13、网络安全威胁溯源与实时捕获策略解析

网络安全威胁溯源与实时捕获策略解析

1. 威胁溯源的挑战与重要性

在网络安全领域，将威胁归因于特定对手或来源是一项极具挑战性的任务。威胁溯源是指通过对可观察证据的评估，来识别网络空间中的行为者。这些证据形式多样，包括威胁行为者的行为模式、使用的工具、战术、能力、动机等，它们为安全事件的响应提供了有价值的背景信息。

然而，网络环境的固有匿名性使得溯源工作异常困难。即使追踪到攻击的源头计算机和物理地址，也很难验证攻击者的真实身份。攻击者会利用隧道、VPN、加密技术和租用的基础设施来隐藏自己，甚至会远程控制外国机器发动攻击。此外，一些威胁组织会故意留下误导性的工具或证据，导致错误的溯源结果。例如，美国、俄罗斯和朝鲜据报道曾修改或复制网络工具中的代码段、字符串、基础设施和工件，以造成错误的归因。

不过，同样的机制也为识别威胁提供了有力手段。内存转储、磁盘映像、注册表、缓存、网络捕获、日志等数据，以及信号情报（SIGINT）、网络情报（CYBINT）、开源情报（OSINT）和人力情报（HUMINT）等，都有助于进行威胁溯源。但这些能力通常需要保密，以免被攻击者利用来逃避检测。

2. 处理威胁溯源的方法

• 摆脱认知偏差 ：每个人的思维都存在漏洞，我们应反思自己的认知偏差和错误逻辑。可以通过构建案例研究，回顾以往的错误判断，找出失误并思考如何提高分析能力。这可以从小事做起，如做逻辑谜题、填字游戏和脑筋急转弯，也可以深入研究心理学文章和书籍，学习结构化的分析技术。
• 建立溯源能力 ：组织应检查可用的数据来源、系统、知识和控制措施，以影响溯源工作