威脅聚合分析最佳實踐
更新時間 2024-10-18 14:48:41
最近更新時間: 2024-10-18 14:48:41
分享文章
本小節介紹態勢感知威脅聚合分析最佳實踐。
背景信息
網絡攻擊事件是指通過網絡或其他技術手段，利用信息系統的配置缺陷、協議缺陷、程序缺陷或使用暴力攻擊對信息系統實施攻擊，并造成信息系統異常或對信息系統當前運行造成潛在危害的信息安全事件。
當安全產品檢測到一條威脅事件時，除了要分析威脅事件本身，還要分析威脅事件影響的資產情況，為處置決策提供全面準確的依據。
威脅聚合分析
如下以分析“ssh暴力破解”事件為例，介紹如何進行威脅聚合分析。
-
在威脅聚合頁面，用 “事件名稱” 作為聚合條件進行檢索，查找到一條“ssh暴力破解”事件數據，顯示該事件中受影響資產數有3個。
-
單擊受影響資產數字，進入威脅事件頁面，可以查看這3個資產的具體IP。
-
單擊其中一個資產操作列的“查看詳情”，進入資產詳情頁面，查看該資產的詳情和存在漏洞情況。
-
通過資產歸屬信息，可以立即找到該資產的負責人，為后續處置提供依據。
-
查看資產IP開放的服務，用戶自行比對是否是預期開放的服務。
-
同時也可以查找到資產存在哪些漏洞，通過漏洞列表操作列的“查看詳情”，用戶可以快速找到漏洞修復的解決方案，為后續處置提供依據。
-
處置建議
基于聚合分析提供的數據，有以下處置建議：
- 受攻擊資產IP立即修改密碼。
- 受攻擊資產IP關閉非預期開放的端口。
- 受攻擊資產IP基于漏洞修復方案完成全部漏洞修復。
- 使用態勢感知弱口令檢測功能排查網內資產存在的弱口令風險。
