九游老哥云
洞见RSA 2021｜网络威胁狩猎——回归“兴趣”
2021-05-27
威胁狩猎的历程就像网络天下中的“科学探索”，狩猎乐成前需要举行大宗繁杂的剖析使命，例如重大的数据盘问、大宗手工数据关联等。这些繁琐的操作不但影响效率，也降低了清静职员的战斗力。在2021年RSA大会上，来自IBM研究员提出了全新的威胁狩猎工具，可以有用降低狩猎历程中的繁琐事情，使狩猎重新聚焦到其创立性和令人兴奋的部分，实现兴趣回归。
一、威胁狩猎的痛点
“威胁狩猎”指接纳人工剖析和机械辅助的要领，针对网络和数据举行自动搜索、关联和剖析，从而检测出逃避现有清静防御步伐的高级一连性威胁（APT）。威胁狩猎历程中，清静职员主要思索息争决两大类问题：
怎样狩猎？
例如“怎样从EDR盘问数据”、“怎么提取数据字段”、“怎样增补线索的上下文信息”、“怎样使用机械学习模子”等。
狩猎什么？
例如“怎样建设假设”、“怎样基于假设举行剖析”、“需要哪些威胁情报数据加入剖析”、“哪种机械学习模子合适剖析”等。
目今威胁狩猎的痛点在于：“怎样狩猎”所破费的时间远超“狩猎什么”，但后者才是创立价值的重点。清静职员将太多时间铺张在阅读种种EDR的API盘问接口上，而无法聚焦到对威胁狩猎更有价值的威胁假设和攻击情节剖析部分。
二、推荐“狩猎编程语言”-Kestrel
研究职员推荐了一个全新的开源项目“Kestrel”，可以降低清静职员在“怎样狩猎”上的投入，将精神聚焦到威胁狩猎上。为了实现这个目的，Kestrel扑面向威胁狩猎的编程语言举行了界说，可资助使用者更高效的举行狩猎。
为资助使用者将目的聚焦在狩猎上，Kestrel编程语言在设计理念上接纳了利便狩猎目的形貌的语法，有助于对狩猎目的实体举行体现。
三、推荐规范化数据名堂-STIX
数据的标准化、规范化是威胁狩猎有用举行的要害，只有接纳规范的数据名堂才华从差别系统网络到统一的数据举行狩猎。来自IBM的研究职员推荐接纳国际威胁情报标准STIX举行数据体现和共享。
为实现清静数据在差别系统之间直接的清静共享，IBM提出了Security Connect的看法，其焦点手艺之一是 STIX-Shifter 工程。该工程使用STIX(结构化威胁信息表达Structured Threat Information eXpression )举行清静共享威胁信息。在该工程中，STIX-Shifter能坚持从所有 IBM Security 产品和各第三方产品中收到的数据的一致性。通过提供统一个通用API的通用服务，IBM现在可以跨恣意数据源盘问数据，无论数据源是产品照旧存储客栈，并收获同样的数据投入到剖析和搜索中。
四、怎样构建威胁狩猎场景
研究员分享了怎样基于免费工具举行威胁狩猎情形搭建的案例。案例中团结黑客攻击的路径，使用Sysmon、Sysflow、SIEM等软件工具平台，划分在攻击者的垂纶邮件投递、横向移动、C&C联络通讯、数据会见、数据渗透等历程举行数据监测和网络。网络到的数据经由规范化处置惩罚后，提供为威胁狩猎平台。最终清静职员可以在威胁狩猎平台上使用Kestrel举行威胁狩猎的剖析。
五、总结与解读
威胁狩猎进入实战应用阶段后，怎样在现实操作历程中提升清静职员的狩猎效率是业内体贴的问题。IBM研究职员推出的计划可以成为企业举行威胁狩猎的选项之一，该计划有许多亮点：
1、狩猎计划接纳开源/免费软件举行搭建，搭建本钱降低；
2、狩猎场景基于黑客攻击历程举行狩猎点设计和安排，在系统化建设威胁狩猎思绪方面值得参考；
3、新推出的狩猎工具/语言Kestrel可以大幅提升溯源效率，让清静职员脱离苦海。
Kestrel可以资助清静职员降低异构数据信息获取、繁琐基础操作等方面的开销，但仍是人工狩猎操作。接下来，怎样基于攻击线索的自动关联尽可能实现威胁狩猎的自动化有望成为新的手艺偏向。
