Press "Enter" to skip to content

威胁狩猎发展研究及政策建议

本站内容均来自兴趣收集,如不慎侵害的您的相关权益,请留言告知,我们将尽快删除.谢谢.

摘自:《网络安全技术和产业动态》2022年第3期,总第21期。

 

威胁狩猎(Threat Hunting)是指借助威胁数据、分析技术和专家经验,主动搜索、识别网络中未知威胁的过程,其核心思想是假设存在威胁,并开展主动和持续的搜索发现,以缩短发现攻击者踪迹所需时间和提高响应处置能力。

 

威胁狩猎是一个持续性、闭环的主动防御过程。狩猎团队基于网络中的异常情况,以安全假设作为狩猎的起点,借助工具、分析技术和攻击框架展开调查发现新的TTP(战术、技术和过程,Tactics Techniques Procedures,是描述APT组织及其攻击的重要指标)。除触发事件响应外,威胁狩猎会将新的TTP添加到分析平台或者安全管理平台。每一次威胁狩猎活动都可以拓展其发现能力,进而使得狩猎能够发现更广泛更多样的攻击。

 

01
发展情况

 

随着网络攻击技术的演进,攻击者不断更新武器库,使用无文件攻击、高级持续性威胁(Advanced Persistent Threat,APT)攻击等手段绕过现有的防御体系,进行隐秘攻击。未知威胁具有攻击手段多、驻留时间长、检测难度高等特点。网络攻击者也趋于组织化、军事化,攻击技术趋于专业化、武器化,攻击动机趋于经济化、政治化。

 

传统的安全解决方案是先部署安全防护设备,后根据报警信息进行分析和处置,这种方案能够比较好地防御已知攻击,但是对于未知威胁、甚至已经入侵成功并在系统中驻留的攻击缺乏有效发现手段。因此,防御者只有从以往的被动响应转向主动发现,通过不断学习攻击者的攻击手段,主动分析查找入侵痕迹,才能缩短攻击者的驻留时间,最大程度的减少攻击者对组织的危害。

 

2011年,时任通用电气计算机事故响应小组(General Electric Computer Incident Response Team,GE-CIRT)总监Richard提出需要使用一种基于主动检测和响应的创新方法来应对未知威胁,即威胁狩猎。该方法由安全专家组织狩猎团队,通过数据和自动化分析寻找攻击者踪迹,并将其纳入分析流程中。威胁狩猎提出后引起行业浓厚兴趣,尽管在威胁狩猎的定义、目的等方面存在不同的观点,但行业内基本认同威胁狩猎是一种基于假设、验证和测试,寻找未知威胁的迭代安全分析方法。

 

目前,威胁狩猎已形成一些方法论和理论框架,相关机构/公司已推出体系化的威胁狩猎工具集、平台和服务,如MITRE、JPCERT/CC和Sqrrl等机构/公司创建了狩猎方法及相应的狩猎平台。此外,活跃的开源社区提供了能够拓展开发的初步体系架构,包括:Splunk App Threat Hunting和HELK为代表的开源威胁狩猎平台,Kestrel为代表的威胁狩猎编程语言,以及其他数据收集、分析和威胁模拟工具。

 

威胁狩猎活动由“假设”所驱动,并且是针对具体特定目标进行的,这种假设有三种来源:数据分析、关键资产分析和情报分析。从实施角度看,一次威胁狩猎过程可划为六个步骤:

 

1.目的确认,明确狩猎的目的和预期的结果;

 

2.范围确认,明确目标、数据、技术手段和假设用例;

 

3.技术准备,明确数据、产品和威胁情报的使用;

 

4.计划审查,评审2、3步工作内容;

 

5.执行阶段,利用攻击工具和技术,明确攻击者TTP;

 

6.反馈阶段,明确不足,推动狩猎标准化、程序化。

 

为帮助组织机构建设和评价自身的威胁狩猎能力,Sqrrl的首席威胁猎人(David J. Bianco)提出了威胁狩猎成熟度模型(Hunting Maturity Model)。该模型将组织机构的狩猎能力分为五个层级:

 

1.起步级:围绕IDS、SIEM等自动报警系统开展,但不主动的收集数据;

 

2.基础级:有一定的威胁情报处理和数据收集能力;

 

3.程序级:能依据别人的狩猎模型开展数据采集和分析,能判断出简单的恶意行为或活动;

 

4.创新级:具备制定威胁狩猎模型和数据采集、分析过程的能力,能开展高级数据分析、数据可视化以及机器学习等工作;

 

5.领先级:能在创新级的基础上实现自动化改进现有数据分析方法,具备高水平的数据自动化收集能力。

 

尽管威胁狩猎是安全行业新兴主题,但超过88%的组织认同“威胁狩猎应该是顶级安全方案”(根据Cybersecurity Insiders《2021 Threat Hunting Report》披露的数据)。威胁狩猎具备威胁发现能力优势:SIEM提供基础的安全信息与安全事件的日常性操作与管理能力;SOAR提供日常性操作与管理基础上的安全编排与自动化以及响应能力;威胁狩猎则提供针对某一特定威胁的深度挖掘和识别能力。

 

目前,国内厂商也正在积极提供威胁狩猎的产品和服务,也出现了利用威胁狩猎方法识别出未知威胁的案例。

 

02
发展难点

 

自动化程度是衡量威胁狩猎成熟度的标准,也是影响狩猎效果和执行效率的决定因素,从手工狩猎演进到自动化狩猎是安全团队面临的挑战。威胁狩猎是主动安全防御的建设重点,开展威胁狩猎活动的三要素是人员(猎人)、流程(狩猎的步骤)、技术和工具(产品和服务),存在以下发展难点:

 

一是威胁猎人稀缺,培养难度大。威胁猎人无论在组织内部还是外部的安全厂商都是稀缺资源,而国内的威胁狩猎处于起步阶段,通用的自动化流程和分析模型积累不够,不足以建立一套完善的威胁狩猎引导程序配合培训工作,以提高威胁猎人的培养效率。

 

二是威胁狩猎流程自动化能力不足。机器学习技术能够帮助威胁狩猎发挥重要作用,但目前机器学习在威胁狩猎上的应用尚不成熟,缺乏流程自动化能力,而具备流程自动化能力是威胁狩猎能力成熟的重要标志。

 

三是高效的数据收集方法缺乏。开展威胁狩猎活动需要海量数据驱动,而目前的数据收集来源繁杂,无效数据多,数据存储位置、格式不统一,对威胁狩猎工具造成了极大的性能负担,大大降低了威胁狩猎的效率。

 

03
产业落地情况

 

落地到产品和服务,威胁狩猎目前主要围绕三类产品和服务开展:SIEM(Security Information Event Management,安全信息与事件管理平台)类产品、终端安全类产品、MDR(Managed Detection and Response,托管检测和响应服务)类产品。

 

(一)国外产业情况

 

1.SIEM类产品

 

SIEM厂商往往以威胁狩猎作为下一代SIEM的主要功能之一,其中的代表有IBM、Splunk、Logrhythm、Securonix、Exabeam等,主要特点是基于大数据能力,结合威胁情报,再通过可视化工具完成威胁狩猎。

 

2.终端安全类产品

 

鉴于终端是威胁高发地和攻击的最终落脚点,基于终端安全类产品的威胁狩猎将成为主流,代表厂商有Crowdstrike、Cylance、Cybereason、Carbon Black、Endgame、SentinelOne等。

 

3.MDR类产品

 

提供威胁狩猎产品的厂商基本都提供MDR服务,以Red Canary为例,基于Carbon Black产品,提供终端数据收集、建立假设、狩猎验证、用例开发、威胁检测、验证等服务。

 

(二)国内产业情况

 

在国内,青藤云安全、亚信安全等公司已上市终端安全类的威胁狩猎产品,以终端安全产品为基础,映射ATT&CK框架,来检测零日漏洞和主动识别潜在威胁。此外,绿盟科技、默安科技等推出了基于高交互式蜜罐产品结合专家服务,采用欺骗防御技术,对攻击威胁进行诱捕,以实现攻击者画像和攻击溯源。目前,国内暂无成熟的SIEM和MDR类的威胁狩猎产品和服务。

 

04
意见和建议

 

目前,威胁狩猎被业内认为是最有效的主动防御解决方案之一,可以提高用户应对未知威胁的能力,但由于威胁狩猎的准确性和即时性取决于数据的来源和质量,只有具备足够的攻击信息和数据积累,才能实现自动化分析的高成熟度狩猎过程。建议从以下几方面推动威胁狩猎产品落地和应用推广:

 

一是加强人才队伍建设。威胁狩猎对人员综合能力要求较高,需具备威胁情报、安全分析、数据科学和安全运营等相关技术经验,还需熟悉组织内部相关系统、工具、流程等管理知识。应鼓励安全机构开展网络安全分析人才培养,并逐步建立一套全面的威胁狩猎实操培训课程,提高威胁猎人培训效率。

 

二是抓紧制订威胁狩猎成熟度评估规范和实施指南。可以预见,威胁狩猎成熟度不仅是衡量组织安全能力的重要指标,也能够引导组织进一步做好安全防护工作。制订相关评估规范和实施指南可以大力推动威胁狩猎的落地和发展,从而有效提高行业整体安全水平。

 

三是加强数据收集能力建设。加快制定和应用威胁数据格式规范,分层分级建设威胁情报共享平台。统一格式的日志和事件信息有利于进行威胁狩猎数据收集、共享和使用,可以提高威胁狩猎效率和质量,也有利于产业的协同发展。

 

中国网络安全产业联盟(CCIA)主办,北京升鑫网络科技有限公司供稿。

 

声明:本文来自CCIA网安产业联盟,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请留言。

Be First to Comment

发表评论

您的电子邮箱地址不会被公开。