媒介
很多企业应用 SIEM 来收集日记数据，并将安然事宜与多类安然设备(入侵检摆设备、Web应用防火墙等)日记相接洽关系，指导安然人员进行风险处理。然而 SIEM 也存在局限，监控人员往往被吞没在海量的告警之中无大年夜下手，原因之一就是对于威逼的告警没有处理的根据，例如缺乏经验的监控人员很难剖断一条安然事宜告警是扫描照样针对性进击引起的(平日后者须要更多存眷)。而经由过程借助于威逼谍报，可为监控人员供给处理根据，也可为安然人员在进行日记分析和进击溯源时供给有力赞助。
在本文中，来自证通股份有限公司的安然治理团队证通白帽子，将基于 Splunk，介绍威逼谍报在甲方安然运维中的应用。
威逼谍报库的萌芽应用了 Splunk 的 lookup 敕令，经由过程给 lookup 敕令传递一个萌芽值大年夜而获得对应的萌芽结不雅。
什么是威逼谍报
根据Gartner的定义，威逼谍报是指基于必定常识的证据，已经存在或正在形成的潜在威逼，比如，高低文、机制、指标、意义以及可实施的建议，应用这些，可以赞助当事人形成应对这些危险的决定计划。
针对进击者的威逼谍报应当包含以下要点：
体系架构
在我们公司，Splunk 重要被用来收集各类安然设备、操作体系、应用体系日记，大年夜而实现安然监控、安然告警、数据分析的需求。
安然设备经由过程 Syslog 发送，其孑遗放于操作体系文件体系中的日记经由过程在客户端操作体系安装 Splunk Forwarder 实现日记收集。
须要留意的是——威逼谍报数据的用量平日是有限制的(如按月计量)，是以我们安排了前置体系作为本地威逼谍报库，用以缓存萌芽结不雅，还顺带实现了专供内部应用的 Web 交互萌芽界面，后来竽暌怪顺路实现了威逼汗青信息的记录，所有产生过告警的威逼都邑被记录，并且可被愫系关系搜刮。如下图所示：
(威逼谍报分析界面图，威逼谍报数据来自微步在线ThreatBook API)
跟着威逼谍报数据的应用，我们逐渐信赖了数据的精确度，并开端研究威逼IP主动阻断筹划。因为在收集扶植时并没有这个需求，是以我们的重要目标是逐个寻找收集中是否有串联设备支撑经由过程调用 API 的方法来达到 IP 阻断的目标，最终我们在一台抗 DDoS 设备中发清楚明了这个功能，并按照手册请求的数据格局实现了接口调用。
体系架构示意图如下：
技巧要点
日记字段的提取是最基本也是最重要的步调，后续所有的工作都是基于精确的日记字段提取之上。
我们为此前所有邮攀来源竽暌剐关的告警都添加了威逼谍报信息，监控、安然人员在第一时光即可大年夜致评估事宜的严重性。
初期经由过程日记字段提取后在 Splunk 实现了根本的报表和告警。然而正如媒介所述，我们很快就被告警吞没，无论若何调剂告警阈值都无法令人知足，于是开端寻找解决筹划，经由过程一系列的选型比较，我们最终决定引仁攀来自微步在线(ThreatBook)的第三方安然谍报数据，以API情势与 Splunk 整合。
Splunk 供给了傻瓜式的字段提取功能，只要展开随便率性事宜，点击“事宜操作”，选择“提取字段”即可进行提取，提取完成后可主动生成正则表达式。
对于一些比较复杂的日记格局，应用 Splunk 的主动化提取可能就力不大年夜心了(又或许你对主动生成的┞俘则表达式嗤之以鼻)，我们可以手写正则表达式，并在“设置-字段-字段提取”中保存。
图：Splunk 的字段提取
对于临时应用的需求，也可以在搜刮中应用 rex 敕令对事宜应用正则表达式：
- ... | rex field=some_field "(?<capture_name>.*)"
对于一些以键值对情势输出的日记，可经由过程 extract 敕令进行提取，十分便利：
- ... | extract kvdelim="=" pairdelim=";"
威逼谍报库萌芽
lookup 的典范应用处景之一是根据日记中的 IP 地址来查找对应的资产：因为日记中不包含资产信息，而我们又欲望经由过程 IP 地址快速定位到相干资产信息，此时就可以建立一张资产表，上传至 Splunk，在“设置-查找”完成设备后，即可经由过程 lookup 敕令进行搜刮。
推荐阅读
【51CTO.com原创稿件】物联网、主动驾驶、VR\AR、长途医疗等皆属当下备受注目标新兴技巧，大年夜众已经听过太多关于它们那些令人高兴的模仿将来竽暌功用处景，但真正的落地实用我们却鲜有>>>详细阅读
本文标题：威胁情报在甲方安全运维中的应用
地址：http://www.17bianji.com/lsqh/35973.html
1/2 1
网友点评
精彩导读
科技快报
品牌展示