在當今復雜多變的網絡威脅環境中，清晰的認知和準確的判斷變得尤為重要。網絡防御者面臨的挑戰是如何在不斷變化的攻擊手段中找到突破口，而這往往取決于我們對威脅的理解深度。為了應對這一挑戰，MITRE （非營利組織，負責運營美國政府的聯邦資助研發中心 (FFRDC)。這些研發中心為政府機構提供網絡安全、國防和醫療保健等各個領域的技術專業知識和支持。）五年前成立了威脅情報驅動防御中心（CTID），旨在推動全球范圍內威脅情報驅動防御的“技術前沿”和“實踐應用”。Fortinet 作為 CTID 的早期成員之一，迅速成為其最活躍的貢獻者之一，并于 2022 年成為 CTID 的官方研究合作伙伴。
?
CTID 的模式是將來自公共和私營部門的專家聚集在一起，共享數據、研究成果和專業知識。這些集體研究的成果，包括框架、工具和發現，直接融入到 Fortinet 等廠商的產品和實踐中，幫助客戶構建更強大的防御體系。?
?
為了紀念 CTID 成立五周年，該組織最近發布了 2024 年影響力報告，詳細介紹了其 40 個開源研究項目，以及這些項目如何為網絡安全社區提供支持。以下是其中三個關鍵項目的深入解讀，它們通過提供真實威脅的可見性、預測性洞察和韌性策略，顯著增強了防御者的工具箱。?
威脅觀測生態系統：揭示真實世界中的威脅
首席信息安全官（CISO）常常面臨這樣的問題：“我們應該優先關注哪些攻擊者技術？”?
過去，防御者往往缺乏對真實世界中攻擊者行為的可見性，導致在設置優先級時只能依靠猜測。而威脅觀測生態系統（Sightings Ecosystem）項目正是為了解決這一問題而誕生。
?
該項目于 2024 年 3 月啟動，創建了一個全球性的威脅觀測網絡，組織可以自愿提交其檢測到的 MITRE ATT&CK 技術的原始數據。這些數據經過匿名化和聚合，形成一個社區數據集，揭示了哪些攻擊技術最為普遍。這一努力將戰場知識轉化為跨越組織和地理邊界的威脅活動實證地圖。
?
作為 CTID 的贊助商，Fortinet 為其貢獻了來自 FortiGuard Labs 團隊的大量威脅情報數據，涵蓋了 198 個國家的 160 萬條觀測記錄，涉及 353 種獨特的 MITRE ATT&CK 技術。這些全球范圍的數據為項目提供了豐富的分析基礎，幫助 CISO 更清楚地了解哪些威脅需要優先防御。
技術推斷引擎：預測攻擊者的下一步動作
威脅觀測生態系統揭示了攻擊者已經采取的行動，而技術推斷引擎（Technique Inference Engine, TIE）則專注于預測攻擊者可能采取的下一步行動。這一基于機器學習的工具于 2024 年底推出，能夠根據過去的觀測數據推斷出攻擊者尚未被發現的技術。
?
簡單來說，如果安全團隊知道攻擊者使用了技術 X，TIE 可以預測攻擊者可能接下來會使用的技術 Y，即使 Y 尚未被檢測到。這種能力為防御者提供了戰略性洞察，使他們能夠提前發現并緩解攻擊者可能使用的威脅技術，從而更快地彌補安全漏洞。
?
訓練一個能夠預測攻擊行為的 AI 模型需要大量多樣化的訓練數據，而 Fortinet 的全球威脅情報數據集在這一過程中發揮了關鍵作用。Fortinet 與其他領先組織合作，貢獻了大量經過整理的網絡威脅情報報告和攻擊者數據，為 TIE 的機器學習模型提供了支持。這些數據包括來自之前 CTID 項目（如威脅觀測生態系統、MITRE Attack Flow、公共威脅情報庫和合作伙伴貢獻的情報）的 6200 份真實攻擊報告，覆蓋了 96% 的 MITRE ATT&CK 技術。
?
通過從全球范圍內觀察到的實際攻擊序列中學習，TIE 的建議基于現實而非理論。這種項目推動了防御哲學的轉變，使安全團隊從被動響應警報轉向主動預測攻擊者的路徑。
攀登金字塔：增強防御能力以抵御規避攻擊
攻擊者擁有越來越多的工具來增加攻擊的規模和復雜性，因此防御者必須在每一步都增加攻擊者的難度。MITRE 的“痛苦金字塔”概念正是基于這一理念：攻擊者更難改變其戰術或技術，而不是僅僅更換低級別的指標（如 IP 地址或哈希值）。CTID 的“攀登金字塔”（Summiting the Pyramid, STP）項目正是基于這一理念而開發的。
?
STP 項目于 2023 年首次啟動，并在 2024 年進行了增強，旨在對檢測分析能力進行評分并加以改進。STP 為防御者提供了一種衡量其檢測能力是否足夠強大的方法：團隊是否主要捕獲了容易更改的低級別指標（金字塔底部），還是針對了更難更改的行為和 TTP（金字塔頂部）？該項目指導檢測工程師創建能夠抵御攻擊者規避行為的分析邏輯，即使攻擊者改進了工具或惡意軟件，檢測邏輯仍然能夠觸發警報。
?
Fortinet 與其他幾家知名網絡安全公司一起為 STP 項目貢獻了專業知識，確保這一框架真正滿足企業防御者的需求。FortiGuard Labs 團隊分享了匿名化的檢測分析和攻擊者案例研究，以測試 STP 方法的有效性。通過將 Fortinet 的檢測內容運行在金字塔評分系統中，團隊驗證了該方法是否與真實世界的數據一致，并幫助優化了評分標準和建議。
?
最終，STP 提供了一個完整的框架，包括方法論和技巧，幫助組織使其分析邏輯更難以被攻擊者規避。
公共與私營合作的力量
這些 CTID 項目展示了公共和私營部門合作所能實現的成果。例如，像 STP 這樣強大的分析模型無法單獨創建，因為沒有任何一個組織擁有所有必要的數據和資源。當知識共享時，所有防御能力都會得到加強。
?
作為防御者，我們必須采用并運營這些工具，為這些生態系統做出貢獻，并在組織內倡導威脅情報驅動的防御工作。每一個點亮威脅觀測生態系統數據的儀表板、每一個由 TIE 預測增強的劇本、每一個通過 STP 評分的檢測規則，都是邁向更安全社會的一步。
聯系瑞技
Fortinet 一直以來都是網絡安全發展以及網絡和安全融合的推動力量，也是業內部署最廣泛、專利最多、驗證最充分的解決方案之一。歡迎來聯系瑞技，一起打造您的專屬網絡安全空間。
400-8866-490?? |? sales.cn@bytebt.com
