在当今复杂多变的网络威胁环境中，清晰的认知和准确的判断变得尤为重要。网络防御者面临的挑战是如何在不断变化的攻击手段中找到突破口，而这往往取决于我们对威胁的理解深度。为了应对这一挑战，MITRE （非营(ying)利(li)组织，负责运营(ying)美国政(zheng)府(fu)的联邦资助(zhu)研发中心 (FFRDC)。这些研发中(zhong)心(xin)为(wei)政府机(ji)构(gou)提(ti)供网络安全、国防和医疗保健(jian)等各个领域(yu)的技(ji)术专业知识和支持。）五年前成立(li)了威胁(xie)情报(bao)驱动防御中(zhong)心(xin)（CTID），旨在(zai)推(tui)动全球(qiu)范围内(nei)威胁(xie)情报(bao)驱动防御的“技(ji)术前沿(yan)”和“实践应用”。Fortinet 作为(wei) CTID 的早(zao)期成员(yuan)之(zhi)一(yi)，迅速成为(wei)其最(zui)活跃(yue)的贡献(xian)者(zhe)之(zhi)一(yi)，并于 2022 年(nian)成(cheng)为 CTID 的(de)官方研究合作伙伴。
CTID 的模式是将来自公共和私营部门的专家聚集在一起，共享数据、研究成果和专业知识。这些集体研究的成果，包括框架、工具和发现，直接融入到 Fortinet 等厂商的产品和实践中，帮助客户构建更强大的防御体系。
为了纪念 CTID 成立五周年，该组织最近发布了 2024 年影响力报告，详细介绍了其 40 个开源研究项目，以及这些项目如何为网络安全社区提供支持。以下是其中三个关键项目的深入解读，它们通过提供真实威胁的可见性、预测性洞察和韧性策略，显著增强了防御者的工具箱。
威胁观测生态系统：揭示真实世界中的威胁
首席信息安全官（CISO）常(chang)常(chang)面(mian)临(lin)这(zhei)样的问题：“我们应该优(you)先(xian)关(guan)注哪些(xie)攻击(ji)者(zhe)技术(shu)？”
过去，防(fang)御者往(wang)往(wang)缺乏对真实世界中(zhong)攻击者行为(wei)的可见性，导(dao)致在(zai)设置(zhi)优先级时只能依靠猜测。而(er)威胁观测生(sheng)态(tai)系统（Sightings Ecosystem）项目正是为(wei)了(le)解决这一问题而(er)诞生(sheng)。
该项目于(yu) 2024 年 3 月启动，创建了一个(ge)全(quan)球性的(de)(de)威(wei)胁观(guan)测网络，组织(zhi)可(ke)以自愿提交(jiao)其检测到的(de)(de) MITRE ATT&CK 技术的(de)(de)原始数据(ju)。这(zhei)些数据(ju)经过(guo)匿名(ming)化和聚合，形成(cheng)一个(ge)社区数据(ju)集，揭示了哪些攻击技术最为(wei)普遍。这(zhei)一努(nu)力将战场知识转化为(wei)跨越组织(zhi)和地(di)理边界(jie)的(de)(de)威(wei)胁活动实证地(di)图。
作(zuo)为 CTID 的(de)(de)赞助商，Fortinet 为其贡献了来自 FortiGuard Labs 团队的(de)(de)大量威胁情报数据，涵盖(gai)了 198 个国(guo)家的(de)(de) 160 万条观(guan)测记录，涉及 353 种(zhong)独(du)特的(de)(de) MITRE ATT&CK 技术(shu)。这些全(quan)球范(fan)围的(de)(de)数据为项目提供了丰富的(de)(de)分(fen)析基础(chu)，帮助 CISO 更清楚地了解哪些威胁需要优先(xian)防御(yu)。
技术推断引擎：预测攻击者的下一步动作
威胁观测(ce)生态系统揭示(shi)了攻击者已经采取(qu)的行动，而技(ji)术(shu)推断引擎（Technique Inference Engine, TIE）则专注于(yu)(yu)预(yu)测(ce)攻击者可(ke)能采取(qu)的下一(yi)步行动。这一(yi)基于(yu)(yu)机器学习(xi)的工具于(yu)(yu) 2024 年底推出(chu)，能够根据过去的观测(ce)数(shu)据推断出(chu)攻击者尚未被(bei)发(fa)现的技(ji)术(shu)。
简单(dan)来(lai)说，如(ru)果安(an)(an)全团队知道攻(gong)(gong)击者使(shi)(shi)用(yong)了技术(shu) X，TIE 可(ke)以预测(ce)攻(gong)(gong)击者可(ke)能(neng)(neng)接下来(lai)会使(shi)(shi)用(yong)的(de)技术(shu) Y，即使(shi)(shi) Y 尚未被检测(ce)到。这种能(neng)(neng)力(li)为防御(yu)者提(ti)供了战略性洞察，使(shi)(shi)他们能(neng)(neng)够提(ti)前发现并(bing)缓解攻(gong)(gong)击者可(ke)能(neng)(neng)使(shi)(shi)用(yong)的(de)威胁技术(shu)，从而更快地弥补安(an)(an)全漏洞。
训练一(yi)个能(neng)够预测攻击(ji)行为的(de) AI 模型(xing)需要大(da)量(liang)(liang)多样化的(de)训练数(shu)(shu)据，而(er) Fortinet 的(de)全(quan)球威胁(xie)情报(bao)数(shu)(shu)据集在这一(yi)过程(cheng)中(zhong)发挥(hui)了关键(jian)作用。Fortinet 与其他领(ling)先组织合作，贡献(xian)了大(da)量(liang)(liang)经(jing)过整(zheng)理的(de)网(wang)络威胁(xie)情报(bao)报(bao)告(gao)和攻击(ji)者数(shu)(shu)据，为 TIE 的(de)机(ji)器学习模型(xing)提供了支持。这些数(shu)(shu)据包括来自之(zhi)前 CTID 项目（如威胁(xie)观测生态系统、MITRE Attack Flow、公共威胁(xie)情报(bao)库和合作伙伴贡献(xian)的(de)情报(bao)）的(de) 6200 份真实攻击(ji)报(bao)告(gao)，覆(fu)盖了 96% 的(de) MITRE ATT&CK 技术。
通过从全球范(fan)围(wei)内观(guan)察到的实际(ji)攻击序(xu)列中学习，TIE 的建议基(ji)于现(xian)实而(er)非理(li)论(lun)。这(zhei)种(zhong)项目(mu)推动(dong)了防御哲学的转变(bian)，使安全团队(dui)从被(bei)动(dong)响应警报转向主动(dong)预(yu)测攻击者的路(lu)径。
攀登金字塔：增强防御能力以抵御规避攻击
攻(gong)击者拥有越来(lai)越多的(de)(de)(de)工具(ju)来(lai)增加攻(gong)击的(de)(de)(de)规模和复(fu)杂(za)性，因此防御者必须(xu)在(zai)每一步(bu)都增加攻(gong)击者的(de)(de)(de)难度。MITRE 的(de)(de)(de)“痛苦金(jin)字(zi)塔(ta)”概念(nian)正(zheng)(zheng)是基(ji)(ji)于(yu)这一理(li)念(nian)：攻(gong)击者更难改(gai)变其战术(shu)或技术(shu)，而不是仅仅更换低级别的(de)(de)(de)指标（如 IP 地(di)址或哈希值）。CTID 的(de)(de)(de)“攀(pan)登金(jin)字(zi)塔(ta)”（Summiting the Pyramid, STP）项目正(zheng)(zheng)是基(ji)(ji)于(yu)这一理(li)念(nian)而开发的(de)(de)(de)。
STP 项(xiang)目于 2023 年首次(ci)启(qi)动(dong)，并(bing)在 2024 年进(jin)行(xing)了增强(qiang)，旨在对检测(ce)分(fen)析能力(li)进(jin)行(xing)评分(fen)并(bing)加以改进(jin)。STP 为(wei)防御(yu)者提(ti)供(gong)了一种衡量其检测(ce)能力(li)是(shi)(shi)否足够(gou)强(qiang)大的(de)(de)方法：团队是(shi)(shi)否主要捕获(huo)了容(rong)易更改的(de)(de)低(di)级别(bie)指(zhi)标（金字塔底部），还是(shi)(shi)针对了更难更改的(de)(de)行(xing)为(wei)和 TTP（金字塔顶部）？该项目指(zhi)导检测(ce)工程师(shi)创建能够(gou)抵御(yu)攻击者规避行(xing)为(wei)的(de)(de)分(fen)析逻(luo)辑(ji)，即使攻击者改进(jin)了工具或恶意软件，检测(ce)逻(luo)辑(ji)仍(reng)然能够(gou)触发警报。
Fortinet 与(yu)其他几(ji)家知名网(wang)络安全公(gong)司一起为(wei) STP 项(xiang)目贡献(xian)了(le)专业知识，确(que)保这一框架真(zhen)正满(man)足(zu)企业防御者的(de)需求。FortiGuard Labs 团队分(fen)(fen)享了(le)匿名化(hua)(hua)的(de)检测分(fen)(fen)析和攻击者案例(li)研究，以测试 STP 方法(fa)的(de)有效性。通过将 Fortinet 的(de)检测内容运行在金字(zi)塔评(ping)分(fen)(fen)系统中，团队验证了(le)该方法(fa)是(shi)否(fou)与(yu)真(zhen)实世界(jie)的(de)数据一致，并(bing)帮(bang)助(zhu)优化(hua)(hua)了(le)评(ping)分(fen)(fen)标准(zhun)和建议。
最终，STP 提供(gong)了一个完整的(de)框架(jia)，包括(kuo)方法(fa)论和(he)技(ji)巧，帮助(zhu)组(zu)织使其分析逻辑更难(nan)以(yi)被攻击者规避。
公共与私营合作的力量
这些 CTID 项目展示(shi)了(le)公共(gong)和私营部(bu)门合作(zuo)所能实现的成果。例如，像(xiang) STP 这样强大(da)的分(fen)析模(mo)型无法单独创建，因为没(mei)有(you)任何一个组织拥有(you)所有(you)必(bi)要(yao)的数据和资(zi)源。当(dang)知识共(gong)享时，所有(you)防御能力都会得到(dao)加强。
作(zuo)为防(fang)御者(zhe)，我们(men)必须采用(yong)并(bing)运营(ying)这(zhei)些工(gong)具，为这(zhei)些生(sheng)态(tai)系统(tong)做出贡献，并(bing)在(zai)组织内(nei)倡导威(wei)胁情(qing)报(bao)驱动的防(fang)御工(gong)作(zuo)。每(mei)一(yi)个(ge)点亮威(wei)胁观测生(sheng)态(tai)系统(tong)数(shu)据的仪表板、每(mei)一(yi)个(ge)由(you) TIE 预(yu)测增(zeng)强的剧本、每(mei)一(yi)个(ge)通过 STP 评分(fen)的检测规则，都是(shi)迈向更安全社会的一(yi)步(bu)。
联系瑞技
Fortinet 一(yi)(yi)直以来都是网(wang)络(luo)安(an)全发展以及网(wang)络(luo)和安(an)全融(rong)合的(de)(de)推动力量，也是业内部署(shu)最广泛、专利最多、验(yan)证最充分的(de)(de)解决方案之一(yi)(yi)。欢(huan)迎来联系瑞技(ji)，一(yi)(yi)起打造您的(de)(de)专属网(wang)络(luo)安(an)全空间。
400-8866-490 | sales.cn@bytebt.com
