什么是威胁情报？

威胁情报或网络威胁情报 (CTI) 是一门学科，涉及收集、分析和传播有关企业和个人当前和新兴数字安全威胁的信息。威胁情报可深入剖析整个网络安全威胁形势，包括多种类型的勒索软件、恶意软件、钓鱼攻击、高级持久威胁 (APT)、拒绝服务攻击，软件漏洞利用和漏洞、内部威胁、零日漏洞、供应链攻击和僵尸网络等威胁。

威胁情报是缩小攻击面和部署多层网络安全防御措施的关键部分。它可以帮助企业了解威胁的风险，并帮助安全团队预测、识别和抵御网络攻击，避免其发生。

威胁情报基于从各种来源收集的信息。

• 开源情报 (OSINT) 是可用于识别新兴威胁的公开数据。
• 暗网论坛和网站是攻击者购买和出售用于网络攻击的数据、代码和工具的地方，并讨论新近发现的漏洞。监控这些网站可以帮助企业识别他们接下来可能面临的威胁。
• 表网上的社交媒体网站也是监控攻击者活动的富有成效的来源。
• 入侵指标 (IOC) 是恶意 URL、IP 地址和恶意软件签名等内容，它们可以告知安全解决方案在监控流量和活动时应注意的迹象。
• 事件报告和日志提供了对过去攻击、潜在漏洞和潜在可疑活动的见解。

在用于生成威胁情报的原始数据收集完成后，网络安全专家会对该信息进行分析，他们会利用机器学习和自动化技术，确保这些信息具有相关性和可操作性。这一过程对于识别实际威胁，丢弃误报，避免分散安全团队注意力并导致告警疲劳至关重要。在分析威胁的背景以及所收集信息的可信性和可靠性后，就可以将威胁情报分发给企业和安全团队，以便为决策制定和网络安全策略提供依据。

网络攻击可能会导致企业运营瘫痪、声誉受损、生产力下降、关键知识产权泄露，并导致错失商机和数百万美元的损失。威胁情报在抵御网络威胁方面发挥着至关重要的作用。

• 主动的安全态势：威胁情报可帮助企业维护强大的威胁管理计划和主动的安全态势。威胁情报可帮助团队改善 DNS 安全性、增强勒索软件防护措施、防范漏洞利用并保护 API 端点。随着网络威胁的演变，威胁情报使安全团队及其企业能够提前几步应对新兴攻击媒介，而不是在攻击发生后简单地做出响应。
• 更出色的态势感知：威胁情报工具使安全团队能够更深入地了解当前的网络威胁形势以及攻击者使用的手段、技术和程序 (TTP)。
• 增强的事件响应：由于无法抵御每次攻击，企业必须制定卓越的事件响应计划，以帮助快速识别威胁、加快补救速度、充分减少可能造成的损害，并使数据和系统尽快恢复在线状态。
• 风险管理得到改进：威胁情报帮助企业领导者围绕风险管理制定更明确的策略。
• 监管合规性得到提高：威胁情报计划可以帮助企业确保遵守监管框架，这些框架要求实施一定程度的安全保护和准备措施。
• 更明智的安全计划：威胁情报服务使企业能够根据最有可能影响其 IT 环境的威胁，量身定制安全措施。卓越的情报有助于确定安全控制措施的优先级，指导事件响应计划，并明确威胁搜寻活动的目的。
• 明智的投资：高管、董事会、CISO 和 CIO 等利益相关者和决策者依靠威胁情报作为指导，制定有关安全解决方案的投资决策。

威胁情报通过各种渠道传播。

• 威胁情报平台实时汇总情报并将其分发给利益相关者和安全运营中心 (SOC)。威胁情报平台可以管理情报的生命周期，并提供对企业至关重要的威胁、漏洞和 IOC 的统一视图。威胁情报平台通常提供用于筛选情报和确定情报优先级的工具，以确保安全团队获得最相关的数据。通过与 SIEM（安全信息和事件管理）、EDR（端点检测和响应）和防火墙等其他安全系统集成，该平台确保企业中的每个人都能访问及时和全面的威胁信息。
• 网络安全专家发布的电子邮件告警和公告可针对关键漏洞或持续攻击，提供有关最新情报的实用见解。
• 自动威胁情报源可以直接为安全工具和系统提供输入数据。通过利用威胁数据源，企业能实时更新检测方法和对新兴威胁作出响应。
• Web 门户网站和仪表板提供了用于查看实时威胁情报的界面。仪表板通常可自定义，使安全团队能够重点关注与其企业需求最匹配的情报类型。
• 安全分析师编写的报告和白皮书提供了深入的情报，可帮助安全团队了解复杂的威胁并制定长期策略。

威胁情报分为四个主要类别。

• 战术威胁情报侧重于威胁的即时技术指标。恶意软件签名和恶意 IP 地址等指标可以帮助安全团队配置防火墙、端点保护和其他安全解决方案。
• 运营威胁情报通过揭示网络攻击和恶意活动以及攻击者所使用 TTP 的细节，为制定事件响应计划提供实用信息。
• 战略威胁情报提供对网络威胁形势的深入剖析，为长期决策制定和风险管理提供宝贵见解。
• 技术威胁情报提供有关正在进行的攻击的具体证据。这可能包括电子邮件内容和网络钓鱼活动、命令和控制服务器的 IP 地址，或 IT 环境中媒体上发现、来自已知恶意软件的代码。

Akamai 安全情报组是一支全球化团队，涵盖精研多个安全学科、具备广博专业技术底蕴的卓越人才，包括研究人员、工程师、策略师和数据科学家。通过庞大的 Akamai Connected Cloud、开源界的分享、第三方协作以及暗网相关情报，我们得以搜集到丰富的数据。我们还开发了自研算法与工具，借此开展研究并及时更新 Akamai 安全解决方案。