系列文章

本系列文章共分为5篇，本文接上一篇文章，如欲了解前情，可点击以下链接进行回顾

第一篇主要为网络安全运营的驱动力以及整体架构设计

第二篇主要为组织安全运营所需具备的技术能力

第三篇主要为组织安全运营所需的人员能力

第四篇和第五篇主要为组织安全运营所需过程能力

6.3 检测

6.3.1 信息收集

信息收集是检测阶段最重要的一个步骤，结合组织部署的各类安全产品，为检测与分析生成、组织和存储数据，因此，在这个阶段采取威胁定义、量化风险、识别数据源和焦点缩小等措施塑造一个组织执行有效检测和分析的能力。

• 威胁定义

为了实现以“威胁”为中心的安全，组织必须有一定的能力来定义面临的具体威胁，定义威胁的原则是：是否对组织资产机密性、完整性和可用性有负面的影响。在进行威胁定义时，需要是识别威胁的来源，动机、能力和频率是威胁的属性，威胁来源的不同决定所涉及威胁类别的不同。威胁来源可分为人为因素和环境因素。根据威胁的动机，人为因素又可分为恶意和非恶意两种。环境因素包括自然界不可抗的因素和其它物理因素。威胁作用形式可以是对业务或信息系统直接或间接的攻击，也可能是偶发的、或蓄意的事件。

根据GB/T 20984-2007 《信息安全技术 信息安全风险评估规》中定义的威胁来源，可以根据其表现形式将威胁主要定义为以下几类，形成威胁清单：

• 量化威胁

一旦被确定潜在的威胁清单，安全运营团队需要将这些威胁进行优先级排序。实现排序的一种方法是结合威胁的动机、能力和频率，确定威胁发生的可能性等级。

威胁动机：根据业务在组织职能和发展战略中的定位、业务重要性和业务的经济价值，将威胁动机划分为五个不同的等级。

威胁能力：根据威胁来源的威胁能力，将威胁能力赋值划分为五个不同的等级。

威胁频率：需要综合考虑以往安全事件报告中出现过的威胁及其频率的统计；实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；实际环境中的监测数据发现的威胁极其频率的统计；近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计，以及发布的威胁预警。

威胁可能性等级可结合威胁发生的动机、能力、频率进行划分。

• 识别数据源

根据威胁可能性清单，对组织中的各类资产所提供的数据进行识别，包括全包捕获数据、会话数据、统计数据、包字符串数据、日志数据、告警数据等。

全包捕获数据：提供了两个端点之间的完全数据包统计。虽然全包捕获数据容量由于它的完整度可以变得十分庞大，但它的高粒度也为内容分析工作提供了非常有价值的信息。全包捕获数据可有组织部署的流量检测类安全产品提供。

会话数据：是两个网络设备之间行为的汇总，也称为会话或流。这个数据是最灵活、最有用的形式之一，而会话数据没有提供像全包捕获数据那么详细的信息，但它的小尺度使其可以保留更长的事件，在进行回顾性分析时，这是非常有价值的。会话数据可有组织部署的流量检测类安全产品提供。

统计数据：统计数据是对其他类型数据的组织、分析、解释和演示，可以采取很多不同形式，如统计值支持从一个标准偏差中检查异常，或者计算数据值用于确定两个实体之间随着事件推移的正负关系。

包字符串数据：是从全包捕获数据中导出的，以一种介于全包捕获数据和会话数据之间的中件数据格式存在。这种数据格式包括从指定协议报头中提取的明文字符串。其结果是，包字符串数据提供了粒度更接近于全包捕获数据的数据类型，同时保持着更容易管理的容量，并且允许增加数据保留周期。

日志数据：指由设备、系统或应用程序生成的原始日志文件，可以包括：应用程序日志、网络设备日志、安全产品日志、操作系统日志、中间件日志、数据库日志等。日志数据可由组织部署SIME/SOC/态势感知等产品收集并存储。

告警日志：当一个检测工具在任何被配置检查的数据中找出异常，其生成的通知成为警报数据。这个数据通常包含告警的说明，连同一个显示异常的数据指针。事件分析通常是基于告警数据的生成。告警数据由组织部署的各类安全产品产生。

结合威胁可能性清单和资产清单，对应识别的数据源，形成威胁与数据源对应列表，例如当文件服务器被入侵场景，当定义这个威胁时，应首先确定了这台服务器的架构、它所处的网络、谁有权限访问它、数据经它传入和流出的途径。根据这些信息，可以检查基于网络和基于主机的两个数据源，这个列表最终可能如下：

• 焦点缩小

焦点缩小包括单独审查每个数据源，以了解其价值。在这个过程中，需要弄清哪些数据源在事件调查中会被频繁管理或引用。基于上诉文件服务器被场景，进一步细化结果如下：