从RSAC2017看威胁情报如何落地

 　　年度安全峰会RSA2017已于美国时间2月13日盛大开幕。从最近三年RSA所有演讲的主题词热度可以看出，“Threat”和“Intelligence”都是大家关注的重点。威胁情报厂商也如雨后春笋般出现在网络安全领域，除了新起之秀外，也有不少传统安全厂商将业务扩展到威胁情报领域，纷纷争相推出自己的威胁情报产品。威胁情报”从理念到产品再到客户投入使用只用了短短几年时间，这些嗅觉敏锐的企业是如何占得市场先机的呢?小编从本届RSA大会上选出几家有代表性的威胁情报厂商，介绍下他们是如何将理念付诸实际的，排名不分先后。

　　1.AlienVault

　　国家：美国

　　网站：www.alienvault.com

　　威胁情报产品：OTX开源威胁情报社区、USM安全平台(软件部署)

　　AlienVault现处于Pre-IPO阶段，发展势头良好。旗下产品OTX是全球最大的免费威胁情报社区，每天能够提供超过400，000个威胁情报指标。现在有来自全球140个国家的4万7千名参与者，且用户活跃度很高。社区改变情报的单向发布模式，让订阅者可以和研究人员可以合作沟通，提高情报质量。

　　另一产品USM统一安全管理平台(Unified Security Management)是通过单一平台进行企业整体安全业务管理。声称能够从网络中的任何地方发现威胁，而不仅仅通过防火墙，且能够将发现的威胁以KILL CHAIN的不同阶段进行归类。USM能够提供：

　　·统一、协调的安全监控;

　　·简单安全事件管理和报告;

　　·持续的威胁情报信息;

　　·快速部署;

　　·集成多项安全功能。

　　2.Crowdstrike

　　国家：美国

　　网站：www.crowdstrike.com

　　威胁情报产品：Falcon终端EDR、Falcon威胁情报订阅和Falcon平台

　　CrowdStrike由两名McAfee前员工于2011年创立。该公司提供专注于检测和阻止定向攻击，特色是主动防御。帮助政府和企业发现并阻止正在发生的黑客攻击。客户超过170个国家，全球十大企业中有三家，全球十大金融机构有五家使用crowdstrike的服务。其产品Falcon系统是一个主动防御的大数据云平台。

　　·Falcon终端EDR

　　Falcon终端检测和响应服务方案能够解决Silent failure的问题。(Silent failure:威胁发生到警报响起中间的这段时间)。声称只需5秒调查就能发现历史和正在进行的终端行为;结合威胁情报能力，具备更全面的视角和战术、技术的事件响应能力。

　　部署简单，无需硬件和存储资源。

　　·Falcon威胁情报订阅(Falcon Threat Intelligence)

　　能够获取及时准确的情报信息。支持多种输出格式：yara, snort, CEF等。提供API方式获取情报信息，包括IOC。已分析出了超过70个攻击者的技术、战术和规程信息(TTPs)和攻击团伙信息。提供有API和 Feeds，可以轻松和现存基础设施对接。

　　目前已联合以下公司加入威胁情报交换计划：Agiliance, Centripetal Networks, Check Point Software Technologies, Ltd., General Dynamics Fidelis Cybersecurity Solutions, LogRhythm, ThreatQuotient, and ThreatStream.

　　·Falcon平台

　　基于大数据分析的主动防御平台，可监控企业的数据，侦测零日威胁，并防止定向攻击造成的破坏。平台还可以识别恶意软件，学习攻击者特征，然后形成一套响应措施，提高对方攻击的风险和代价。

　　3.Secureworks

　　国家：美国

　　网站：www.secureworks.com

　　威胁情报产品：Enterprise Security Counter Threat Platform(SaaS)

　　Secureworks是Dell旗下公司，去年独立上市。SecureWorks 是比较典型的MSSP(托管安全服务商)，因此较为中立，整合了全球多家技术和方案为客户提供服务，主要为客户提供安全服务、安全与风险咨询以及威胁情报等。为各种规模的客户同时提供有针对性和全球威胁情报，以及高级或附加服务。戴尔全球威胁情报(Dell Global Threat Intelligence)提供三种基于订阅的数据源：漏洞、威胁和咨询，这是一个通用或者说非针对性威胁情报服务，它是基于从数千SecureWorks全球客户收集的威胁数据。另一方面，戴尔针对性威胁情报(Dell Targeted Threat Intelligence)可以根据特定企业环境、品牌和管理人员进行定制化，以发现潜在威胁和构成潜在风险的威胁因素。SecureWorks附加服务包括攻击者数据库、CTU支持、恶意软件分析和无边界威胁监控。

　　4.Fireeye

　　国家：美国

　　网站：www.Fire.com

　　威胁情报产品：iSIGHT威胁情报订阅、威胁情报服务、邮件安全(硬件)、终端安全、威胁分析平台

　　FireEye先后收购了Mandiant和iSight Partners，从威胁情报订阅服务到Hunting，从硬件到软件到数据，产品线丰富。威胁情报产品有：iSIGHT威胁情报订阅、威胁情报服务、邮件安全(硬件)、终端安全、威胁分析平台。

　　FireEye Threat Intelligence是基于设备的自动化抵御零日和其他高级网络攻击的平台的一部分，小型、中型和大型企业客户可以购买FireEye设备，再订阅该威胁情报产品。该服务让企业可以查看有关全球威胁的海量数据，它旨在帮助FireEye客户识别威胁因素和网络及系统泄露事故的指标。该服务提供三种级别的威胁情报订阅：动态、高级和高级+。