新基建”是近期社會(huì )最為關(guān)注的話(huà)題，它包括了以5G、工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、車(chē)聯(lián)網(wǎng)、人工智能、云計算等科技領(lǐng)域的國家數字化基礎設施建設，對信息化安全保障的需求進(jìn)一步加大，這不僅是網(wǎng)絡(luò )安全產(chǎn)業(yè)的機遇，更是對網(wǎng)絡(luò )安全技術(shù)、產(chǎn)品、方案的創(chuàng )新提出了新的挑戰。

就新技術(shù)而言，威脅情報無(wú)疑是近年來(lái)網(wǎng)絡(luò )安全一個(gè)炙手可熱的領(lǐng)域，連續幾年的RSA大會(huì )，威脅情報都位于熱詞榜之列。隨著(zhù)移動(dòng)互聯(lián)網(wǎng)發(fā)展起來(lái)的威脅情報，已經(jīng)在很多行業(yè)得到廣泛應用，SOC、流量檢測、態(tài)勢感知，甚至DNS防護都能和威脅情報緊密結合。威脅情報為這些傳統的安全產(chǎn)品賦能，讓它們變得更加精準和主動(dòng)。

全面轉向ToB的騰訊，在威脅情報方面也開(kāi)始輸出自己的能力。騰訊御見(jiàn)威脅情報中心，是一個(gè)涵蓋全球多維數據的情報分析、威脅預警分析平臺。作為騰訊威脅情報團隊的安全專(zhuān)家，譚昱向記者介紹了威脅情報的核心原理、應用價(jià)值，以及騰訊在威脅情報領(lǐng)域的優(yōu)勢所在。

為什么需要威脅情報？

互聯(lián)網(wǎng)新技術(shù)新應用的發(fā)展，使得新的安全隱患不斷產(chǎn)生。一方面，企業(yè)缺乏專(zhuān)業(yè)的安全技術(shù)人員，另一方面，在網(wǎng)絡(luò )邊界日益模糊的今天，各種傳統的安全防御設施已經(jīng)顯得越來(lái)越被動(dòng)，尤其是安全風(fēng)險的快速變化，使得企業(yè)的防御體系基本上滯后于新型攻擊的演變。

面對以上問(wèn)題，譚昱表示，多變的安全風(fēng)險無(wú)法只依靠安全人員的人力來(lái)應對，很多企業(yè)被海量的無(wú)效安全告警所淹沒(méi)，運營(yíng)人員疲于奔命，難以發(fā)現真正有威脅的問(wèn)題；同時(shí)企業(yè)的安全體系日益龐雜，告警方式也不統一，安全人員難以把握整體的安全態(tài)勢。對企業(yè)來(lái)說(shuō)，威脅情報是專(zhuān)門(mén)為安全體系量身打造的一套工具，讓企業(yè)可以及時(shí)發(fā)現高風(fēng)險，及時(shí)響應，查缺補漏。威脅情報的應用，就是通過(guò)對敵方的最新情報，及其動(dòng)機、企圖和方法進(jìn)行收集、分析和傳播，幫助各個(gè)層面的安全和業(yè)務(wù)成員保護企業(yè)關(guān)鍵資產(chǎn)。

譚昱表示，通過(guò)威脅情報，專(zhuān)業(yè)的安全人員可以實(shí)現以下積極的防御效果：

——采取積極地措施，而不是只能采取被動(dòng)地措施，可以建立計劃來(lái)打擊當前和未來(lái)的威脅；

——形成并組織一個(gè)安全預警機制，在攻擊到達前就已經(jīng)知曉；

——幫助提供更完善的安全事件響應方案；

——使用網(wǎng)絡(luò )情報源來(lái)得到安全技術(shù)的最新進(jìn)展，以阻止新出現的威脅；

——對相關(guān)的危險進(jìn)行調查，擁有更好的風(fēng)險投資和收益分析；

——尋找惡意IP地址、域名/網(wǎng)站、惡意軟件hash值、受害領(lǐng)域。

在產(chǎn)業(yè)互聯(lián)網(wǎng)時(shí)代，尤其是“新基建”所帶來(lái)的數字化基建浪潮，威脅情報將在企業(yè)數字化轉型的安全保障中發(fā)揮著(zhù)越來(lái)越重要的作用。

有了威脅情報，如何用好更為關(guān)鍵。

Gartner的《全球威脅情報市場(chǎng)指南》提出了威脅情報的五個(gè)維度：覆蓋度、準確度、可執行性、可擴展性和專(zhuān)業(yè)化程度。譚昱認為，其中有兩個(gè)關(guān)鍵點(diǎn)很重要：除了準確性和覆蓋度外，威脅情報的關(guān)聯(lián)信息要明晰，例如威脅情報對應的病毒團伙的組織名稱(chēng)，活躍時(shí)間，基礎設備，主要攻擊方向等。其次，威脅情報的具體應用場(chǎng)景，是與WAF相結合，還是零信任體系、數據安全等場(chǎng)景。

威脅情報本質(zhì)上是一種數據知識，單獨使用價(jià)值并不明顯，需要和傳統的安全防護體系結合起來(lái)才有價(jià)值，起到“畫(huà)龍點(diǎn)睛”的作用。對此，譚昱做了一個(gè)比喻：如果把企業(yè)看成一個(gè)城堡，傳統的安全防護體系就是拱衛城堡的城墻，是一個(gè)被動(dòng)的防御體系，而威脅情報就是衛兵，他們與城墻相結合，才能發(fā)揮出防御體系的最大價(jià)值，做到全方位的防護。

顯然，威脅情報是企業(yè)可信任的風(fēng)險依據，可以讓企業(yè)據此做出及時(shí)正確的決策。從更高的維度來(lái)看，威脅情報不僅能解決具體問(wèn)題，還能幫企業(yè)制定整體安全策略是給予指導。

譚昱表示，威脅情報的作用有三方面。首先是最基礎的部分，威脅情報將防御體系所需要檢測的信息，例如域名、IP信息等，提供給防火墻、WAF等安全產(chǎn)品，直接起到攔截和防護的作用。

其次，針對企業(yè)內部已經(jīng)發(fā)現的威脅，可以借助威脅情報，利用分析系統進(jìn)行溯源和分析，找到攻擊者所屬的組織，攻擊的入侵路徑和方法，以及最終的影響，將分析結果提供給企業(yè)安全運營(yíng)團隊來(lái)進(jìn)行評估和決策，及時(shí)調整防護策略，讓整體防御體系更加安全。

最后，戰略級的威脅情報，可以幫助企業(yè)對當前的安全態(tài)勢進(jìn)行分析：目前存在哪些安全隱患，未來(lái)可能會(huì )發(fā)生哪些安全風(fēng)險，通過(guò)這些信息，來(lái)指引企業(yè)的整體安全規劃和決策。

近年來(lái)，生產(chǎn)和消費威脅情報的組織都在逐年增加，騰訊安全選擇在此時(shí)對外輸出威脅情報能力，顯然對此有著(zhù)充分的準備和信心。

譚昱表示，依托于騰訊威脅情報生產(chǎn)團隊的快速收集和響應，企業(yè)用戶(hù)可以通過(guò)升級或者云端的方式同步獲取最新的威脅情報，大幅提高企業(yè)用戶(hù)對安全威脅的響應速度，提高攻擊者的攻擊難度，從而保護企業(yè)的數據安全、核心資產(chǎn)安全、辦公環(huán)境安全等。

一個(gè)有效、及時(shí)的威脅情報的產(chǎn)生并不簡(jiǎn)單。譚昱介紹，這里存在三大難點(diǎn)：要有充足的、海量的數據，要有強大的數據處理能力，還必須要有一個(gè)了解整個(gè)安全行業(yè)的專(zhuān)業(yè)團隊。而騰訊通過(guò)長(cháng)期運營(yíng)，已經(jīng)有了成熟的數據收集系統，在嚴格的隱私保護協(xié)議下，每天可以收集到2萬(wàn)億以上的系統日志數據，所有數據進(jìn)行脫敏處理后，通過(guò)騰訊的安全大腦大數據處理平臺將數據快速處理，最后通過(guò)有豐富經(jīng)驗的運營(yíng)團隊，將其轉化為有價(jià)值的威脅情報，輸出給用戶(hù)。
譚昱強調，威脅情報不僅要保證準確性和時(shí)效性，還要保證其可用性。在情報生產(chǎn)過(guò)程中，運營(yíng)團隊就會(huì )對情報進(jìn)行深入分析，提供如攻擊方向、威脅等級、所屬團隊等更多信息，幫助用戶(hù)確定情報在自身安全體系中的適用場(chǎng)景。同時(shí)，騰訊御見(jiàn)威脅情報中心還會(huì )幫助用戶(hù)進(jìn)行一個(gè)持續的跟蹤和產(chǎn)品的交付，保證用戶(hù)在使用過(guò)程中符合開(kāi)始設定的預期目標，根據反饋的問(wèn)題實(shí)時(shí)幫助用戶(hù)做調整和部署，從而讓威脅情報的價(jià)值真正地發(fā)揮，達到應有的效果。

作為一種彌補攻防信息不對稱(chēng)的安全新技術(shù)，威脅情報在企業(yè)安全體系中的權重正在不斷上升。當然，我們不能把威脅情報看成能解決所有安全風(fēng)險的“銀彈”技術(shù)，但結合具體應用場(chǎng)景，靈活運用好威脅情報的特性，其對傳統安全產(chǎn)品的賦能，以及對用戶(hù)現有安全防御體系的提升，在當下還是其他技術(shù)無(wú)法比擬的。

來(lái)源：中國信息安全