但没有它，几乎不可能产生情报。在传统的智力循环中，加工是收集的一部分。但是，在处理与事件响应相关的数据类型和企业类型时，考虑单独处理是很有用的。以下是处理网络威胁相关数据的一些最常见方法:

标准化

该处理包括将收集的数据标准化为统一的格式以供分析。收集过程将产生几乎所有可能的数据结果。情报数据来自各种格式，从JSON到XML到CSV到电子邮件的纯文本。供应商可以在网站上以博客帖子或表格的形式分享信息，也可以在基于PDF的报告甚至YouTube视频中分享信息。同时，企业倾向于以不同的格式存储数据。一些企业使用专门的威胁情报平台，而其他企业则从维基或内部应用程序构建定制解决方案。

索引

大量数据需要搜索。无论是处理网络地址、互斥体等观察数据，还是论坛帖子、社交媒体等运营数据，分析师都需要能够快速有效的搜索。

翻译

在某些情况下，区域分析师可能会提供源文档的手动翻译，但对于处理来自世界各地的信息的大多数企业来说，这通常是不够的。虽然机器翻译并不完美，但它通常会提供足够的价值，让分析师找到感兴趣的项目。如有必要，可以请专家进行更准确的翻译。

扩展行

为一条信息提供额外的元数据很重要。比如一个域名地址需要解析为IP地址，需要提取WHOIS注册数据。谷歌分析跟踪代码应该交叉引用，以发现使用相同代码的其他网站。该过程应自动执行，以便尽快向分析师提供相关数据。

过滤

不是所有的数据都有相同的价值，分析师被无休止的无关数据流淹没了。该算法可以过滤掉已知的无用信息，突出最有用、最相关的数据。

优先级

收集的数据可能需要排序，以便分析师可以将资源分配给最重要的项目。分析时间非常宝贵，要把精力放在正确获取智能产品的最大利润上。

可视化

数据可视化效果显著。虽然许多分析师经常害怕供应商混乱的仪表板内容，但根据分析师的需求设计可视化，而不是营销和高管认为看起来不错的东西，可以帮助减少认知负荷。

花时间处理数据可以有效地实现和提高未来的情报工作。

分析

像科学一样分析艺术，尝试回答“方向”阶段确定的问题。在情报分析过程中，我们对收集的数据和其他可用数据进行表征，并评估其意义和影响。未来的影响往往是在这里预测的。分析方法有很多，但最常见的是用分析模型来评价和构造信息。除了预设的模型之外，分析师还可以开发自己的模型，使用他们特定的数据集或解释信息的方法。

分析阶段的目标是回答在智力周期的“方向”阶段确定的问题。回答的类型取决于问题的性质。在某些情况下，分析可能会以报告的形式生成新的情报产品，也可能简单到回答“是或否”，最常见的情况是输出可信的值。在分析的开始，理解最终的输出形式是很重要的。

分析不是一门完美的科学，往往是在信息不完全的情况下进行的。对于分析师来说，识别并清楚地解释他们分析中的任何信息差距是很重要的。这使得决策者能够认识到分析中的潜在盲点，并且还可以促进收集过程来识别新的来源，从而缩小这一差距。如果差距过大，分析师认为用目前的信息无法完成分析，可能需要回到收集阶段，收集其他数据。在这种情况下，与其最终提供有缺陷的分析，不如推迟分析。

需要强调的是，所有的情报分析都是手工完成的。如果是自动化的话，其实就是一种处理，是情报周期的关键一步，而不是真正的分析。

范围

在这个阶段，我们已经产生了真正的智慧:在“方向”阶段提出的问题已经得到了回答。不与相关受益者分享的答案，举报是没有用的。在大量文献记载的故障信息中，分析真实有效，但在传递阶段却失去了链条。信息内容必须以相关受益者认为最有用的形式分享，因此传播取决于受众。如果这个产品是针对高管的，重要的是要考虑内容的长度和措辞。如果它的目标是在技术系统中实现，它可能需要符合特定供应商的编程格式。无论如何，情报最终必须由相关受益人使用。

反馈

经常被遗忘的反馈阶段是继续情报工作的关键。反馈阶段，我们问生成的智能是否符合问题的方向。最后只有两个结果:

成功

如果情报过程回答了这个问题，循环可能就结束了。但在很多情况下，成功的情报过程会导致新问题的出现，或者根据答案采取的行动需要更多的情报。

失败

在某些情况下，情报过程会失败。此时反馈阶段要重点确定没有正确回答问题的原因。在下一个“方向”阶段，要特别注意解决这次失败的原因。这通常是由于“方向”阶段的结构性错误，目标范围没有界定好；或者因为“收集”阶段不完整，无法收集到足够的数据来回答问题；或者不正确的“分析”不能从现有数据中提供准确的答案。

3.智能循环的应用案例

我们来考虑一下如何利用智力周期去了解一个新的对手。

“我听说过这个威胁组织。我们对此了解多少？”这是CISO最常问的问题之一。CISO想知道这个具有威胁性的组织的能力和意图的基本情况，有时它知道具体组织的相关评估。在这种情况下，情报流程应该如何进行？这是一个例子，它介绍了情报循环的每一步，以满足CISO的需要:

方向

方向来自一个重要的相关受益者:CISO。“我们对X威胁组织了解多少？”寻求的正确答案是目标列表。

收藏

从原始来源出发，很可能是新闻文章或者报道。这些文档通常提供一些上下文来开始收集。如果有IOC抓取指标，请通过进一步的关联，尽可能深入的探究它们。数据来源可参考国际奥委会的特征、TTP情报或其他附加分析报告。

处理

这个过程非常依赖于企业的工作流程。把收集到的所有信息集中到最有效的地方，有点像把所有信息放在一个文档里。在实践中，可能有必要将所有信息导入分析框架。

分析

面对收集到的信息，分析师将尝试回答以下关键问题:

这些攻击者的目标是什么？

他们通常使用什么策略和工具？

防御者如何检测这些工具或策略？

这些攻击者是谁？虽然这个问题一直存在，但不一定值得花时间回答。)

传播

对于有特定需求方的智能产品，简单的电子邮件即可满足。虽然在某些情况下限制智力产品的传播范围是合理的，但主动与他人分享的真实产品总是会产生更大的价值。

反馈

关键问题是:CISO对结果满意吗？是否造成其他问题？这些反馈能帮助结束循环并开始一系列可能的新循环吗？

智力周期是一个通用的模型，可以回答大大小小的问题。但要注意的是，以上步骤并不会自动产生好的智力，下面我们讨论智力的质量。

第四，有质量信息

情报质量主要取决于两个方面:收集来源和分析。很多时候，在网络威胁情报中，数据无法处理是因为我们没有收集自己的数据，所以了解这些信息对我们来说非常重要。当我们生成自己的智能时，我们也需要确保理解数据源并解决分析中的偏差。为了确保产生高质量的信息，应该考虑以下几点:

收集方法

重要的是要知道信息是从事件或调查中收集的，还是从自动收集系统中收集的。虽然没有必要知道收集的确切细节，有些供应商更愿意对他们的来源保密，但我们仍然可以在不影响收集来源的情况下对数据源有一个基本的了解。关于如何收集信息，你知道的细节越多，你对这些信息的分析就越好。比如，知道数据来自蜜罐是一件好事，但最好知道它来自一个用来监控远程Web管理工具蛮力攻击的蜜罐。

收集日期

大多数收集的网络威胁数据很容易过时，这些数据的使用寿命从几分钟到几个月甚至几年不等，但总有一个生命周期。了解何时收集数据可以帮助维权者了解如何采取行动。当你不知道什么时候收集数据时，很难正确分析或使用任何数据。

语境

收集方法和日期可以在一定程度上为数据提供上下文。可用的上下文越多，分析就越容易。上下文可以包括其他细节，例如与信息相关的特定活动和信息片段之间的关系。

分析和解决偏见

所有的分析师都是有偏差的，所以识别和消除这些偏差，让分析师不受影响地分析它们，是智力质量的一个关键部分。分析师要尽量避免几个偏见:一个是确认偏见，试图找出可以支持之前结论的信息；另一种是锚定偏差，这导致分析师过于关注单一信息，而忽略了许多其他可能的有价值信息。

V.智力水平

到目前为止，我们研究的智能模型侧重于通过某种分析渠道实现信息的逻辑流动。就像事件分析一样，这种方法不是建模信息的唯一方法。我们可以从不同层面思考情报的抽象概念，从高度具体到作战支援到非常一般。当我们观察这些智力水平时，请记住，这个模型代表了一个连续的光谱，其间有灰色区域，而不是离散的孤立点。

1、战术情报

战术情报是支持安全操作和事件响应的低级和过时的信息。战术情报客户包括安全运营中心分析师和计算机事件响应小组调查人员。在军事上，这种信息支持小团队的行动。在网络威胁情报中，这通常包括国际奥委会的特征和观察报告，如描述对手如何部署特定能力的高粒度TTP。战术情报使防御者能够直接对威胁做出反应。

战术情报的一个例子是与新发现的漏洞相关的国际奥委会特征。这些战术IOC包括用于漏洞扫描和检测的IP地址、由域名托管的恶意软件、以及在利用和安装恶意软件的过程中生成的各种基于主机的组件。

2.操作信息

军事上，作战情报在战术情报的基础上进一步加强。这些信息支持后勤工作，并分析地形和天气对大型作业的影响。在CTI中，通常包括与动作相关的信息和高阶TTP内容。它还可能包括有关指定威胁组织的特征、能力和意图的信息。这是很多分析师理解的难点之一，因为有时候介于一般战术情报和具体战略情报之间。工作情报的客户包括高级数字取证和事件响应分析师和其他CTI团队。

回顾上述利用战术情报的例子，工作情报将包括利用攻击的影响，无论是定向的还是广泛传播的，谁是目标攻击的目标，恶意软件安装的目的是什么，以及黑客组织执行攻击的任何细节。了解这些细节可以支持后续信息的生成，如其他可能的威胁以及威胁的严重程度，从而帮助维权者制定应急预案。

3.战略情报

在军事上，战略情报涉及国家和政策层面的信息。在网络威胁情报中，我们认为它可以支持高级经理和董事会在风险评估、资源分配和组织战略方面做出正式决策。这些信息包括威胁企业的情况、动机和分类。

在前面的示例中，战略情报将包括关于攻击者动机的信息，特别是在攻击活动中有新的或未知的威胁时，以及关于可能需要更高级别的响应的新战术或攻击目标的信息，例如需要制定新的安全策略或涉及安全架构的更改。

不及物动词可信度

如前所述，智力通常有不同的相关置信度。这些置信度反映了分析师对信息正确性和准确性的信任。对于某些类型的数据，这种置信度可以用数字来测量，并使用传统的统计方法来计算。在其他情况下，信心评估由分析师直接提供。确定两个重要方面的置信度非常重要:对信息源的置信度和对分析师结论的置信度。

描述信源可靠性的常用方法是FM 2-22.3中记录的“海军部代码”或“北约系统”。这里有两个维度。首先根据之前的信息对信源的可靠性进行评估，范围从A到E。第二个维度评估信息内容本身的可靠性，从1到5。这两个分数根据来源和具体内容组合成一个具体的信息。例如，具有有效信息历史的源中的已知真实信息可以被评估为B1，但是来自具有无效信息历史的源的不太可能的信息将被评估为E5。

谢尔曼·肯特被很多人称为情报分析之父。1964年，他写了一篇题为《估计概率的词汇》的文章，其中他描述了各种定性方法来描述分析师对置信水平的判断。在这篇文章中，肯特分享了他和他的团队用来分配和描述信心的图表之一，但同时他也提到，为了便于理解，图表中涉及的术语可以在保持一致性的前提下相互替换。

图4谢尔曼肯特概率估计图

七.结论

情报是事件响应的关键组成部分，许多流程可用于将情报原则集成到事件响应调查中。了解我们所依赖的情报来源很重要。我们有不同的方法来处理来自自己网络中历史事件的信息和来自外部蜜罐的信息。这两种信息都是有价值的，但应用不同。建立情报分析和反应的流行模型是OODA循环和情报循环。