9、顺丰集团：威胁情报应用实践（14页）.pdf

1、威胁情报的实践应用潘盛合顺丰集团信息安全与内控处信息安全负责人定义目的应用威胁情报01.什么是威胁情报？Gartner（2014）：一种基于证据的知识，包含场景、机制、指标、影响和可操作建议。描述了现存的、或即将出现针对资产的威胁或危险，并可以用于通知主体针对相关威胁或危险采取某种响应。013月1日，发现某团伙使用*IP、*工具对我司会员系统进行攻击场景02在*处没有进行*验证导致攻击者可以对此进行攻击机制03对业务系统进行长达3个小时的攻击指标04影响了该系统的可用性影响05建议将其IP封禁后及时修复这方面的漏洞可操作建议02.使用威胁情报的目的？除企业内部信息外，引入外部威胁情报可降低自身

2、风险不确定性减少不确定性基于外部数据，建模预测内部潜在威胁预测潜在威胁通过对外部威胁，内部潜在威胁评估作出进一步安全决策支撑安全决策03.威胁情报的应用情报集市场景应用情报运行问题探讨方法尝试情报集市传统安全业务安全IP代理库恶意软件手机小号被执行状态企业存续国家专利查询IP位置恶意DNS失信名单工商信息SOOPAT专利手机黑卡IP真人度诉讼信息竞争对手招聘数据恶意URL外卖手机IP信誉欠税数据业务产品经营数据漏洞情报手机归属地防护响应预测检测场景应用传统安全风险评估威胁预测基线调整系统加固隔离系统攻击防护异常检测事件风险评估事件缓解修复矫正策略变更事件调查场景应用业务安全招聘准入员工流失人资线月结风险代收风险采购风险财务线营销活动同业竞争市场线供应商风险快件欺诈营运线承运商风险车辆风险运力线情报运行月结准入员工准入车辆准入快件欺诈恶意邮件信息泄露恶意程序情报检测聚合分析订阅分发告警检索溯源取证情报管理威胁检测威胁检测情报来源安全大数据平台流量镜像业务操作分析结果威胁告警溯源请求数据输入问题探讨场景匹配度低情报更新频率情报合法合规情报质量不一方法尝试多家交叉验证丰富场景数据隐私脱敏加密加快更新频率.畅想未来-“四更”更广情报范围更低情报花费更快检测威胁更好响应事件