情報驅動應急響應

序言1
前言4

第一部分 基礎知識

第1章 概述11
1.1 情報作為事件回應的一部分11
1.1.1 網路威脅情報的歷史11
1.1.2 現代網路威脅情報12
1.1.3 未來之路13
1.2 事件回應作為情報的一部分13
1.3 什麼是情報驅動的事件回應14
1.4 為什麼是情報驅動的事件回應14
1.4.1 SMN行動14
1.4.2 極光行動15
1.5 本章小結16

第2章 情報原則17
2.1 資料與情報17
2.2 來源與方法18
2.3 流程模型21
2.3.1 OODA迴圈21
2.3.2 情報週期23
2.3.3 情報週期的應用案例27
2.4 有品質的情報28
2.5 情報級別29
2.5.1 戰術情報29
2.5.2 作業情報29
2.5.3 戰略情報30
2.6 置信級別30
2.7 本章小結31

第3章 事件回應原則32
3.1 事件回應週期32
3.1.1 預備33
3.1.2 識別34
3.1.3 遏制35
3.1.4 消除35
3.1.5 恢復36
3.1.6 反思37
3.2 殺傷鏈38
3.2.1 目標定位40
3.2.2 偵查跟蹤40
3.2.3 武器構造41
3.2.4 載荷投遞45
3.2.5 漏洞利用46
3.2.6 後門安裝46
3.2.7 命令與控制47
3.2.8 目標行動47
3.2.9 殺傷鏈舉例49
3.3 鑽石模型50
3.3.1 基本模型50
3.3.2 模型擴展51
3.4 主動防禦51
3.4.1 阻斷52
3.4.2 干擾52
3.4.3 降級52
3.4.4 欺騙53
3.4.5 破壞53
3.5 F3EAD53
3.5.1 查找54
3.5.2 定位54
3.5.3 消除55
3.5.4 利用55
3.5.5 分析55
3.5.6 傳播56
3.5.7 F3EAD的應用56
3.6 選擇正確的模型57
3.7 場景案例：玻璃巫師57
3.8 本章小結58

第二部分 實戰篇

第4章 查找61
4.1 圍繞攻擊者查找目標61
4.1.1 從已知資訊著手63
4.1.2 查找有效資訊63
4.2 圍繞資產查找目標69
4.3 圍繞新聞查找目標70
4.4 根據協力廠商通知查找目標71
4.5 設定優先順序72
4.5.1 緊迫性72
4.5.2 既往事件72
4.5.3 嚴重性73
4.6 定向活動的組織73
4.6.1 精確線索73
4.6.2 模糊線索73
4.6.3 相關線索分組74
4.6.4 線索存儲74
4.7 資訊請求過程75
4.8 本章小結75

第5章 定位77
5.1 入侵偵測77
5.1.1 網路告警78
5.1.2 系統告警82
5.1.3 定位“玻璃巫師”84
5.2 入侵調查86
5.2.1 網路分析86
5.2.2 即時回應92
5.2.3 記憶體分析93
5.2.4 磁片分析94
5.2.5 惡意軟體分析95
5.3 確定範圍97
5.4 追蹤98
5.4.1 線索開發98
5.4.2 線索驗證99
5.5 本章小結99

第6章 消除100
6.1 消除並非反擊100
6.2 消除的各階段101
6.2.1 緩解101
6.2.2 修復104
6.2.3 重構106
6.3 採取行動107
6.3.1 阻止107
6.3.2 干擾108
6.3.3 降級108
6.3.4 欺騙108
6.3.5 銷毀109
6.4 事件資料的組織109
6.4.1 行動跟蹤工具110
6.4.2 專用工具112
6.5 評估損失113
6.6 監控生命週期113
6.7 本章小結115

第7章 利用116
7.1 什麼可以利用117
7.2 資訊收集117
7.3 威脅資訊存儲118
7.3.1 信標的資料標準與格式118
7.3.2 戰略資訊的資料標準與格式121
7.3.3 維護資訊123
7.3.4 威脅情報平臺124
7.4 本章小結126

第8章 分析127
8.1 分析的基本原理127
8.2 可以分析什麼129
8.3 進行分析130
8.3.1 拓線數據131
8.3.2 提出假設134
8.3.3 評估關鍵假設135
8.3.4 判斷和結論138
8.4 分析過程與方法138
8.4.1 結構化分析138
8.4.2 以目標為中心的分析140
8.4.3 競爭性假設分析法141
8.4.4 圖形分析143
8.4.5 反向分析方法144
8.5 本章小結145

第9章 傳播146
9.1 情報客戶的目標147
9.2 受眾147
9.2.1 管理人員/領導類客戶147
9.2.2 內部技術客戶150
9.2.3 外部技術客戶151
9.2.4 設定客戶角色152
9.3 作者154
9.4 可行動性156
9.5 寫作步驟157
9.5.1 規劃158
9.5.2 草稿158
9.5.3 編輯159
9.6 情報產品版式161
9.6.1 簡易格式產品161
9.6.2 完整格式產品165
9.6.3 情報需求流程173
9.6.4 自動使用型產品176
9.7 節奏安排180
9.7.1 分發180
9.7.2 回饋181
9.7.3 定期發佈產品181
9.8 本章小結182

第三部分 未來之路

第10章 戰略情報185
10.1 什麼是戰略情報186
10.2 戰略情報週期189
10.2.1 戰略需求的設定189
10.2.2 收集190
10.2.3 分析192
10.2.4 傳播195
10.3 本章小結196

第11章 建立情報計畫197
11.1 你準備好了嗎197
11.2 規劃情報計畫199
11.2.1 定義利益相關者199
11.2.2 定義目標200
11.2.3 定義成功標準201
11.2.4 確定需求和限制201
11.2.5 定義度量203
11.3 利益相關者檔案203
11.4 戰術用例204
11.4.1 SOC支持204
11.4.2 指標管理205
11.5 運營用例206
11.6 戰略用例207
11.6.1 架構支持207
11.6.2 風險評估/戰略態勢感知208
11.7 從戰略到戰術還是從戰術到戰略208
11.8 雇用一個情報團隊209
11.9 展示情報計畫的價值209
11.10 本章小結210

附錄 威脅情報內容211

歡迎來到情報驅動事件回應這個激動人心的世界！情報（具體點說，網路威脅情報）擁有巨大的潛力來説明網路安全防禦者更好地瞭解和響應攻擊者的行為。

本書目的是展示情報如何適配事件回應的過程，幫助回應者瞭解他們的對手，以減少檢測、回應和補救入侵所需的時間。長期以來，網路威脅情報和事件響應都是密切相關的，事實上兩者有著千絲萬縷的關係。威脅情報可以很好地支撐事件響應，同時事件響應的過程也產生了可以被進一步利用的威脅情報。本書的目的是説明讀者瞭解、實施情報驅動的事件回應，並從中獲益。
我們為什麼寫這本書

近年來，我們看到一種趨勢，事件響應從以前的獨立活動到現在成為整體網路安全計畫的一個組成部分。與此同時，網路威脅情報正在迅速變得越來越受歡迎，更多的公司和事件回應者正在努力瞭解如何將威脅情報納入其業務。對抗是真實的，自從我們學習了如何將傳統的情報原則應用於事件回應實踐，伴隨這個過程而來的痛苦也與日俱增，但是我們知道這是值得的，反之亦然。

因此，我們寫了這本書將兩個世界（威脅情報和事件回應）彙聚在一起，展示它們如何更有力、更有效地相互促進，幫助實踐者縮短將其納入業務的時間。