应急响应术语

原创2025/7/26...大约 15 分钟

IoA

攻击指标 (IoA) 是攻击者可能企图破坏系统的预警信号。它将各种数据片段（包括未知属性、IoC 和上下文信息，例如组织风险和情报）构建成潜在威胁的动态实时态势图。IoA 并非为了识别特定的恶意工具，而是通过关注所有攻击者为破坏系统而必须采取的步骤（例如侦察、初始访问、执行）来识别攻击者的战略意图。IoA 对于检测新的、复杂的网络攻击形式（例如无恶意软件入侵和零日攻击）至关重要。

IoC

入侵指标 (IoC) 指的是在网络或设备上发现的数据物件，可作为系统疑遭入侵的证据：例如，不属于系统目录的文件或可疑 IP 地址。IoC 是“确凿证据”，即已遭受损害的事后指标。网络安全专业人员利用 IoC 来调查事件造成的影响，并训练他们的工具和技术，以更好地检测和隔离日后可能出现的威胁。

MISP

MISP（Malware Information Sharing Platform，恶意软件信息共享平台）是一个开源的威胁情报共享平台/开源软件解决方案，专为网络安全社区设计，用于收集、存储、分发和共享网络安全指标（如恶意软件特征、攻击模式、漏洞信息等），支持事件响应团队、安全分析师和恶意软件研究人员高效协作。其核心目标是推动安全社区内外的结构化信息共享，提升威胁检测与响应能力。

功能

1. 威胁情报管理

• IOC（入侵指标）数据库：高效存储技术与非技术信息，包括恶意软件样本、攻击者情报、事件上下文等。
• 灵活数据模型：支持复杂对象（如攻击活动、关联事件）的链接与表达，适配多种威胁场景。

2. 自动化分析与关联

• 关联引擎：自动发现指标间关系（例如通过模糊哈希匹配、CIDR块分析），识别恶意软件家族或攻击活动。
• 智能分类：集成分类法（如MITRE ATT&CK、恶意软件分类）和标签系统（命名空间-谓词-值的三元组），便于标准化标记。

3. 协同共享机制

• 多级分发：支持组织间同步事件与属性，可定制共享策略（如基于信任组、属性级权限）。
• 委托共享：允许匿名或伪匿名发布情报，保护数据源隐私。
• 实时同步：通过ZMQ/Kafka发布订阅通道推送更新，实现动态情报流转。

4. 集成与扩展

• 多格式支持：

  • 导入：OpenIOC、STIX 1.x/2.x、ThreatConnect CSV等。
  • 导出：生成IDS规则（Suricata/Snort）、STIX、JSON、RPZ策略等。

• API与模块化：

  • RESTful API 和 PyMISP 库支持自定义集成。
  • 插件系统（如misp-modules）扩展功能（如自动化威胁抓取）。

5. 安全与合规

• 端到端加密：通过GnuPG/SMIME加密通知与数据。
• 访问控制：基于角色的权限管理（RBAC）及审计日志。

特性

NTA

定义

在网络安全领域，NTA（Network Traffic Analysis，网络流量分析） 是一种通过监控、解析和分析网络流量数据来识别威胁和异常行为的技术。NTA 是 基于网络流量行为建模的威胁检测技术，通过机器学习、高级分析和规则匹配，持续分析原始流量（包括南北向和东西向流量），构建正常网络行为基线，实时识别偏离基线的可疑活动

• 技术定位：

  • 区别于传统入侵检测系统（IDS）依赖特征库匹配，NTA 侧重于行为异常分析，更擅长检测未知威胁（如0day攻击、内部渗透）
  • 2017年被Gartner列为“11大顶尖信息安全技术”，定位为高级威胁狩猎的核心工具

核心功能

1. 全流量监控与数据采集

• 覆盖范围：监控关键网络节点（如网关、核心交换机），采集原始数据包、NetFlow记录、元数据等
• 部署灵活性：支持物理设备、虚拟探针或云原生部署，适应混合网络环境

2. 智能威胁检测

• 行为基线建模：利用机器学习构建正常流量模型（如访问频率、协议分布），自动标记异常行为（如突发加密流量、异常端口扫描）

• 多维度分析：

  • 深度包检测（DPI） ：解析HTTP/DNS等协议内容，识别恶意载荷
  • 流量关联分析：结合时间、IP关系链，发现APT攻击的横向移动痕迹

3. 安全事件响应与溯源

• 攻击证据链构建：记录异常会话的完整流量（如恶意文件传输路径），支持取证调查
• 自动化响应：联动防火墙、SIEM系统自动阻断恶意IP或生成防护规则

4. 网络性能与合规管理

• 带宽优化：识别非业务流量（如视频流、P2P下载），优化带宽分配
• 合规审计：生成流量分布报告，满足等保2.0中对“异常行为监测”的要求

特性与优势

应用场景

1. 高级威胁狩猎: 检测潜伏数月的高级持续性威胁（APT），如命令控制（C&C）通信的隐蔽心跳包
2. 勒索软件防御: 识别勒索软件加密前的横向扫描行为，早于文件加密触发告警
3. 云安全监控: 分析云内虚拟机东西向流量，防止容器逃逸或未授权访问

SOC

定义

SOC （安全运营中心） 是组织内集中监控、分析、响应和管理安全事件的专职团队或部门，通过人、流程、技术的结合，实现全天候安全防御。其核心目标是保障IT环境与信息资产免受威胁侵害

核心功能

1. 实时监控与检测

   • 监控网络流量、系统日志和终端行为，识别异常活动
   • 集成SIEM工具进行安全事件关联分析，提升威胁发现效率

2. 事件响应与处置

   • 制定响应计划（如隔离受感染主机、阻断恶意IP），缩短事件处理时间（MTTR）
   • 协调内部团队（IT、法务）与外部机构（CERT联盟）协同处置

3. 漏洞管理与合规

   • 定期扫描系统漏洞，评估风险等级并优先修复高风险项
   • 生成合规报告（如GDPR、HIPAA），满足审计要求

4. 威胁情报整合

   • 对接MISP等平台获取IOC（入侵指标），优化检测规则

关键特性

SIEM

定义

SIEM （安全信息与事件管理） 是集中收集、关联分析多源安全日志的​**软件系统**，通过统一平台实现威胁检测与合规管理，是SOC的技术支撑核心

核心功能

1. 日志聚合与标准化: 从防火墙、服务器、应用等收集日志，统一格式存储（支持Syslog、API等）
2. 实时关联分析: 使用规则引擎（如MITRE ATT&CK）关联事件（例如多次登录失败+异常文件访问=内部威胁）
3. 自动化告警与响应: 触发实时告警，并联动SOAR自动阻断攻击（如封禁恶意IP）
4. 合规与报告: 生成预定义报表（如PCI DSS合规报告），支持历史日志回溯取证

关键特性

MTTR

• 定义： （Mean Time To Repair，平均修复时间） 系统从故障发生到完全恢复运行所需的平均耗时

• 功能：

  • 量化系统可维护性，反映故障修复效率；
  • 是计算系统可用性（Availability = MTTF / (MTTF + MTTR)）的关键参数

• 应用场景：

  • 运维管理：优化维修流程（如备件调度、人员响应），缩短停机损失
  • SLA制定：作为服务可用性承诺的量化指标（如云服务承诺MTTR ≤ 30分钟）

MTTD

• 定义： （Mean Time To Detect，平均故障检测时间） 从故障发生到被监控系统或人员识别出的平均耗时

• 功能：

  • 评估监控系统的灵敏度和告警机制有效性
  • 缩短MTTD可降低故障影响范围

• 应用场景：

  • 安全应急响应：攻击入侵后，快速检测威胁（如日志异常分析）

MTTDor

• 定义： （Mean Time To Detect or Respond，平均检测或响应时间） 涵盖故障/威胁的发现（MTTD）及初步响应（如遏制措施启动）的总时间

• 应用场景：

  • 网络安全事件处理：从告警产生到安全团队介入的时效性考核（如MTTA + MTTI ≤ 20分钟）

YARA

• 定义：开源的恶意软件模式匹配语言，通过文本或二进制特征（如字符串、正则表达式）识别恶意文件

• 功能：

  • 创建自定义威胁特征库，实现精准样本检测
  • 支持联动沙箱、EDR等工具自动化分析

• 应用场景：

  • 威胁狩猎：扫描内存/磁盘中的APT攻击痕迹（如特定代码片段）
  • 安全研究：分类恶意软件家族（如Emotet、Ryuk勒索软件）

APT

• 定义： （Advanced Persistent Threat，高级持续性威胁） 由国家或组织支持的、长期潜伏的定向攻击，以窃密或破坏为目标

• 特征：

  • 高级性：使用0day漏洞、定制化恶意软件
  • 持续性：渗透后维持访问权限（如后门驻留数月）

• 应用场景：

  • 防御体系构建：采用威胁情报+行为分析（如UEBA）检测潜伏攻击
  • 取证调查：追踪攻击链（如SolarWinds供应链攻击）

Splunk

功能定义

Splunk 是一个 机器数据（Machine Data）分析平台，专为收集、索引、搜索、监控和分析各类 IT 系统生成的日志与事件数据而设计。其核心价值在于将海量异构数据（如服务器日志、网络流量、应用程序报错等）转化为可操作的洞察

1. 数据采集与索引

• 多源接入：支持从日志文件、API、数据库、网络流等任意来源实时/批量采集数据
• 智能解析：自动提取时间戳、事件类型，并构建高效压缩索引（默认存储于 main 索引）

2. 搜索与分析

• SPL 搜索语言：通过类 SQL 语法实现复杂查询（如 sourcetype="hsl-prod-crawl" facebook OR twitter）
• 关联分析：跨数据源关联事件（基于时间、交易、子搜索等），识别异常模式

3. 可视化与监控

• 交互式仪表盘：自定义图表（饼图、热力图等），实时展示关键指标
• 智能告警：设定阈值触发邮件/API 通知（如异常登录检测）

4. 扩展与集成

• 应用生态：提供数百个官方/社区应用（如网络安全、IT 运维工具包）
• API 支持：通过 Python/Java 等语言开发定制化模块

技术特性

应用场景

1. IT 运维监控: 实时追踪服务器性能瓶颈，预测硬件故障（如 CPU 过载告警）
2. 安全事件分析: 关联防火墙日志与入侵检测数据，快速定位攻击链
3. 业务洞察优化: 分析用户行为日志（如电商交易流），优化页面转化路径
4. 合规审计: 自动化生成满足 GDPR、HIPAA 等标准的审计报告

UIOC

定义

UIOC 网络安全/运维紧急事故处理中心（Urgency Incident Office Center，简称UIOC） 是组织内集中协调、响应与管理网络安全及运维紧急事故的中枢机构，通过整合技术、人员与流程，实现事故的快速定位、遏制与恢复。

• 决策中枢：统一指挥跨部门应急资源，制定优先级策略
• 情报枢纽：聚合实时威胁数据（如SIEM告警、流量分析），驱动响应决策
• 合规引擎：确保响应过程符合等保、GDPR等法规要求

功能

1. 实时监控与预警

• 全域感知：通过SIEM、NTA（网络流量分析）等工具监控网络、主机、应用层异常
• 智能预警：基于AI模型（如行为基线分析）预测攻击路径，提前阻断威胁

2. 应急资源调度

• 资源池化：统一管理应急工具链（如漏洞扫描器、取证工具）、人力资源（红蓝队）及物理设备（备用服务器）
• 动态编排：按事故等级自动匹配响应预案，分配任务至责任人

3. 协同响应与闭环

• 跨部门联动：打通IT、法务、公关团队协作通道，同步处置进展
• 知识沉淀：将处置过程转化为标准化剧本，更新至应急知识库

4. 合规与溯源

• 审计追踪：记录操作日志、数据访问痕迹，满足取证与合规需求
• 攻击溯源：结合威胁情报（如MISP共享的IOC）定位攻击源与手法