安全防禦：資料與情報需唯“真”是問

近日安全領域一大新聞就是創立于2010年的norse

corp瀕臨倒閉邊緣。也許大家沒有聽過這家公司的名字，但是大多數從業者一定見過酷炫無比的“地圖炮”。曾幾何時，我們可以盯着螢幕在norse的網站上看“全球黑客大戰”的直播。這家公司也在幾年間成為了全球領先的威脅情報公司，然而這一切都幻滅了，原因則是這家公司用來呈現和分析以及産出報告使用的資料可能都是假的。

據揭露，norse的資料來源為部署在全球數十萬的代理，蜜罐等傳感器，但是他們将這些傳感器收集來的資料當做真實發生的攻擊呈現在他們的報告和其他商用産品中。這無疑對我們判斷全球網絡安全态勢産生了影響。

fortinet旗下的fortiguard實驗室把從全球收集的資料以可視化的形式呈現出來。如圖所示，根據攻擊嚴重程度用顔色區分，由于攻擊過多，地圖上隻顯示收集來的萬分之一的資料。

如今已經是動态安全時代，傳統裝置和方案都是靜态的，很難對抗持續變化和更新的攻擊手段。威脅情報正好是以動态的手段來對抗攻擊者。在整個防禦過程中，威脅情報會不斷地被收集、豐富、分析、再收集形成一個閉環。apt的泛濫帶來的現狀就是系統被攻擊和攻陷已經是常态，在這種新常态下，我們必須要提升檢測和應急響應能力，而這個能力就是要由威脅情報來驅動的。apt的進階和隐蔽性使得可以輕易穿越傳統安全防線，是以對進階威脅，我們使用的檢測手段也不能隻是簽名，必須要依靠行為檢測進行分析，傳遞給使用者可執行和操作的分析結果，由此可見在持續的攻防較量中這個能力是很重要的。是以在威脅情報未來在安全保護方面肯定要起到越來越重要的作用。

本文轉自d1net（轉載）