威胁情报平台——AhnLab TIP

AhnLab推出了下一代威胁情报平台“AhnLab TIP”。AhnLab TIP（Threat Intelligence Platform）基于AhnLab恶意代码响应专业技术和诀窍提供丰富的威胁分析信息。使用AhnLab TIP的企业可以通过单一平台有效地收集威胁信息，不再需要像以前从多个平台收集。此外，可以获取包括广泛而精准的分析结果的实时威胁情报（Threat Intelligence），并将其反映在未来的安全策略制定中。在本文中，将重点介绍AhnLab推出TIP的背景、平台的主要功能以及引进效果。

AhnLab推出TIP的背景

一直以来，AhnLab通过各种渠道（例如“安全月刊”、“Security Letter”、“ASEC博客和报告”、“安全公告”和“研讨会”）一直在强调，网络威胁不断发展。实际上，从简单的黑客攻击到有针对性的高级持续性威胁（APT），当前的威胁正以各种各样的形式迅速发展。而且，从A公司（由AhnLab ASEC深入分析和发行报告的大型分销公司）感染Clop勒索软件的事件中可以看出，高级威胁并非遥不可及，而是可能随时随地给企业造成损害的重大问题。

因此，企业需要通过精确地检测各种威胁来作出有效的响应。这是因为仅错过一个异常可能会导致大规模的安全事故，例如基础设施停机或企业重要信息泄露。尽管企业已意识到这种必要性，但是由于现实的限制，仍然难以做出有效的响应。 

企业在现实中面临两个典型的问题。首先是对威胁信息的获取和处理的限制。由于现有的威胁信息是从网络上的多种来源所提供的平面威胁数据，因此分析和响应的效率下降，而只能依靠安全负责人的主观判断。第二是现有分析方法的局限性。最近的攻击方法越来越复杂且路径变得动态化，因此仅使用基于静态分析结果生成的感染指标（Indicators of Compromise: IOC）很难检测和阻止所有迅速变化的威胁。

因此，需要一种威胁情报平台，其管理（Curation）和分析大量产生的威胁信息并动态地分析行为信息以有效响应威胁。 

AhnLab TIP介绍

AhnLab TIP通过集成AhnLab的恶意代码响应技术和诀窍来提供差异化的威胁情报。此外，对当前和未来威胁的背景和目的进行全面分析，以便用户能够掌握威胁的总体“来龙去脉（context）”。AhnLab TIP的威胁情报为企业决策者（管理层）、高级管理员及安全工作人员提供有效的信息，企业则可以根据所获取的信息做出合理的决策并建立未来安全策略。

【图 1】AhnLab TIP威胁情报提供流程

主要功能

通过AhnLab TIP进行情报识别的首要目的是迅速响应攻击，例如未经允许的信息收集、利用漏洞的安全控制失效和迂回以及信息泄漏。为此，AhnLab TIP提供以下三个主要功能。▲ 精准的威胁情报 ▲ 云沙箱分析 ▲ 各种威胁内容

【图 2】AhnLab TIP主要功能结构图

1.精准的威胁情报

AhnLab TIP的主要功能之一是通过提供准确的感染指标来优化威胁信息分析。AhnLab TIP基于从收集到的数据生成的感染指标（IOC）提供全面的信息，例如URL、域、IP和哈希值，以便企业可以快速响应威胁。此外，企业可以利用恶意代码分析信息来检测已知威胁的运行痕迹，并在组织内部找出其他受感染的系统。这些功能有助于缩小威胁检测和响应之间的差距。  

通过AnnLab TIP，可以识别攻击者信息、恶意代码信息以及传播途径。根据恶意代码检测结果，可以对各经由网站的危险程度进行测量，以提高恶意代码的响应和分析效率。此外，该平台提供攻击流程图和相关详细信息，并根据威胁种类、行为和攻击阶段提出适当的措施方案。除此之外，还提供了单独的API，与企业内的服务或产品进行链接，以支持实时威胁情报查询。

2.云沙箱分析

AhnLab TIP云沙箱分析功能可以说是响应高级威胁的核心能力。在最近的恶意代码中，引入复杂的隐蔽技术或出现新的变种的情况较多。因此，为有效地检测和响应威胁，不仅要执行现有的静态分析，而且必须对行为执行动态分析。 

云沙箱分析是一种实际运行和分析恶意代码的分析方法，通过内存转储分析和实际行为观察快速响应。AhnLab TIP云沙箱支持多操作系统和浏览器环境，以及使用程序和各种文件的分析，并将按路径的检测情况和按行为的威胁信息予以可视化的数据提供给用户。  

3.各种威胁内容

AhnLab TIP包含各种威胁内容。首先，有一个定期报告支持用户定期掌握威胁趋势，还提供包含安全专家对特定问题的分析和响应策略的问题报告。上述有关大型分销公司A公司感染Clop勒索软件的报告属于问题报告。

此外，按类型提供了广泛的内容，包括包含各种威胁统计信息和漏洞信息、受影响产品和响应方案的安全公告，可随时查看威胁趋势的ASEC博客以及国内外主要安全新闻，还有与此相关的感染指标也可以通过AhnLab TIP确认。

为什么要选择AhnLab TIP?

以上我们来了解了AhnLab推出TIP的背景以及该平台提供的主要功能。那么，企业通过引进AhnLab TIP可以享受哪些实际好处？从企业的角度来看，使用AhnLab TIP有三个典型的好处，如下所述。

1.获取有效的威胁情报

AhnLab TIP通过“中央集中式单一仪表板”提供上述的所有功能。可以在单一仪表板上查看和搜索所有IOC，并按严重级别和可信度对IOC进行汇总，从而帮助企业有效地设置威胁响应优先级。

【图 3】AhnLab TIP仪表板

此外，可以在单一平台上一次确认各种威胁内容。也就是说，不再需要像以前一样为了在网上获取威胁情报而到处搜寻报告或网站。从企业的角度来看，AhnLab TIP可以极大地提高人力资源利用率和对威胁的响应速度。

2.加强企业自身安全能力

AhnLab TIP提供的威胁情报还提供对威胁的定量和定性的判断标准，因此用户不再需要依靠主观判断。

【图 4】使用AhnLab TIP响应威胁的流程图

当企业使用AhnLab TIP时，根据明确的基准确认威胁的影响和扩散，从而可以有效响应检测到的异常行为和可疑行为。另外，基于各种威胁场景测试，可以构建针对威胁流入和扩散的防御系统。并且实时应用针对新的恶意代码和可疑行为的检测规则和模式，从而可以增强总体检测和响应策略。这是企业可以增强自身安全能力的基础。 

3.支持最佳的安全决策

在企业决策中，现有的数据和与此相关的洞察力是非常重要的因素。此外，如果加上对未来的预测信息，则可以进行更合理的决策。从这个角度让我们看一下AhnLab TIP在长期和短期的安全决策中的作用。

首先，在短期内，AhnLab TIP提供对已知的即将发生的风险做出响应的威胁信息，从而帮助企业积极做出决策，以事前预防入侵事件并最大程度地减少损害。其次，从长期的角度来看，提供了其他未识别的威胁信息，以便企业在建立内部安全策略时可以使用它。综合来说，企业可以基于AhnLab TIP的威胁情报来有效保护其组织，进一步进行符合其战略优先级的网络安全投资。 

最后，到目前为止讨论的引进AhnLab TIP的效果可以用一句话概括：
AhnLab TIP可以有效地获取威胁情报，增强自身的安全能力，并有助于做出最佳的安全决策。