以网络威胁情报构建威胁驱动型网络安全体系
摘要
本白皮书指出，许多企业难以从传统的网络威胁情报项目中获得切实价值，主要问题包括情报缺乏可操作性、海量数据未经优先级排序、需求定义模糊不清等。同时，网络犯罪生态的快速商业化、生成式人工智能（GenAI）的兴起、地缘政治紧张局势的升级等因素，使得以情报驱动安全防护变得愈发紧迫。白皮书提供了一套切实可行的路线图，帮助企业新建或强化现代化的威胁情报体系，指导企业从零散、合规导向的做法转向真正系统化、以威胁为核心的防御策略。
核心观点
- 威胁态势与网络犯罪生态系统：网络犯罪生态快速演变，形成成熟“产业”，攻击团伙、战术和恶意软件变种层出不穷。有效情报团队需深入剖析黑产供应链和攻击实施路径。
- 信息窃取型恶意软件：该类恶意软件迅速崛起，成为企业安全团队面临的主要挑战之一，导致大量身份信息泄露。
- 高效威胁情报的最佳实践：建立一套整合性方法，包括制定优先情报需求（PIRs）、将不同类型的威胁情报与关键业务目标挂钩、广泛征询利益相关方意见，并将情报转化为可执行的行动。
- 优先情报需求（PIRs）：高质量的PIRs需根植于企业独特的威胁模型、风险管理策略和整体业务目标，并覆盖战略型、战术型、运营和技术型四大类型。
- 不同类型的威胁情报：
- 战略威胁情报：为企业领导者提供对整体威胁态势的洞察，为长期业务战略、风险管理优先事项以及投资决策提供依据。
- 战术威胁情报：将攻击者的战术、技术与过程（TTPs）转化为近期可执行的防御措施，指导对安全控制措施、业务流程和员工行为进行切实改进。
- 运营威胁情报：基于与特定组织资产相关的威胁情报，指导安全运营和事件响应。
- 技术威胁情报：由机器可读或接近机器可读的工件组成，可直接集成到安全工具中，用于丰富遥测数据、指导威胁狩猎，并自动阻断恶意活动。
- 推动企业各层级利益相关方参与：积极与各相关方沟通协作，对项目的成功至关重要。制定PIRs和实施威胁情报项目的过程中，需要充分考虑更广泛的业务背景。
- 案例研究：某银行计划进军东南亚市场，其安全团队围绕四大情报类型——战略、战术、运营和技术——制定针对性的PIRs，以防范账户接管攻击。
- 对管理层级的向上和向下沟通策略：针对董事会、非技术高管、总监与技术管理者等不同层级，采用不同的沟通方式和内容。
- 引入置信度评估：借鉴美国情报界（U.S.IntelligenceCommunity）的最佳实践，明确标注高、中、低置信度，提升情报可信度与决策质量。
- 威胁情报项目的规模化建设：构建可重复、可扩展、合规且高度自动化的体系，涉及技术选型与流程设计，更关乎法律边界、跨团队协同以及对新兴技术（如AI）的审慎应用。
- 法律与监管合规考量：威胁情报工作可能涉及法律风险，需与法务顾问保持紧密协作，确保遵守所有当地及区域的法律法规和情报相关要求。
- 技术栈与工具选型：选择合适的威胁情报平台（TIP），需基于PIRs制定需求清单，广泛征询内部团队意见，开展深入评估与概念验证（ProofofConcept，Poc），深度集成平台能力。
- 自动化作为威胁情报的核心支柱：自动化是构建高效威胁情报项目的核心要素，可显著缩短平均检测时间（MTTD）和平均响应时间（MTTR）。
- 泄露身份信息的优先级解析：通过自动化手段，对包含企业凭证的信息窃取日志（stealerlogs）进行优先级排序，利用基于规则的检测机制，根据日志所涉及域名和资产的相对风险对其进行分类。
- 基于大语言模型（LLM）的初始访问代理（IAB）分析：LLM为威胁情报团队开辟了全新的可能性，不仅能自动化数据采集，还能在大规模场景下自动完成数据上下文解析。
- 泄露凭证的验证与修复：通过与可信的威胁情报提供商建立合作关系，企业可在员工邮箱地址及凭证出现在犯罪市场或信息操作：验证泄露的凭证是否仍处于活跃状态；强制执行即时修复措施，如密码重置、强制登出或会话令牌吊销。
- 用于威胁狩猎的失陷指标（loC）情报源：采取战略性的情报源选择与集成方法，优先选用与自身威胁模型一致、且能关联到具体威胁组织的loC情报源，基于情报源可靠性、指标时效性及历史误报率，实施自动化评分机制。
- 衡量威胁情报项目的成效：当PIRs得到正确对齐时，其中便包含与企业可量化指标直接挂钩的具体关键绩效指标（KPIs），从而能够以明确的投资回报率（ROI）来衡量成效。
- 结论：威胁驱动型安全项目之所以有效，是因为它能将情报转化为决策，再将决策转化为可衡量的风险降低。要实现这一点，需要三个要素协同作用：清晰的威胁模型和结构良好的PIRs；能够规模化实现情报收集与响应的自动化能力；将成果与企业风险紧密挂钩的治理机制。
