小议IOC生命周期及其核心环节

NDR分析网络流量执行攻击检测，方法可以是基于人工规则，也可以基于异常模型，设计得好的规则可以实现非常精准的检测，异常模型的输出一般包含大量的误报，需要进一步的人工确认，优势也是很显然的，可能发现未知的恶意活动。确认攻击活动以后，可以提取其中攻击者所使用的网络基础设施，比如IP地址、URL、域名、数字证书、邮箱地址等。

EDR是攻击活动的最终真相之源，我们可能通过NDR或其他基于异常的检测机制发现很多可疑的活动，但最后的确认还必须找到相关的文件、内存数据、注册表项、固件中的指令块等等，这些对象的明文或密文大多会最终现身于终端中，比如年中卡巴斯基所揭露的通过iMessage针对苹果手机的攻击，先监测到了一些域名的异常访问，然后才在手机上确认了攻击活动。而且，在主机层面能收集的活动细节也是最丰富的，所以通过EDR比较有机会发现针对性的未知攻击活动。

组织内部有可能发生各种安全事件，其中有些事件是有针对性的，即便是流行性的活动，在这些安全事件的应急响应过程中有可能收集到一些独特的IOC数据，通常来源于攻击者适用于特定环境的数字武器以及对应的网络基础设施。

蜜罐是种非常有效地收集攻击活动的方案，特别是面向互联网的部署，可以观察到大量的自动化扫描及已知漏洞的利用攻击，通常来自种类繁多的Botnet和黑产组织，IP、域名、URL、文件等是主要的类型。

NDR、EDR、蜜罐及事件响应的过程中很可能会收集到大量的文件，所以需要有一个专门的文件检测组件来执行恶意性检测，可以综合使用静态扫描和动态执行以及基于规则和基于机器学习的技术，判定文件的黑白，提取相应的网络行为，文件检测往往可以有非常高的准确度，确认过的黑文件直接就是精准的文件IOC，这类IOC不会有误报但同时也极容易失效。

绝大多数中小机构基本没有自己生产威胁情报的能力，自有的少数检测机制，包括简单的流量检测设备和防病毒软件，所看到的攻击活动相关的IOC基本也已经被专业的安全厂商所覆盖，所以来自开源或行业联盟的情报分享就显得尤为重要，通常来说行业联盟的数据质量上比完全开源的要高得多。安全厂商则各有自己独特的数据源和分析能力，组织一个数据交换联盟互相弥补视野理论上应该是个很好的想法，但由于能力和利益的不对等，实际操作起来难度很高，也只能实现有限度的交换。

开源信息是威胁情报基础数据的重要来源，甚至从量来说是主要的来源，有大量的网络资源在持续地输出包括IOC在内的各类威胁情报数据，既有简单结构化的数据，也包括大量的人读威胁活动分析报告，需要使用工具抽取其中的IOC。一般来说开源信息的质量鱼龙混杂，需要做进一步的检验和分析，输出给用户的IOC应该是尽可能的准确。

安全厂商往往有自己独有的基础数据，比如海量历史的Passive DNS、WHOIS、沙箱日志、互联网资产数据等等，在各种来源的初始有效IOC数据输入下，通过关联分析可以扩展出大量未公开的IOC，这部分未公开的数据往往具备更长远的使用价值。

IOC被识别出来以后，需要经过进一步的加工，才能被有效的使用，这里主要有两个环节：富化和结构化。

当我们识别出一个IOC以后，我们需要提供更多的相关上下文信息，以使用户对匹配到的威胁有个基本的了解，这里最核心的是分类和标签，其中可以包括很多维度的属性标定：威胁的类型、严重程度、可靠度、建议的处置方法，甚至包含组织归属等信息。完善的上下文信息是组织处置威胁决策的依据：威胁类型影响处置的力度，显然的，勒索比挖矿威胁大得多，高级定向攻击比流行性的攻击危害大得多；IOC的可靠度影响使用的场景，可靠度低的只能用于分析告警场景，可靠度高的则可以直接用于阻断；IOC指向的对象，如果已经被安全机构接管（比如Sinkhole的IP和域名），那么对应的威胁已经被控制，可以降低处置的优先级。

IOC作为相对低层次的情报类型，主要的使用场景是供检测类型设备机读消费，所以输出的格式必须是标准化的，可以遵循国际通用的标准，比如STIX，因为早已成为正常输出的必要条件。当然，对于自己有比较完整产品线的大厂商，如果涉及海量的数据交换，为降低数据传输和处理成本，也可以设计内部的交换格式，但也必须是结构化的。