威脅信息，英文為T(mén)hreat Intelligence(TI)，即威脅情報(bào)的別稱(chēng)。面對(duì)日益嚴(yán)峻的網(wǎng)絡(luò)空間安全威脅，研究網(wǎng)絡(luò)安全威脅信息有助于企業(yè)更好“知己”“知彼”，了解自身的網(wǎng)絡(luò)安全脆弱點(diǎn)，掌握已知、未知的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)點(diǎn)，不斷提升自身在實(shí)戰(zhàn)中的檢測(cè)與響應(yīng)能力，筑牢網(wǎng)絡(luò)安全防御城墻。

　　日前，中國(guó)信息通信研究院安全研究所聯(lián)合北京微步在線(xiàn)科技有限公司共同研究編制了《2020年網(wǎng)絡(luò)安全威脅信息研究報(bào)告(2021年)》。報(bào)告分為威脅信息產(chǎn)業(yè)研究、2020年威脅研究、行業(yè)落地研究和產(chǎn)業(yè)發(fā)展探討等四個(gè)方面內(nèi)容，同時(shí)，報(bào)告包含了七大關(guān)鍵點(diǎn)。

　　關(guān)鍵點(diǎn)一：快速理解“威脅信息”

　　網(wǎng)絡(luò)安全威脅信息的研究對(duì)象是“威脅”，包含已知的和即將出現(xiàn)的未知網(wǎng)絡(luò)威脅。綜合國(guó)內(nèi)外相關(guān)研究，報(bào)告歸納分析了多方定義后認(rèn)為，網(wǎng)絡(luò)安全威脅信息的核心內(nèi)涵如下:

　　第一，網(wǎng)絡(luò)安全威脅信息來(lái)源于對(duì)既往網(wǎng)絡(luò)安全威脅的研究、歸納、總結(jié)，并作用于已知網(wǎng)絡(luò)威脅或即將出現(xiàn)的未知網(wǎng)絡(luò)威脅;

　　第二，網(wǎng)絡(luò)安全威脅信息的價(jià)值是為受相關(guān)網(wǎng)絡(luò)威脅影響的企業(yè)或?qū)ο筇峁┛蓹C(jī)讀或人讀的戰(zhàn)術(shù)戰(zhàn)略信息并輔助其決策，因此網(wǎng)絡(luò)安全威脅信息需要包含背景、機(jī)制、指標(biāo)等能夠輔助決策的各項(xiàng)內(nèi)容。

　　簡(jiǎn)而言之，網(wǎng)絡(luò)安全威脅信息是為研究網(wǎng)絡(luò)威脅而提取出的、用于發(fā)現(xiàn)威脅、認(rèn)識(shí)威脅、追蹤威脅的信息數(shù)據(jù)。

　　關(guān)鍵點(diǎn)二：威脅信息用于網(wǎng)絡(luò)安全防護(hù)時(shí)有哪些優(yōu)勢(shì)?

　　根據(jù)PPDR安全防護(hù)模型理論，威脅信息的網(wǎng)絡(luò)安全防護(hù)優(yōu)勢(shì)主要體現(xiàn)在如下幾個(gè)方面:

　　(1)檢測(cè)方面:網(wǎng)絡(luò)安全威脅信息能輔助用戶(hù)對(duì)相關(guān)資產(chǎn)、風(fēng)險(xiǎn)、攻擊面進(jìn)行排查，從而讓用戶(hù)快速了解網(wǎng)絡(luò)當(dāng)前受攻擊情況。

　　(2)防御方面:采取主動(dòng)防御措施，對(duì)網(wǎng)絡(luò)威脅進(jìn)行精準(zhǔn)打擊。威脅信息提供的惡意IP地址、域名/網(wǎng)站、惡意軟件hash值等失陷指標(biāo)(Indicators of Compromise，IOC)能夠直接用于網(wǎng)絡(luò)安全系統(tǒng)和設(shè)備進(jìn)行防護(hù)。

　　(3)響應(yīng)方面:網(wǎng)絡(luò)安全威脅信息能夠幫助提供更完善的安全事件響應(yīng)方案。

　　(4)預(yù)測(cè)方面:構(gòu)建安全預(yù)警機(jī)制，不斷收集有關(guān)新型網(wǎng)絡(luò)威脅的信息數(shù)據(jù)，根據(jù)當(dāng)前網(wǎng)絡(luò)環(huán)境的薄弱環(huán)節(jié)有效預(yù)測(cè)可能的威脅，以幫助企業(yè)更好地應(yīng)對(duì)未知威脅。

　　綜上，網(wǎng)絡(luò)安全威脅信息的使用將有效提升報(bào)警準(zhǔn)確性，降低無(wú)效報(bào)警數(shù)量，極大減輕安全運(yùn)營(yíng)人員工作壓力，使其聚焦于真實(shí)威脅，提升工作效率，對(duì)政府部門(mén)、企事業(yè)單位、社會(huì)組織等用戶(hù)機(jī)構(gòu)的網(wǎng)絡(luò)安全建設(shè)和運(yùn)營(yíng)具有重要意義。

　　關(guān)鍵點(diǎn)三：威脅信息的價(jià)值體現(xiàn)在哪些方面?

　　經(jīng)過(guò)多方研究，網(wǎng)絡(luò)安全威脅信息目前主要應(yīng)用于企業(yè)網(wǎng)絡(luò)安全防護(hù)、公共安全防護(hù)、國(guó)家安全防護(hù)等領(lǐng)域，相應(yīng)的應(yīng)用價(jià)值主要體現(xiàn)在提升企業(yè)主動(dòng)防御能力、助力打擊網(wǎng)絡(luò)犯罪行為、保護(hù)國(guó)家網(wǎng)絡(luò)空間安全三個(gè)方面。

　　首先，威脅信息能夠提升企業(yè)對(duì)網(wǎng)絡(luò)威脅的感知能力，讓企業(yè)的安全防護(hù)由被動(dòng)轉(zhuǎn)向主動(dòng)。

　　其次，威脅信息能實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)犯罪的調(diào)查分析和記錄留存，網(wǎng)絡(luò)犯罪的信息共享、防范和預(yù)警，能有效打擊網(wǎng)絡(luò)犯罪、改善網(wǎng)絡(luò)環(huán)境，助力維護(hù)網(wǎng)絡(luò)空間的公共安全。

　　最后，威脅信息能輔助指導(dǎo)相關(guān)行業(yè)的網(wǎng)絡(luò)安全防護(hù)工作，從而保障各行業(yè)關(guān)鍵基礎(chǔ)設(shè)施安全性、核心數(shù)據(jù)安全性和核心業(yè)務(wù)連續(xù)性，從而保護(hù)國(guó)家安全。

　　關(guān)鍵點(diǎn)四：2020年國(guó)內(nèi)外網(wǎng)絡(luò)威脅態(tài)勢(shì)如何?

　　經(jīng)過(guò)一整年的觀測(cè)，2020年國(guó)內(nèi)外網(wǎng)絡(luò)安全態(tài)勢(shì)較以往更為嚴(yán)峻。在PC端一直都有活躍表現(xiàn)的勒索軟件在2020年全年呈激增態(tài)勢(shì)，并造成嚴(yán)重危害。勒索軟件開(kāi)始利用基于暗網(wǎng)的云基礎(chǔ)設(shè)施進(jìn)行數(shù)據(jù)的分批次泄露，以此威脅被勒索組織，迫使其盡快交付贖金;隨著世界范圍內(nèi)移動(dòng)設(shè)備感染率的上升，IoT設(shè)備被感染的可能性也大大增加;黑客對(duì)供應(yīng)鏈、VPN、漏洞等常見(jiàn)攻擊面的興趣仍然在持續(xù)，并且開(kāi)始出現(xiàn)偽裝成Zoom、Slack等通訊工具客戶(hù)端進(jìn)行攻擊的現(xiàn)象;此外，黑客及黑產(chǎn)組織仍然在暗網(wǎng)上持續(xù)活動(dòng)，并被監(jiān)測(cè)到存在利用暗網(wǎng)買(mǎi)賣(mài)泄露數(shù)據(jù)、云基礎(chǔ)設(shè)施等行為;在2020年，被曝光的APT攻擊事件有數(shù)百起，40余個(gè)國(guó)家和地區(qū)遭受了不同程度的APT攻擊。

　　此外，2020年的新冠肺炎疫情對(duì)網(wǎng)絡(luò)環(huán)境也產(chǎn)生了一定影響，尤其在網(wǎng)絡(luò)攻擊方面，與新冠肺炎疫情相關(guān)的攻擊數(shù)量大幅度上升，攻擊手段更加多樣，醫(yī)療行業(yè)受此影響較大，移動(dòng)辦公相關(guān)的信息基礎(chǔ)設(shè)施和遠(yuǎn)程通訊工具是受攻擊重災(zāi)區(qū)，新冠肺炎疫情及冠狀病毒相關(guān)的話(huà)題成為攻擊者偏好的誘餌。

　　關(guān)鍵點(diǎn)五：本報(bào)告中威脅信息的重點(diǎn)落地方向有哪些?

　　立足我國(guó)具體國(guó)情和網(wǎng)絡(luò)安全需求，目前國(guó)內(nèi)威脅信息應(yīng)用落地有以下幾個(gè)方向可供參考:

　　一是結(jié)合檢測(cè)技術(shù)。在安全產(chǎn)品研發(fā)階段，將威脅信息與流量分析、終端檢測(cè)技術(shù)相結(jié)合，落地為基于網(wǎng)絡(luò)安全威脅信息的檢測(cè)響應(yīng)類(lèi)產(chǎn)品，部署在用戶(hù)機(jī)構(gòu)對(duì)應(yīng)的網(wǎng)絡(luò)環(huán)境中。

　　二是建立共享機(jī)制。對(duì)于分支部門(mén)較多的用戶(hù)機(jī)構(gòu)，建立本地威脅信息管理平臺(tái)，構(gòu)建網(wǎng)絡(luò)威脅信息庫(kù)和威脅信息共享機(jī)制，提高網(wǎng)絡(luò)威脅挖掘研發(fā)和應(yīng)用能力。

　　三是聯(lián)動(dòng)安全設(shè)備。聯(lián)動(dòng)其他網(wǎng)絡(luò)安全設(shè)備，如IDS/防火墻、日志大數(shù)據(jù)平臺(tái)等，與現(xiàn)有處置知識(shí)庫(kù)與工單系統(tǒng)構(gòu)建閉環(huán)處置流程，提升用戶(hù)機(jī)構(gòu)網(wǎng)絡(luò)安全的整體檢測(cè)響應(yīng)能力。

　　關(guān)鍵點(diǎn)六：本報(bào)告中威脅信息的重點(diǎn)落地行業(yè)有哪些?

　　威脅信息的落地行業(yè)非常廣泛，金融、互聯(lián)網(wǎng)、智能制造、政府事業(yè)單位、地產(chǎn)、醫(yī)療、教育等行業(yè)都有不同程度的覆蓋。本報(bào)告提供了工業(yè)和信息化相關(guān)行業(yè)中頭部代表性企業(yè)中的落地應(yīng)用案例，最終中國(guó)信通院選入了電子信息制造商、基礎(chǔ)電信企業(yè)、網(wǎng)絡(luò)視頻平臺(tái)和云計(jì)算服務(wù)商共4個(gè)典型應(yīng)用案例。

　　在這些案例中，威脅信息或與防火墻、大數(shù)據(jù)平臺(tái)、ELK日志系統(tǒng)等企業(yè)網(wǎng)絡(luò)安全系統(tǒng)、設(shè)備有效聯(lián)動(dòng)，或賦能威脅感知設(shè)備，發(fā)現(xiàn)內(nèi)部威脅、檢測(cè)外部威脅、識(shí)別資產(chǎn)風(fēng)險(xiǎn)，展現(xiàn)了威脅信息盤(pán)活企業(yè)網(wǎng)絡(luò)安全運(yùn)營(yíng)的良好效果，提升了案例中企業(yè)整體網(wǎng)絡(luò)安全水平。

　　關(guān)鍵點(diǎn)七：政企單位接下來(lái)需如何推動(dòng)威脅信息落地發(fā)展?

　　《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《關(guān)基條例》等法律法規(guī)的陸續(xù)出臺(tái)，進(jìn)一步明確了網(wǎng)絡(luò)安全對(duì)于國(guó)家安全的重要性，彰顯了我國(guó)守護(hù)網(wǎng)絡(luò)空間安全的決心。隨著等保2.0對(duì)信息系統(tǒng)網(wǎng)絡(luò)安全威脅信息能力提出具體明確要求，威脅信息建設(shè)勢(shì)在必行。中國(guó)信通院認(rèn)為，政府部門(mén)、企事業(yè)單位、社會(huì)組織等機(jī)構(gòu)作為威脅信息的最終用戶(hù)，要強(qiáng)化安全主體責(zé)任意識(shí)，完善安全性自我評(píng)估制度，健全內(nèi)部安全防御體系。

　　一是政策和市場(chǎng)雙驅(qū)動(dòng)。用戶(hù)機(jī)構(gòu)根據(jù)自身業(yè)務(wù)實(shí)際需求和面臨的主要安全威脅，對(duì)照國(guó)家政策法規(guī)、標(biāo)準(zhǔn)等相關(guān)要求明確網(wǎng)絡(luò)安全建設(shè)目標(biāo)、重點(diǎn)內(nèi)容和保障措施，結(jié)合網(wǎng)絡(luò)安全威脅信息的覆蓋度、準(zhǔn)確度、可用性、可擴(kuò)展性和專(zhuān)業(yè)度等多方面因素綜合評(píng)估產(chǎn)品性能，政策合規(guī)和市場(chǎng)需求雙輪驅(qū)動(dòng)，規(guī)劃設(shè)計(jì)可落地的網(wǎng)絡(luò)安全防御體系構(gòu)建方案。

　　二是嚴(yán)格規(guī)范威脅信息選用標(biāo)準(zhǔn)。網(wǎng)絡(luò)安全威脅信息源選擇方面，堅(jiān)持威脅信息數(shù)量與質(zhì)量并重，保障信息豐富全面的同時(shí)，避免大量低置信度信息淹沒(méi)嚴(yán)重安全事件;多源威脅信息選擇方面，提升不同來(lái)源威脅信息的差異性，通過(guò)網(wǎng)絡(luò)威脅信息管理系統(tǒng)整合多源威脅信息，優(yōu)化威脅信息準(zhǔn)確性和覆蓋面。

　　三是融入安全體系加快落地部署。應(yīng)加快推進(jìn)威脅信息體系落地部署，充分利用已有安全能力，聯(lián)動(dòng)已有安全系統(tǒng)和設(shè)備，將事件響應(yīng)、自動(dòng)化編排與威脅信息系統(tǒng)進(jìn)行結(jié)合，切實(shí)將威脅信息能力融入現(xiàn)有安全架構(gòu)中，建設(shè)威脅信息檢測(cè)系統(tǒng)、威脅信息庫(kù)、威脅信息本地管理平臺(tái)、威脅信息在線(xiàn)查詢(xún)平臺(tái)等系統(tǒng)，充分利用威脅信息改善安全運(yùn)營(yíng)工作，筑牢網(wǎng)絡(luò)安全防御體系。