威胁情报相关标准简介上篇

kaller_cui 2018-11-29

展开全文

前言

本文分上下两篇，整理了一些有关威胁情报（Threat Intelligence）的文献中所提及的标准与规范，加以部分的个人观点，期望能有助于增进读者对威胁情报的了解。上篇主要为大家介绍MITRE相关系列标准，下篇将介绍一些其他组织机构发布的主流标准以及我国所发布的标准。

定义

许多机构及文献都曾阐述过威胁情报的定义，目前接收范围较广的是国际权威IT咨询机构Gartner提出的定义：威胁情报是关于IT或信息资产所面临的现有或潜在威胁的循证知识，包括情境、机制、指标、推论与可行建议，这些知识可为威胁响应提供决策依据。

在全国乃至全球范围内进行威胁情报共享，将海量的威胁情报信息汇集起来，可以有效地提高网络空间的安全防御能力。

概述

在威胁情报信息共享方面，美国发展迅速，提出了众多威胁情报共享交换标准。目前国际上尚无通用的威胁情报相关标准，当前的通常做法是用STIX作情报描述，用TAXII传输数据，用CybOX作为威胁情报词汇。以上所提的三个标准皆是由MITRE发布，除此之外，MITRE系列标准还包括MAEC、OVAL、CAPEC等。

STIX

STIX（Structured Threat Information eXpression，结构化威胁信息表达式）由MITRE（一个美国非营利性组织）联合DHS（美国国土安全部）发布，是用来交换威胁情报的一种语言和序列化格式。STIX是开源的、免费的，让那些有兴趣的人做出贡献并自由提问。使用STIX规范，可以通过对象和描述关系清晰地表示威胁情报中的多方面特征，包括威胁因素、威胁活动、威胁属性等。STIX信息可以直观地展示给分析师，或者以JSON形式存储以便快速地进行机器读取。

STIX的适用场景包括以下四种：

（1）威胁分析：包括威胁的判断、分析、调查、保留记录等；

（2）威胁特征分类：通过人工方式或自动化工具将威胁特征进行分类；

（3）威胁及安全事件应急处理：安全事件的防范、侦测、处理、总结等，对以后的安全事件处置能够有很好的借鉴作用；

（4）威胁情报分享：用标准化的框架进行威胁情报描述与共享。

STIX 有两个版本：STIX 1.0基于XML定义，STIX 2.0基于JSON定义；STIX 1.0定义了图1所示的8种对象，STIX 2.0定义了12种域对象（将1.0版本中的TTP与Exploit Target拆分为Attack Pattern, Malware, Tool, Vulnerability；删去了Incident；新增了Report, Identity, Intrusion Set）和2种关系对象（Relationship, Sighting）。

图1 STIX架构

TAXII

TAXII（Trusted Automated Exchange of Intelligence Information，情报信息的可信自动化交换）是用来基于HTTPS交换威胁情报信息的一个应用层协议。TAXII是为支持使用STIX描述的威胁情报交换而专门设计的，但是也可以用来共享其他格式的数据。需要注意的是，STIX和TAXII是两个相互独立的标准，也就是说，STIX的结构和序列化不依赖于任何特定的传输机制，而TAXII也可用于传输非STIX数据。

使用TAXII规范，不同的组织机构之间可以通过定义与通用共享模型相对应的API来共享威胁情报。TAXII定义了一个服务信息交换集合和一个TAXII客户端服务器需求集，以及如下两种主要服务来支持多种通用共享模型。

（1）汇聚服务（Collections）：由TAXII服务器作为情报中心汇聚威胁情报，TAXII客户端和服务器以请求-响应模型交换信息，多个客户端可以向同一服务器请求威胁情报信息。

（2）通道服务（Channels）：由TAXII服务器作为通道，TAXII客户端之间以发布-订阅模型交换信息。通道服务允许一个情报源将数据推送给多个情报用户，同时每个情报用户可接收到多个情报源发送的数据。

汇聚服务和通道服务可以用不同的方式进行组织，比如可以将两种服务组合在一起来支持某一可信组的需求。通过这两种服务，TAXII可支持所有广泛使用的威胁情报共享模型，包括辐射型（hub-and-spoke）、点对点（peer-to-peer），订阅型（source-subscriber）。

图2 TAXII服务模型

CybOX

CybOX（Cyber Observable eXpression，网络可观察表达式）定义了一种表征计算机可观察对象与网络动态和实体的方法，现已经被集成到STIX 2.0中。可观察对象可以是动态的事件，也可以是静态的资产，例如HTTP会话、X509证书、文件、系统配置项等。CybOX 规范提供了一套标准且支持扩展的语法，用来描述所有可被从计算系统和操作上观察到的内容，可用于威胁评估、日志管理、恶意软件特征描述、指标共享和事件响应等。

图3 CybOX数据框架

MAEC

MAEC（Malware Attribute Enumeration and Characterization，恶意软件属性枚举与特性描述）是一种共享恶意软件结构化信息的标准化语言。MAEC的提出旨在消除恶意软件描述当前存在的模糊性和不确定性问题，并降低对签名的依赖性，从而为改变恶意软件研究和响应提供基础。通过这种方式，MAEC寻求改善有关恶意软件的人与人、人与工具、工具与工具，以及工具与人之间的通信，减少研究人员对恶意软件分析工作的潜在重复，并通过利用以前观察到的恶意软件实例的响应来促进对策的快速开发。

如图4所示，MAEC数据模型可以由点和边组成的连接图表示，其中MAEC顶层对象定义为节点，MAEC关系定义为边，关系用来描述MAEC对象之间如何关联。

图4 MAEC数据模型

OVAL

OVAL（Open Vulnerability and Assessment Language，开放式漏洞与评估语言）由MITRE开发，是一种在漏洞分析中常被用来定义检查项、脆弱点等技术细节的描述语言。OVAL使用标准的XML格式组织内容，包含OVAL定义格式（OVAL Definition Schema），OVAL系统特性格式（OVAL System Characteristics Schema）与OVAL结果格式（OVAL Result Schema）三种格式。其中OVAL定义格式具有较为重要的作用，它提供了对系统进行安全评估的操作指南，具有较好的可机读性，可用来描述系统的配置信息、分析系统的安全状态、报告评估结果等。典型的OVAL定义格式的XML文档结构较为简单，主要是将定义（Definition）、测试（Test）、对象（Object）、状态（State）和变量（Variable）等各要素进行枚举，如图5所示。另外，OVAL系统特性格式用于描述系统信息快照，该快照可用于和OVAL定义文件进行匹配以得出评估结果；OVAL结果格式用于描述评估结果。

然而由于表达内容、应用场景的局限性，OVAL并不能满足当前各厂商对威胁情报共享的普遍需求，因此逐步被STIX取代。