2016SANS网络威胁情报峰会一瞥
给留守到最后的人给火车上的人解解闷，SANS网络威胁情报峰会(CTIsummit2016)在美国时间2月3日-4日刚刚举行完。今年没机会去现场，刷了两天墙外的现场报道。
情报熟了
今年还是在华盛顿举行，主持还是Forrester的Rick Holland和洛克希德·马丁Mike Cloppert，两天大概20来个议题。分享的人跟去年有不少重合的。撑起这场会议的speaker主要还是我上一篇公众号《如何选择威胁情报厂商》里提到那些厂商。一如今年议题里面出现比较多的一个字眼“Maturity”，似乎情报已经热熟了，也没有太多新的东西了。更多的是讨论现有基础上如何做成熟，做得好。不过今年是多了几家大厂商像mandiant，像CrowdStrike上去讲。
议题一瞥
- The Levels of Threat Intelligence
洛克希德·马丁Mike讲第一个议题。看上去是科普性的介绍一下情报的层级，历史以及应用情况。
- An End User’s Perspective on the ThreatIntelligence Industry
摩根银行 CISO讲金融机构怎么运用威胁情报。
- Threat Intelligence Awakens
Forrester的Rick讲情报市场的醒觉。（这个议题已经有PPT）
- Plumbing’s Done! Now What Do We Do With AllThis Water
国土安全部的高级技术官讲一个已经成功在使用的CTI应用。估计主要应该偏向于STIX/TAXII标准的落地情况。
- Turning Malicious VBA into a Source ofThreat Intelligence
洛克希德·马丁赞助的午餐，讲了他们那套文件IDS LaikaBOSS
- Multivariate Solutions to Emerging PassiveDNS Challenges
还是Dr. PaulVixie讲，去年他也有个类似的议题。
- Data Mining Malware for Fun and Profit:Building a Historical Encyclopedia of Adversary Information
这个议题比较有意思，讲述基于VirusTotal的大量历史数据，如何关联出历史的攻击情况。怎样用这些数据构建情报系统。
- Community Intelligence &Open Source Tools: Building an Actionable Pipeline
Scott J. Roberts去年也有讲，每场他讲的内容都不一样，每次都有新鲜的东西，这次也不例外。从收集、分析、利用等阶段讲述如何通过开源工具构建情报系统。
- Six Years of Threat Intel: Have We Learned Nothing?
从当年google的极光事件就开始提出APT的概念，作者利用情报金字塔的理论回顾过去6年的公开情报报告。从中检查这些报告里面含有的情报，有哪些一直没变的或者变化的。
- Data-Driven Threat Intelligence: Metrics on Indicator Dissemination and Sharing
还是Alex Pinto讲他的MLSec和Niddel计划。快速翻了一下他的材料，很多都跟去年的差不多。可能今年更侧重于讲讲他项目运作一年收到的情报和问题吧。这个议题的PPT也有了。
- You Got 99 Problems and a Budget’s One
这个议题是Rapid7的美女来讲，讲了不少high level层面东西。又提到了四个层面的威胁情报strategic -> operational -> tactical -> technical
跟管理层汇报情报的要多看看这个议题。
-
The Revolution in Private Sector Intelligence
作为第二天的第一个议题，由mandiant的网红Richard Bejtlich来讲情报掀起的这场革命的情况。
- Hide and Seek: How Threat Actors Respond in the Face of Public Exposure
这个议题也很有意思，由FireEye讲那些公开了的APT报告对攻击方的影响。Fireeye发布那么多APT报告，这个话题由他们来讲讲应该挺合适的。讲述APT报告公开后如何影响攻击者的在策略，时间线，还有使用的资源上的改变。
- There Can Be Only One!: Last CTI Vendor Standing Pitch
大概是个圆桌会议吧，有4个厂商，主持人给四个情报厂商每人10分钟时间说服听众用他们的情报。DomainTools的，RecordedFuture的，Centripetal Networks和UpLevel Security。
- Anticipating Novel Cyber Espionage Threats
iSight讲的一个议题。攻击总是无可避免，如何基于历史的趋势，评估哪些攻击团伙才是真正对企业构成大的危害。
- Cyber Threat Intel: Maturity and Metrics
这个议题讲述如何基于情报周期，来评判一个成熟的情报项目应该是怎样的。这个PPT也有公开了。
- Borderless Threat Intelligence: Proactive Monitoring your Supply chain and Customers for Signs of Compromise
情报厂商ThreatStream讲的如何通过情报防护和警惕“队友”被攻击对自己造成的威胁。“队友”是例如供应商、大量被泄露的账户密码，客户，可信的第三方合作伙伴。
- We Can Rebuild Him; We Have the Technology
情报厂商ThreatConnect谈他们的情报平台，和处理分析步骤。关键字“YARA hunting & Sandboxing”
- From the Cyber Nerdery to the Board Room
最后一个议题由CrowdStrike讲传统的情报训练如何适应现代业务的需求来运用到信息安全领域。
有些议题看上去还是很有吸引力的，不过大部分现在都还没看到PPT，所以都是白说。所以还刷点现场分享的“干货”
各种CC地址、域名的免费feed，更新还挺及时的：（后来经提醒其实很早就有这个资源了）
http://osint.bambenekconsulting.com/feeds/
情报的四个层级的参考来源：
参考：http://www.cpni.gov.uk/advice/cyber/Threat-Intelligence/
各种常见的远控RAT工具：
https://github.com/kevthehermit/RATDecoders
几个已经找到的PPT放到网盘了：
http://pan.baidu.com/s/1i4dIWID
提取密码：mcye
顺祝各位猴年大吉！新年快乐！
欢迎关注zsfnotes的公众号
