360威胁情报中心：社交是开源威胁情报生态的重要保障

“
和普通黑产团伙活动不一样，APT的本质特征不在于他的手段，而在于它的定向性，咬住关键目标从不松口。其活动体现出长期性，如果攻击方有高超的技术手段能轻易得手当然最好，但即便当前的入侵能力不足也会长期蹲点伺机行动，防守方的防御体系再完善，只要黑客抓住了漏洞爆发的空窗期，就很有可能攻击得手。
”

360威胁情报中心汪列军在威胁情报生态大会道出了他对APT活动的理解。

图 360威胁情报中心汪列军在威胁情报生态大会做演讲

面对层出不穷的APT攻击，要做到知己知彼谈何容易，而借助威胁情报则是最行之有效的手段之一。在这个业内首度聚焦威胁情报生态的活动上，汪列军分享了如何利用开源威胁情报来分析APT活动的实践。

开源威胁情报的四大来源
关于威胁情报，Gartner做了如下定义：威胁情报是某种基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于对这些威胁或危害进行响应的相关决策提供信息支持。

但所谓的信息、知识、情报、智慧，它们的概念其实非常模糊。1945年，美国人爆炸成功了世界上首颗原子弹，这是一条非常简单的信息，但同时也是一条非常重要的战略级情报。汪列军认为，在我们的实际工作过程中，所有的一切跟威胁相关的信息、数据、知识都可以认为是泛化的情报。

为了扩充威胁情报的丰富度，除了购买商用威胁情报外，合理地利用开源威胁情报同样十分重要。

汪列军表示，开源威胁情报主要来源于四个方面：
第一，各个安全厂商和研究机构、媒体发布的APT的报告，例如卡巴斯基、Fortinet还有国内的360威胁情报中心都经常会发布此类报告；
第二，推特等社交媒体，尽管社交媒体能够传递的信息十分有限，但却非常及时；
第三，数据feed，提供一些结构化的数据信息；
第四，信息平台，可以提供整合后的威胁元素查询。
APT分析的四个步骤
在获取大量的开源信息之后，最重要的就是对这些信息的处理。同样，汪列军梳理了四个步骤，分别是：

第一步，线索提取。我们会基于STIX等模型工具，在对开源威胁情报进行基本的分类之后，提取其中关键的威胁元素，然后进行结构化处理，分析出APT组织的名称、目标以及TTP（战术、技术和过程）等结果。

第二步，关联拓展。在获得关键的线索之后，我们会根据已知线索，由点及面，推断得出更多的线索。

第三步，TTP分析。在得到更加全面的线索之后，我们需要根据这些线索，分析出攻击者到底使用了什么样的攻击手法，是水坑攻击还是鱼叉攻击，利用了什么样的漏洞，植入恶意文件之后如何进行横向扩展等等，从而得出攻击者使用的战术、技术和完整的攻击过程。

第四步，背景研判。在背景研判阶段，我们需要做的就是基于我们分析得到的线索，结合已知的APT活动，分析判断出APT活动到底隶属于哪个APT组织，如果是未知的组织又有怎样的特点。

汪列军举了个例子。国外某研究机构在推特上社交媒体上披露了两个疑似海莲花的诱导文档。360威胁情报中心经过对该文档的恶意宏代码等特征分析完毕之后，可以确认这是一个海莲花团伙的样本。
威胁情报的社交
关于开源威胁情报的生态，汪列军特别提到了一点：To be social，威胁情报的社交，即以社交媒体等手段为基础，打造开源威胁情报的共享交换渠道。

汪列军表示，如果机构发布的内容很有价值，在国外的社交媒体上（如推特）就可以得到大家的认可，但在国内的社交媒体上，无论是转发、点赞还是内容讨论质量，与国外都有一定的差距。汪列军希望大家可以一起努力，搭建起威胁情报的社交机制，可以推动开源威胁情报的快速流转。
来源 360企业安全

黄金法则

现在人只会用社交软件

城市守护者

赞一下