17、从安全漏洞中学习：VERIS 框架下的数据收集与分析

从安全漏洞中学习：VERIS 框架下的数据收集与分析

1. 数据收集框架的考量

手动从流程中生成数据存在诸多陷阱，如果处理不当，可能会产生不可靠的数据，带来不少麻烦。以下是手动数据收集的一些指导原则，这些原则不仅适用于安全事件数据的收集，任何类型的手动数据收集都能从中受益。

1.1 追求客观答案

提问应旨在获取客观答案。若问题寻求观点，答案会千差万别，还可能受天气、分析师午餐等因素影响。多数情况下，问题应聚焦于可观察或可从观察中推断出的事实。例如，询问攻击中是否涉及恶意软件及其执行的功能，比询问恶意软件的先进程度要好得多。调查人员能明确回答是否使用了恶意软件，若有资源分析或能识别恶意软件，就能清楚其功能，这是确定的事实。

1.2 限制可能的答案

将可能的答案限制在简短的选项集中。若问题要求句子或描述，在数据分析中直接使用会很困难。自由文本字段可用于记录独特方面或设置上下文，但数据分析主要依赖受限列表或数字中的数据。将数据限制在一组值内，从长远来看会使分析更轻松。

1.3 允许“其他”和“未知”选项

几乎每个受限的答案列表都应允许“未知”和“其他”答案。即使问题看似简单，也总会有情况让人无法确定答案。包含“未知”选项可区分真正不知道答案和问题不适用的情况，这一细微差别可能会影响分析结果。例如，询问服务器是否虚拟化，简单的复选框无法涵盖信息不可用的情况，会导致“其他”既代表“否”又代表“我不知道”，影响后续分析。“其他”或“不适用”字段也很重要，避免列出所有选项，因为详尽列表会使数据录入变慢，只需捕获大多数常见答案，将不常见的答案归入“其他”类别和备注字段。

1.4 避免