9、混合个人网络威胁情报共享技术解析

混合个人网络威胁情报共享技术解析

1. 相关工作概述

在网络威胁情报（CTI）共享领域，存在着多种工具、框架以及相关的加密技术和信息隐藏方法。了解这些相关工作，有助于我们更好地理解CTI共享的现状和面临的挑战。

1.1 自动化结构化网络威胁情报共享

1.1.1 CTI共享工具

市场上有多种用于CTI共享的工具，可分为手动和自动化两类。一些常见的商业工具包括ThreatConnect、Anomali、Recorded Future、Splunk、ThreatQuotient和EclecticIQ等。这些工具提供自动化工作流程、可定制的仪表盘和警报、威胁库、机器学习功能以及与其他安全工具的集成。

这里着重介绍一下开源的恶意软件信息共享平台（MISP）。它由卢森堡计算机应急响应中心（CIRCL）开发，通过各种数据源自动收集CTI，能够分析相关性和指标，并基于推拉机制在不同实例之间同步恶意软件信息。MISP还可以通过图形用户界面以图表和表格的形式展示信息。其社区采用去中心化网络组织，用户可以使用API的认证密钥在多个实例之间同步，创建连接点（节点）。

1.1.2 结构化CTI的框架

除了工具，还有一些用于结构化CTI的框架。例如，REN - ISAC的集体情报框架（CIF）将威胁情报整合，使其更易于操作，数据包含地理、DNS和ASN标签以及IP、电子邮件和URL信息，还能与入侵检测系统（IDS）工具如Snort集成。

为了组织CTI信息，需要一些命名规范，如通用平台枚举（CPE）用于一般软件，通用配置枚举（CCE）用于安全软件。Alien Vault的开放威胁交换（OTX）是一