360威胁情报中心 发现13个“攻击组织”

大型企业面临高级持续威胁，企业高价值数据资产被窃;、多个政府网站遭到多个境外多个黑客组织的攻击……，在互联网+时代，不断有企业与组织遭到攻击，建立威胁情报中心已经迫在眉睫。近日，记者在中国威胁情报业界专家沙龙了解到，360已经建立全国首个威胁情报中心，并已经发现了至少13个高级持续性威胁。

目前，所有的企业防护在理论上都可能被攻破，一般来说，黑客获得攻击权限后，“分分钟”就可以取得企业的高价值数据，最快不超过一天，但是受害企业站发现被攻击后，需要逐级汇报，响应非常缓慢，几天甚至几周时间才能发现数据泄漏，盾和矛处于严重不平衡状态。

“威胁情报中心就要缩短发现高级威胁的时间，并摸清攻击的来龙去脉与背后的信息，增加攻击者的成本。”360天眼实验室安全专家韩永刚介绍，攻击方利用漏洞攻击，以前没有情报，被攻击方只能发现一个漏洞，补一个漏洞，或是发现一个恶意软件，处理一个，也不知道是否处理完整了，面对高级持续威胁时非常被动。但是有了大数据驱动的威胁情报，只要攻击被人发现一次，马上在全网数据中进行关联推演。攻击者所有手法、工具、跳板都会曝光，被攻击者的防御周期从原来的几周，几个月缩短到天，小时甚至实时，威胁情报中心就是要时刻发现攻击来源，做到看见高级威胁的能力，并帮助用户能立即响应，处理。避免损失。同时，威胁情报中心还可以通过对流量与安全舆情的监控，对大规模网络攻击，如DDoS，大规模Web攻击进行监控与预测。

美国DBIR2015的报告，2014年，接近八万家公司被黑掉，耳熟能详包括索尼、苹果、摩根大通，这其中摩根大通就丢了七千多万的客户信息。

在国际上，如美国已经成立来了网络安全和通信整合中心，专门做政府和企业威胁信息共享的机构。但是又继续成立了网络威胁与情报整合中心，归属国家情报总监办公室，专门为美国政府和企业收集信息和分析信息。可见他们对于网络安全威胁情报的重视。

今年，360公司建设了全国首个企业[韩永刚1] 威胁情报中心，威胁情报中心背后以360公司90多亿样本，几万亿条防护日志和几十亿DNS解析记录，国内最大的漏洞库等海量数据为基础，利用对互联网全网大数据的挖掘，关联分析，机器学习，可视化分析等技术，同时整合了漏洞挖掘、恶意代码分析、攻击分析和威胁情报跟踪等团队的安全分析能力，生产高质量的安全威胁情报，并应用到360企业安全的边界安全，终端安全，未知威胁发现，安全运营管理的产品与服务中。使得数据驱动能够通过威胁情报将这些防御，检测，响应，预测的体系衔接起来。

“以数据为驱动、帮助企业具备持续监测和分析的能力，同时结合360的威胁情报，打造纵深防御。”韩永刚介绍，中心成立以后，已经发现及跟踪13个在中国活跃的APT(高级持续性威胁)组织，并分析出他们对不同行业攻击，攻击事件地域分布、使用漏洞情况、控制服务器情况、注册的域名情况。

著名网络安全威胁情报领域专家金湘宇介绍，威胁情报实际上也是为安全设备升级提供一个契机，将为防火墙等传统安全产品升级提供帮助，国外安全产品支持第三方威胁情报有一两年了，目前国内很罕见。360整合威胁情报资源很有意义，未来对入侵检测、入侵防御、防病毒等都会支持威胁情报。政府机构、安全产品、云安全服务厂家、企业用户可以应用这些成果，最终形成互联网的全面防御。