国内厂商 SOAR 让威胁情报的效能放大 100 倍

Mark · 2022年11月03日 · 433 次阅读

背景介绍

过去几年,网络安全领域热门关键词 “SOAR” 和 “威胁情报” 备受关注。

SOAR 是 Security Orchestration Automation and Response 的缩写,直译为 “安全编排自动化与响应”,意指:借助安全排编和自动化技术,对既有安全产品、网络设备、IT 系统和 SaaS 服务等基础能力进行统筹调度;基于可视化剧本编排和调度执行引擎,开展有逻辑、有顺序的自动化流程操作,实现日常安全事件运营和突发事件处置的过程自动化。代表厂商:雾帜智能。

Threat Intelligence——威胁情报是识别和分析网络威胁的过程。“威胁情报” 一词可以指关于潜在威胁收集的数据或收集、处理和分析该数据以更好了解威胁的过程。威胁情报还包括筛选数据、根据上下文检查数据以发现问题并针对发现的问题部署解决方案。代表厂商:微步在线。

本文将讨论在安全运营实战过程中如何使用 SOAR+ 威胁情报的方式,开展更快速、更稳定和更智能的安全运营。

应用场景

有过一线安全事件运营经验的工程师一定有这样的体会:大量事件运营和处置的过程,需要持续不断丰富的信息上下文,尤其是针对 IP、域名、文件相关的特征描述、威胁标签等。至少有两大类场景是高度依赖威胁情报的:

批量识别与降噪:企业已有的 SIEM 平台初次告警往往误报率较高,需要做二次筛选获判,才能实现有效降噪

快速判断与处置:应急响应期间,针对特定域名、IP、文件进行快速处置时,往往缺少有效的上下文或背景信息,导致响应过度依赖人工,速率下降,失效不足,风险不可控制

威胁情报刚好能解决上述两个场景的问题。专业的威胁情报厂商通过及时、稳定和持续的情报信息,为安全人员提供个性化的查询服务,在事件处置过程中提供重要决策依据。

典型困难

然而,现实情况是,上述两个场景在实战落地时往往遇到巨大的挑战。这些挑战多半是因为人力不可及而导致的,包括:工作量、请求速率、二次判断、数据回传等。

首先,数量大。如果上游 SIEM 每分钟产生上百条安全告警,而这些告警里的源 IP 都需要进行威胁情报信息补充的话,就算安全工作人员有三头六臂,也不可能 7x24 小时手工查询威胁情报。

其次,频次高。安全事件监控和响应通常都有极高的 MTTD 和 MTTR 运营指标,单纯依靠人员查询,效率极其低下。一个简单的信息查询,通常包括:复制原始信息,登录情报平台,完成身份认证,查询情报信息,复制查询结果,回传告警系统,少则几十秒,多则几分钟。在实战情况下,往往各种原因导致情报查询缓慢,应急响应贻误战机。

再次:逻辑多。威胁情报查询的结果,通常不是立即使用,而是要结合情报的返回结果和应用场景进行二次判断,实现综合决策。例如:标签、历史、特征、分值、可信度、域名情报引入的 IP 情报……这些判断靠人工几乎很难标准化、自动化。

最后:操作难。所有的情报查询结果,最终都会应用到事件运营和响应过程中,通常的情报消费方包括:SIEM、SOC、工单、防火墙封禁逻辑、网络微隔离逻辑等等。数据交互的过程除了人机操作界面,绝大多数都是 API 接口,人类工程师无法直接调用。由此,导致情报查询的结果无法通过安全、高效的途径传递给其它单元。

这些实战痛点问题该如何解决呢?

SOAR 增强威胁情报的实战应用

2019 年 8 月国内首发的 AI+SOAR 产品——雾帜智能 HoneyGuide,通过虚拟作战室、AI 机器人和可视化剧本编排,帮助安全团队加速威胁响应与处置,提升运营自动化,实现安全风险自适应治理。

解决情报批量识别和降噪的问题

批量查询威胁情报,并使用情报结果,这是典型的 SIEM/SOC 安全事件分析场景的基础需求,然而此类场景的并发量大,时间周期短,是人力不可为的,挑战巨大。

关键步骤

雾帜智能 HoneyGuide SOAR + 微步在线威胁情报,可实现情报批量查询及反馈,主要流程:

安全剧本启动后,获取 SIEM(如:IBM Qradar)告警批量文件(客户提供);

剧本对 zip 文件解压缩,并拆分为 1000 个/文件;

循环处置告警文件,并从告警条目中摘取,IP、域名、URL 等;

调用微步在线威胁情报接口,查询威胁情报;

整理并聚合威胁情报查询结果;

通过 SIEM 平台 API 接口,回传给 SIEM;

还可以根据需要增加,其它判断逻辑,通过拖拽即可实现逻辑编排;

将上述安全剧本以定时器方式设置执行。

实战策略来源:某股份制商业银行、某科技金融公司、某汽车制造业公司

实战成效

通过落地上述 SOAR + 威胁情报应用的组合,客户安全事件运营效率大幅提升,主要体现在:

多!上万次的数据查询,可在数分钟内完成,无需人员手工操作;

准!情报查询效率大幅提升,反向给 SIEM 提供更高质量的情报标签,增强了威胁告警的准确率,实现了大幅降噪;

快!因为全自动实现了情报查询,大幅解放安全生产力,工程师可以投入到更需要创造力的安全场景;

稳!自动化情报查询和安全运营,将安全团队的运营能力稳定在较高的水准上,不会因为人员职位变动、请假、生病、出差等问道导致运营水平下降。

几十倍上百倍的效率提升!

解决快速判断和处置的问题

安全运营团队在应对突发事件或者重保模式下开展应急处置时,往往需要快速决策是否要立即封禁某个 IP、关停某个域名、拦截某个 URL,隔离某台主机。单凭简单的资产表格,工程师很难下定决心做出处置动作,往往还需要足够的背景知识和上下文信息,此时情报可以充当非常重要的补充。当你决定要不要封禁某个 IP 地址的时候,威胁情报信息能够给你足够的信心支持。

情报查询往往涉及到频繁的手工操作,靠工程师徒手应急响应,完全无法满足实战攻防场景下的时效要求。

关键步骤

雾帜智能 HoneyGuide SOAR + 微步在线威胁情报,可实现日常运营或者护网应急处置 IP 封禁、威胁遏制、主机隔离等场景的自动化响应,其主要流程包括:

接收安全事件输入,判断是否需要采取应急处置(人工或自动);

决策需要对 IP、域名、主机进行策略拦截,但还需要更丰富的信息;

查询对应的资产属性信息;

查询对应的威胁情报信息;

根据返回的威胁情报信息,再决策采取何种动作(如:地理位置、威胁标记、标签集合等);

调用下游安全产品进行威胁拦截 ;

在安全事件自动处置流程中引入安全剧本,或者在安全协同作战室中手工执行安全剧本。

实战策略来源:某能源行业集团公司、某国网电力公司、某大型证券行业客户、某个电信运营商客户

实战成效

通过落地上述 SOAR + 威胁情报应用的组合,安全人员原本的徒手应急响应将得到全面改观,安全事件响应的时效和水准也得到了极速提升,主要体现在:

几乎零等待地查询到需要的情报信息,无需人工登录平台手工查询;

自动和上下游能力协作,免人工参与开展自动化应急响应;

情报查询结果可以结构化使用,便于灵活定制风险决策逻辑;

极速、精准并高效低地完成安全事件应急响应,MTTR 得到实质性的保障;

分钟级甚至秒级的事件响应!

总结

目前雾帜智能 HoneyGuide SOAR 产品已经实现支持联动国内外主流威胁情报系统,包括:微步在线、腾讯威胁情报、VirusTotal、微软 SRC、奇安信威胁情报(沙箱)、Scamalytics、守望者 (watcherlab) 威胁情报 Feed 系统、alieVault 开源威胁情报等,并且还在持续扩充中。

SOAR + 威胁情报,应急响应 SOAR Easy!

雾帜智能:

雾帜智能自 2019 年成立以来始终坚持在 SOAR 领域持续创新,专注于网络安全技术和产品的自主研发为核心,秉承 “充分运用人工智能和自动化技术,为智能安全运营提供创新的技术和产品” 的企业使命,为客户提供高质量的产品和服务。同时,雾帜智能以先发产品的优势、点纵横的市场打法和持续创新的自我突破,使得公司在 SOAR 市场始终保持遥遥领先的位置。目前公司已形成了以上海为总部,覆盖北京、广州、深圳、济南、合肥杭州、武汉、成都等地的全国性服务支撑体系,并构建了强大的合作伙伴与渠道营销体系;客户已覆盖金融、运营商、能源、烟草、汽车制造等行业。

微步在线

微步成立于 2015 年,是数字时代网络安全技术创新型企业,专注于精准、高效、智能的网络威胁发现和响应,开创并引领中国威胁情报行业的发展,提供 “云 + 流量 + 端点” 全方位威胁发现和响应产品及服务,帮助客户建立全生命周期的威胁监控体系和安全响应能力。

转载声明

原文转至雾帜智能公众号:https://mp.weixin.qq.com/s?__biz=Mzg4MjI0MDAyMg==&mid=2247486223&idx=1&sn=5caca1d5b343ff80135ce0b490303e8d&chksm=cf58f476f82f7d607781a3dbb0c47effa04d39332b8cd6969e68d0f0b03299554a0a38a079eb&token=1612223125&lang=zh_CN#rd

暂无回复。
需要 登录 后方可回复, 如果你还没有账号请点击这里 注册