18、网络安全威胁情报与蓝队协作：保障信息安全的关键要素

网络安全威胁情报与蓝队协作：保障信息安全的关键要素

1. 威胁情报的两步走策略

1.1 威胁情报概述

威胁情报旨在理解各类威胁，并助力领导层做出明智的安全决策。它并非仅关注新型威胁或与国家相关的威胁行为者，还包括深入了解针对组织基础设施、控制措施和检测机制的简单攻击，并有效防御这些攻击。

1.2 简化威胁情报工作

许多组织对威胁情报团队设定了不切实际的期望，实际上应保持简单。具体分为两步：
- 第一步：理解自身角色
- 人员层面 ：威胁情报的核心是人。抛开昂贵的安全工具和团队，其关键在于与其他公司的情报分析师和安全专业人员建立关系。对于小企业而言，则是与其他小企业主建立联系，分享攻击者策略。
- 流程层面 ：威胁情报可帮助组织根据自身的威胁态势对威胁和攻击技术进行优先级排序。紫队凭借威胁情报，对具有攻击组织意图、能力和机会的威胁进行优先级排序，涵盖从勒索软件、电子犯罪到与国家相关的行为者等。
- 技术层面 ：威胁情报不仅依赖公开的威胁行为者报告，组织还可综合利用内部攻击数据、行业垂直攻击数据、共享组数据、公开的威胁行为者报告、开源情报等。了解组织特定攻击的一个良好开端是查看电子邮件攻击数据，包括被阻止和已交付的攻击活动。

• 第二步：解决他人问题
  • 利益相关者 ：威胁情报不局限于 MITRE ATT&CK，并非所有威胁情报