找到合适的威胁情报供应商

nana 数世咨询

世事无绝对，没有哪一种威胁情报类型是绝对胜过其他类型的。

2019年5月，Flashpoint首席执行官Josh Lefkowitz应SecurityWeek之邀，分享了该如何评估覆盖深网和暗网的威胁情报供应商。深网和暗网监视功能虽然确实对有此需求的人有所帮助，但实际上，并非每个公司都需要监视深网和暗网。因此，审视整个威胁情报领域，学会如何评估最适合自己的供应商就很有用了。毕竟，在这个领域中，供应商的产品在概念和执行方面可能差别很大，许多产品与暗网无关，但其情报对于很多公司企业而言至关重要。

了解自身需求是关键

威胁情报是个涵盖多种不同产品的术语，这些产品的共同点就是交付的数据应有助于改善公司的整体安全状况。也就是说，“威胁情报”可以是已知恶意软件服务器的黑名单、暗网讨论中提及的消息，或是表明有黑客山寨了公司域名的信息。作为威胁情报交付成果的一部分，这些数据涵盖范围很广，从通用到特定于客户，从知悉即可到可执行的，从宽泛到具体，从原始数据到经过全面分析的数据，以及各个其他方面。令威胁情报选择更加复杂的是，一些威胁情报产品专注主动识别和报告潜在威胁，而另一些则主要是丰富客户已经持有的信息。例如，如果SOC已识别出涉及IP地址的事件，并希望接收有关该IP地址的更多信息。主动式威胁识别和数据丰富是两个完全不同的用例，在安全运营的不同部分提供价值。

没有任何一种威胁情报类型在客观上优于其他威胁情报类型，全看各家公司的具体需求：某些安全运营可能需要接收事件调查所涉IP地址或域名的能力，其他则可能想要专心强化自身恶意软件检测或外部威胁识别能力。评估情报供应商之前，最先要做的是确定你的安全运营在哪些方面需要威胁情报的支持。你的安全运营中很可能有多个威胁情报用例，由于预算有限，只能先给这些用例排个序，按照轻重缓急分配投资。这些用例的优先级排序很大程度上受公司类型（B2B制造商和有电子商务网站的B2C公司的暴露途径就很不一样）、规模和安全成熟度的影响。只要识别出这些用例并确定了优先顺序，就能挑出最相关的供应商并加以评估。

执行

威胁情报产品不仅在概念上各不相同，其执行方式也可能互有差异。提供同类型威胁情报的两家供应商，可能在交付成果和整体表现上大相庭径。无论哪种威胁情报产品，都有几个重要方面需要评估。

首先是覆盖范围。无论所提供的情报是暗网讨论、山寨域名、恶意移动应用，还是恶意软件IOC，供应商最好尽可能地扩大覆盖范围。覆盖范围越大，错过重大发现的概率就越小。话虽如此，需要强调的是，任何供应商都达不到100％覆盖（甚至连逼近都不可能），并且两个供应商覆盖面完全相同的情况非常罕见。

评估的第二个重要方面是误报的数量。即使某个服务能识别出大量威胁，但若每个真正的威胁都需要分析师筛查过一千个误报才能确定，那这个服务就算不上优秀。威胁情报服务的主要评估指标，应包括安全团队抽取情报价值所需付出的工作量。在服务或试用初期产生很多误报算不上什么严重过失，重要的是要能微调情报生成过程，方便平衡误报和漏报：一方面，筛选效率要足够高，不至于产生太多误报；另一方面，筛选不能太过严格，不可漏掉任何真正的威胁。

最后一个方面是技术。怎么接收交付成果？有控制面板吗？控制面板有哪些功能？设置方不方便？有没有API可用？所有这些问题都非常重要，因为团队将依赖所选供应商，所以工作必须尽可能简单有效。相关集成选项是个重要加分项，因为“控制面板疲劳”是安全团队中日益严重的一个问题。

成本

正如威胁情报的概念和执行方式各不相同，可用服务的价格也千差万别。定价可能是一个关键问题，不仅关乎是否负担得起某个特定服务，而且关乎整个威胁情报策略的走向。

一些供应商（多为大型供应商）试图提供一站式服务，将暗网、恶意软件IOC、数据丰富等等功能都包圆了。他们运用自身丰富的资源尝试涵盖威胁情报的所有不同方面，因此无论你需要什么，他们的服务都是相关的。其他供应商则可能会专注于他们具有特定能力的某些细分市场。

回到任何供应商都不可能100％覆盖的观点，建议考虑采用多供应商策略。这样既可以覆盖更多情报源，又能更好地比较重叠部分的结果。应用这一策略，可以找到适合自身的供应商组合（供应商覆盖的多样性和深度）。

威胁情报领域满是优秀的供应商，这些供应商可以帮助公司企业保护他们的品牌、员工和客户，为公司企业提供大量价值。购物都是相通的，重要的是做出最适合自身特定需求的采购决策。威胁情报领域不乏创新和颠覆性公司，最好始终对新产品抱持开放态度，大胆尝试，小心求证。

数世观察：

与国外相比，国内的威胁情报基本以其他安全产品或服务的结合销售为主，以单品形式销售的占比较少。此外，尽管国内已经制定了一些威胁情报的技术标准，但实际上各行业，甚至是同一行业之间的情报也尚未形成有效的共享机制，从而降低了威胁情报的价值，并进而在很大程度上限制了该项技术的发展。但随着业界对威胁情报认知的提升，威胁情报的价值越来越受到认可，市场需求开始出现明显扩大的趋势。威胁情报在数世咨询的《网络安全能力图谱中》属于“通用概念”维度下面的“分析”一级分类，主要提供商有奇安信、天际友盟、微步在线、亚信安全、安恒信息、绿盟科技、360、腾讯等。

关键词：威胁情报