如何评估安全威胁情报对企业的价值 (1)

DJ的札记 2015-03-16

近来谈安全威胁情报的厂商越来越多,都在标榜海量独有漏洞、恶意软件、攻击网络等信息,但这些情报真的对企业有用吗?参加过几次交流后,笔者最近不禁总是在想,如果站在企业购买决策的角度上看,如何评估安全威胁情报的价值?什么样的情报产品才是企业需要的?


是的,现实情况很严峻:大多数企业没有足够的人员、时间、资金、和精力来应对威胁。企业安全投入资源有限,而有组织的专业黑客总是可能会领先几步。层出不穷的数据泄漏事件对企业声誉和财务的影响十分恶劣。因此,威胁情报在频繁受到攻击的高风险的重点行业大企业中,作用是显而易见可以预期的。


但是,盲目上马安全威胁情报并不可取。企业可以投资购买世界上最好的情报信息,部署最好的技术来抵御威胁,然而其信息系统仍有可能受安全管理程序错过的简单漏洞的影响。因此,要有意识地忽略部分厂商的夸夸其谈,要明白在基本信息安全体系不完整的情形下,安全威胁情报作用十分有限。即使企业已经积累了较完善的安全系统部署,也应谨慎评估威胁情报的价值,选取最适合自身特点和需求的产品和服务。


笔者简单分析和总结了用于评估威胁情报服务价值的五个方面:关联性行动性预测性及时性、和商业价值,分几次与大家分享讨论。



1、关联性


适合自己的才是最好的。一个互联网金融公司订阅大量工控机漏洞和针对重工业的C&C;服务器IP列表能有帮助吗?一个本土民用汽车制造企业搞个栩栩如生的全球动态攻击3D可视化展现能有帮助吗?放弃那些好高骛远的市场推广忽悠吧。明确企业自身需要面对的实质威胁是什么,询问并调研厂商是否拥有对应解决方案才是正途。例如,零售企业应该重点购买有关盗取信用卡的黑客组织的情报,而不应该收集致力于瘫痪核基础设施的黑客网络的信息。


企业应询问厂商威胁情报数据的确切来源,从互联网上收集的未经过分类和验证的漏洞和攻击足迹等毫无用处。针对这种情报“Garbage in, garbage out”就是最贴切的描述。错误的情报有概率阻断正常业务的开展!情报提供厂商至少要能够先清洗垃圾,确保情报的准确与有效。厂商把全网流量和攻击分析给企业又有什么用处呢,CISO没有打掉C&C;网络的能力和义务,管理层也不会允许这种四处树敌且没有任何回报的行为。既然企业资源有限,就更应该购买具有直接关联性的情报,否则光情报处理就需要单独组团队。如果威胁情报是从相同行业的可比公司中采集的,CISO无需犹豫应立即决策购买,因为这些情报对企业防御攻击的价值是无法估量的。


此外,虽然APT攻击周期长且手法复杂,利用威胁情报间的相互关联,可以挖掘出多种潜在攻击方式,但往往企业并不具备这样的分析能力和员工,堆砌海量情报可能会适得其反,造成情报利用率不够。因此,安全负责人最好首先从业务需求角度出发进行梳理,明确首要面对的威胁,再寻找能提供此类情报的厂商。例如,拥有大量客户信息的企业,隐私保护是头等重要的业务需求,亟须获取数据泄漏相关的威胁情报,这不仅仅节约大量的用户时间和精力,更有利于取得早期成功,利于向管理层争取大规模推广的机会。当然,在分享威胁情报时,厂商也应隐去客户信息,这也是美国刚刚通过的Cybersecurity Information Sharing Act中的重要组成部分。



下次继续聊“行动性”、“预测性”等对评估安全威胁情报的意义。



高质量原创信息安全文章,关注新技术和大趋势,请关注本公众号DJ_notes


本站仅按申请收录文章,版权归原作者所有
如若侵权,请联系本站删除
觉得不错,分享给更多人看到