CN106060018B - 一种网络威胁情报共享模型 - Google Patents

Abstract

本发明公开了一种网络威胁情报共享模型，包括纵向贯穿威胁情报共享的数据层、平台层、共享层和应用层。本发明旨在解决当前在网络威胁情报自动化处理和跨部门信息共享之间存在的缺乏统一规范、情报共享效率低和情报由于共享带来的泄密风险的问题。本发明为实现跨部门网络威胁情报的共享提供统一规范和标准，包括了数据共享格式标准、共享协议标准等；针对共享效率低的问题提出了混合式共享技术，即集中共享、点对点共享等模式满足不同情报共享应用的需求；针对共享带来的泄密风险的问题，提出了情报共享等级分类方法，根据不同分类限制情报的共享范围，降低因为过度共享带来的泄密隐患。

Description

一种网络威胁情报共享模型

技术领域

本发明涉及一种网络威胁情报共享模型。

背景技术

网络威胁情报(Cyber Threat Intelligent，CTI)是为了保护网络空间资源免受威胁的侵害，利用安全专家、专业团体的经验、技能生成的关于安全和威胁的相关信息，包含漏洞、威胁、特征、名单、属性、解决建议等内容的知识载体，是近年来随着APT攻击的兴起而顺势发展的一个新方向，随着网络空间新威胁层出不穷，网络威胁情报的研究越来越备受关注，美国高度重视网络空间威胁情报发展，在策略方面积极推动相关情报政策出台和标准制订，使政府机构能够更好地协调并分享情报信息，2015年美国成立了新机构“网络威胁情报整合中心”(CTIIC)，用于避免机构间壁垒造成的信息交互弊端，补充处理安全事件时缺乏沟通的短板。CTIIC通过“跨部门协作共同对抗外来的网络威胁，CTIIC虽然不会直接处理网络攻击事件，但会支持国家网络安全和通信集成中心以及美国网络司令部的运作，在面对攻击和各种策略部署中起到指导和监管的作用。2015年，美国出台了CISA《网络安全情报共享法案》，旨在实现关于网络安全漏洞信息的共享，以帮助企业和政府更好地应对越演越烈的数据泄漏威胁。

全球有关网络威胁情报技术研究最知名机构MITRE公司，2012年MITRE公司提出了STIX V1.0作为网络威胁情报的表达格式，并于2013年提出TAXII作为网络威胁情报的交换机制，目前已在美国政府和业界得到应用，成为全球网络威胁情报共同遵循的事实标准之一。

另外，为了加快对情报的转换流程，MANDIANT公司基于多年的数字取证技术的积累，将使用多年的情报规范开源后形成OpenIOC(Open Indicator of Compromise)框架。OpenIOC最大的特色是机器可读，本身是一个记录、定义以及共享安全情报的格式，它可以帮助用户借助机器可读的形式实现不同类型威胁情报的快速共享。OpenIOC本身是开放、灵活的框架，因此用户随时可以根据发现添加新的情报，完善IOC。

目前，国内在网络威胁情报方面的研究主要存在各部门之间的数据缺乏统一规范，格式多样、文档结构不规律，情报发布和交换的效率不高等问题，另一方面，由于当前网络威胁情报存在数据规模大、种类繁多的特点，需要对网络威胁情报进行自动化的关联分析，提供高效的存储和检索，实现对网络威胁情报的自动化处理。

发明内容

为了克服现有技术的缺点，本发明提供了一种网络威胁情报共享模型，旨在解决当前在网络威胁情报自动化处理和跨部门信息共享之间存在的缺乏统一规范、情报共享效率低和情报由于共享带来的泄密风险的问题。本发明首先提出了一个威胁情报共享模型，为实现跨部门网络威胁情报的共享提供统一规范和标准，包括了数据共享格式标准、共享协议标准等；针对共享效率低的问题提出了混合式共享技术，即集中共享、点对点共享等模式满足不同情报共享应用的需求；针对共享带来的泄密风险的问题，提出了情报共享等级分类方法，根据不同分类限制情报的共享范围，降低因为过度共享带来的泄密隐患。

本发明所采用的技术方案是：一种网络威胁情报共享模型，包括纵向贯穿威胁情报共享的数据层、平台层、共享层和应用层，其中：数据层实现情报数据汇集功能；平台层实现来自各部门数据的存储、数据格式的转换、分布式处理功能；共享层实现情报信息内容共享、分区域共享、自动化共享功能，包括共享接口、情报标准化规范建立；应用层为共享模型的用户提供访问界面，用户通过界面进行访问注册后，根据注册权限进行共享平台的操作。

与现有技术相比，本发明的积极效果是：

1、网络威胁情报共享模型

本发明提出了一种基于大数据的威胁辨析和情报自动化处理为主要手段的网络威胁情报共享模型，并且提出了情报共享等级划分算法，为跨部门、跨组织的威胁情报共享提供了技术支撑，使得重要的安全情报可以在多个部门间快速传递，提升紧急安全事件响应与安全防范的能力，改善由于攻防信息的不对称带来的防御被动和滞后的局面。

2、兼顾安全与效率的混合式共享技术

本发明提供混合共享技术，其特点就是在提供共享模式时充分考虑了情报共享带来的泄漏风险问题，采用情报等级评估算法对情报的密级进行等级评估，并提供灵活的共享模式供用户选择，针对高密级情报为用户提供了点对点的共享，针对低密级情报可以采取集中或者星型共享模式。这样混合式共享技术使系统在情报共享上做到了安全与高效。

3、支持自定义的情报共享接口

本发明提出的情报格式标准主要使用XML来实现，XML语言提供了丰富、灵活的格式来将数据表示成可机读的形式。并支持用户根据自己的需要添加新的属性描述。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1为网络攻击流程图；

图2为网络威胁情报共享安全模型；

图3为跨部门的情报共享流程图。

具体实施方式

典型的网络攻击流程如图1所示，它一般包括准备期、入侵期和收益期，细分为如下七个阶段：

(1)准备期的两个阶段：

阶段1—侦察：攻击者对目标进行研究，识别和选择，典型的方法包括使用互联网爬虫收集例如会议记录、电子邮件地址、社会关系等信息，或用特殊方法收集信息；

阶段2—武器化：攻击者将包含漏洞的远程木马使用自动化的工具改装并植入特定的载体，如客户端常用的PDF或者office等数据文件格式；

(2)入侵期的三个阶段：

阶段3—装载：将武器化后的载体传输到目标环境。根据洛克希德—马丁公司的计算机事件响应小组(LM-CIRT)的报告，APT攻击者使用的三种最流行的交付载体是电子邮件附件、网站页面及U盘；

阶段4—利用：载体传递到受害者主机后，以主动或被动方式触发恶意代码。在大数情况下攻击者利用应用程序或操作系统的漏洞完成这一步骤，但用户也有可能在不知情的情况下主动执行这些代码；

阶段5—安装：攻击者在受害者系统安装远程访问木马或者后门，为在受害者环境中进行持续性活动创造条件；

(3)收益期的两个阶段：

阶段6—指挥和控制：受控主机与攻击者之间建立数据与控制信道，通常恶意软件更加依赖于人工指令而不是自动对环境作出反应。一旦这类信道建立成功，攻击者即可以自由进出受害者主机的目标环境。

阶段7—达成目标：攻击者按照预定计划和目标采取行动，如将窃取的资料汇总、压缩和加密后传输到受害者环境之外，破坏受害者数据的完整性和业务可用性等，或者攻击者只是将受害主机作为一个跳板，以在将来攻击其它目标。

如攻击流程所示，攻击的每个当前环节都是后续环节的充分条件。如果防御者检测并阻断了其中一步，那么攻击者就必须放弃或者寻找其它合适的TTP以继续攻击进程，从攻击流程来看，越早发现攻击者的踪迹，就能越早控制攻击进程，使攻击陷入被动，这也是网络威胁情报在攻防博弈过程中的价值所在。网络威胁情报以基于大数据的威胁辨析、情报自动化处理为主要手段，通过跨部门、跨组织边界的威胁情报共享，使得重要的安全情报可以在多个组织间迅速传递，从而极大缩短检测到响应的时间延迟，提升紧急安全事件响应与安全防范的能力。

网络威胁情报共享安全模型如图2所示，网络威胁情报共享模式以共享为核心，围绕威胁情报产品应具有及时性、相关性、准确性、专业性和可控性的特征，通过纵向贯穿威胁情报共享四个层次，即数据层、平台层、共享层和应用层。建立跨部门的一体化安全威胁情报共享平台，为网络空间防御、安全治理和应急响应提供情报服务。

(一)数据层：实现情报数据汇集功能，主要包括参与情报共享的各成员在协同机制下分享的情报数据，这些数据可以来自不同的数据库，运行于不同的操作协议或网络协议之上。如从政府、公安和组织机构情报生产者产生的信誉情报、事件情报等，数据的格式可以是结构化数据、可机读数据(XML，CSV，JSON)，也可以是未预先定义格式的非结构化数据。

(二)平台层：实现来自各部门数据的存储、数据格式的转换、分布式处理功能。支持大数据的高可扩展存储，通过提供一致性用户存储访问接口，实现工作流配置和数据实时处理引擎。

(三)共享层：共享层主要解决地理位置分散、技术层面上数据结构异构情报数据在共享方面存在的问题。实现情报信息内容共享、分区域共享、自动化共享等功能，包括共享接口、情报标准化规范建立，包括情报格式标准、交换协议标准、情报共享模式、共享流程、情报共享分级以及情报安全标准。其中情报共享分级是指建立情报评估体系，根据情报数据的涉密等级，可对被共享的情报进行分类，以控制共享范围，可分为如下四类：

红色：该情报只能在经过认证的组织内共享。

黄色：该情报可以在上线的所有组织成员内共享。

橙色：该情报可以在上线的友好组织成员内共享，或者外部限定的组织内进行共享。

绿色：该情报可被广泛共享。

下面主要针对共享模式、共享标准化和共享流程三个方面开展论述：

(1)共享模式

为了适应不同情报共享的需求，在确保情报共享的同时防止情报泄密的风险，本发明提出了混合共享模式，即提供点对点、星型和集中共享三种方式供用户选择，并支持用户选择一种或者多种混合共享的工作模式。如针对高密级的情报，只能在经过认证的组织间进行交换，这种采用点对点共享模式比较好，而针对低密级的情报，采取集中的共享方式能够更好地支持情报的快速传播，混合式共享技术的特点是通过多种共享模式的组合使系统在情报共享上真正做到了安全与高效。

(2)共享标准化

标准化是网络威胁情报在多个发布者、使用者间交互和共享的必要前提。如采用非标准的情报交换格式及语言，那么在n个节点间共享情报，在最坏情况下需要n×n种转换工具，这是不可接受的。另外，使用标准化的方式定义情报格式，能够在最大程度上减少信息语义损失和歧义，同样也可以避免日后因为接口和规范不同而造成较大的改动和不必要的资源浪费。共享标准化涉及的内容比较多，包括情报格式规范、情报服务规范、消息规范、协议规范等。这里主要针对情报格式的规范进行说明。网络威胁情报的形式化表征主要是用于记录事件发生的原因、经过、处理过程等。形式化的表征通过对网络威胁的属性特征表示来实现，每个属性实质都是一个标签，通常我们会将多个标签组合到一起作为一个威胁情报的表示，最终在形式上威胁情报就是一个属性的复合表达式，可通过XML来实现。威胁情报涉及的核心属性如下：

1、可观测行为特征：是威胁情报中最基本的信息，比如网络堵塞、系统遭受到的破坏等现象，可观测行为是日后事件处理的关键信息。

2、威胁特征指标：通过查看特征可以判定信息资产是否真的遭受了这个威胁的攻击。

3、安全事件描述：包括恶意攻击的行为、采用了什么工具、受害目标、利用了什么弱点、影响及后果、杀伤链信息等。

4、攻击意图描述：对攻击者意图特征的描述为什么要发起这次攻击，包括攻击者特征、意图、所属组织等。

5、脆弱性特征描述：攻击者利用的漏洞等信息，支持与CVE的特征进行关联。

6、解决措施描述：针对被攻击系统所采取的行动，以提升防护能力，降低突发安全事件的影响范围。

7、溯源信息库：攻击发起方的具体信息，包括组织、国家、邮箱、账号等特征。

(3)共享流程

跨部门之间的情报共享流程如图3所示，整个流程主要包括初始化、获取初级的情报数据、对外部获取的初级情报数据进行分析生成高级情报，使用分析后的情报去支持决策以及与外部机构分享情报的过程。

初始化阶段：具备情报分析的关键能力，并与其它部门建立共享协作关系；

获取初级情报：对初级共享的情报进行等级评估，从其它部门获取初级情报数据；

建立跨部门威胁情报：分析获取的初级情报数据，建立新的网络情报的TTPs，并完善优化已有威胁情报数据库。

支持决策：通过分析获取新的网络威胁情报，去支持决策；

与其它部门共享情报：对产生的情报重新进行等级评估，并根据需要与其它部门进行共享。

(四)应用层：主要为应用该共享模型的用户提供访问界面，用户通过该界面进行访问注册后，根据注册权限进行共享平台的操作。

Claims (7)

1.一种网络威胁情报共享模型，其特征在于：包括纵向贯穿威胁情报共享的数据层、平台层、共享层和应用层，其中：

数据层实现情报数据汇集功能，主要包括参与情报共享的各成员在协同机制下分享的情报数据，所述情报数据来自不同的数据库，运行于不同的操作协议或网络协议之上；所述数据的格式为结构化数据、包括XML、CSV、JSON在内的可机读数据、未预先定义格式的非结构化数据；

平台层实现来自各部门数据的存储、数据格式的转换、分布式处理功能，支持大数据的高可扩展存储，通过提供一致性用户存储访问接口，实现工作流配置和数据实时处理引擎；

共享层实现情报信息内容共享、分区域共享、自动化共享功能，包括共享接口、情报标准化规范建立，包括情报格式标准、交换协议标准、情报共享模式、共享流程、情报共享分级以及情报安全标准，其中：所述共享流程包括初始化、获取初级的情报数据、对外部获取的初级情报数据进行分析生成高级情报，使用分析后的情报去支持决策以及与外部机构分享情报的过程；所述情报共享分级是指建立情报评估体系，根据情报数据的涉密等级，对被共享的情报进行分类，以控制共享范围；

应用层为共享模型的用户提供访问界面，用户通过界面进行访问注册后，根据注册权限进行共享平台的操作。

2.根据权利要求1所述的一种网络威胁情报共享模型，其特征在于：所述平台层支持大数据的高可扩展存储，通过提供一致性用户存储访问接口，实现工作流配置和数据实时处理引擎。

3.根据权利要求1所述的一种网络威胁情报共享模型，其特征在于：所述情报标准化规范包括情报格式标准、交换协议标准、情报共享模式、共享流程、情报共享分级以及情报安全标准。

4.根据权利要求3所述的一种网络威胁情报共享模型，其特征在于：所述情报共享分级是指建立情报评估体系，根据情报数据的涉密等级，将被共享的情报分为红色、黄色、橙色和绿色四类。

5.根据权利要求3所述的一种网络威胁情报共享模型，其特征在于：所述情报共享模式为混合共享模式，提供点对点、星型和集中共享三种方式供用户选择，并支持用户选择一种或者多种混合共享的工作模式。

6.根据权利要求3所述的一种网络威胁情报共享模型，其特征在于：所述情报格式标准使用XML语言来实现，并采用如下核心属性来对网络威胁情报进行表征：可观测行为特征、威胁特征指标、安全事件描述、攻击意图描述、脆弱性特征描述、解决措施描述、溯源信息库。

7.根据权利要求3所述的一种网络威胁情报共享模型，其特征在于：所述共享流程包括：

(1)初始化阶段：具备情报分析的关键能力，并与其它部门建立共享协作关系；

(2)获取初级情报：对从其它部门获取的初级情报数据进行等级评估；

(3)建立跨部门网络威胁情报：通过分析获取的初级情报数据，建立新的网络情报的TTPs，并完善优化已有威胁情报数据库；

(4)网络威胁情报的利用：通过网络威胁情报去支持决策或与其它部门共享。