酷应用

介绍下，这就是绿盟威胁情报平台（NTIP）

百家作者：绿盟科技 2019-12-11 15:09:37

一、为什么需要威胁情报平台

经过多年的研究与发展，威胁情报的生产和消费体系日趋完善。威胁情报正融入企业安全管理周期的各个阶段，着力提升威胁预警、安全加固、入侵检测、应急响应等安全过程的准确性、及时性和有效性。

随着应用的逐步深入，越来越多的企业发现：外部安全厂商和情报厂商提供的情报数据和服务已无法完全满足其安全业务需求，亟须构建自己的威胁情报平台来支撑内部的情报应用需求。究其原因，主要来源于以下几个方面：

（1）出于对自身安全的考虑，本地业务环境不允许连接互联网情报平台；

（2）各情报厂商提供的威胁情报有一定的局限性，而用户关注多源情报的融合和管理；

（3）外部情报中心无法提供所需的个性化情报数据，如行业情报、本地特色情报等；

（4）各情报厂商的情报数据格式和消费接口存在较大差异，无法满足本地快速消费的场景需求；

（5）为将威胁情报与本地安全业务深度融合，本地需要定制化的情报业务能力，如云平台租户的情报消费管理等。

二、绿盟威胁情报平台 NTIP

绿盟威胁情报平台（NSFOCUS Threat Intelligence Platform，简称 NTIP），是绿盟科技依托其威胁情报中心（NTI）多年的威胁情报运营和应用经验研发的企业级威胁情报平台产品，是一款面向企业用户的软件化部署平台，着重于满足企业快速构建本地自有情报平台，实现威胁情报管理和应用的核心需求。

NTIP 可以自动更新、管理和应用 NTI 提供的威胁情报、开源情报、第三方商业情报源以及用户本地情报，提供本地化的威胁情报管理和应用能力，包括多源情报融合和生命周期管理，重大事件能及时预警，为事件响应与决策提供信息。通过 API 与本地安全产品集成等，帮助企业建立自己的情报运营体系，全面提升企业威胁检测和响应能力。

三、典型应用场景

威胁事件检测与防护

本地安全设备（如 IDPS/NF/WAF/ADS 等）定期从 NTIP 获取情报数据，利用情报进行实时威胁事件检测，安全设备将命中统计反馈给 NTIP，NTIP将高危命中 IOC下发到安全设备进行防护。

威胁事件判定与响应

本地大数据分析平台（如 SIEM/SOC 等）定期从 NTIP 获取情报数据，同时平台将收集到的海量告警日志去重后，利用情报对告警事件进行判定，确定威胁事件的重要程度，产生对应的处置策略 / 告警工单，加速响应流程。同时，NTIP 提供的基础信息及攻击组织情报可协助安全平台完善攻击者画像，帮助企业有针对性地防御所面对的真实攻击者。

企业级情报应用体系

以企业本地 NTIP 为核心的企业级情报应用体系。

威胁情报平台不仅是企业内部管理和应用情报的核心组件，更是企业间构建协同防御生态、快速应对外部威胁的桥梁。随着企业应用威胁情报的逐步深入，威胁情报平台正成为安全体系不可或缺的重要基础设施。

绿盟威胁情报平台（NTIP）面向自主情报管理和应用需求，为企业用户提供多源接入、自主管理、消费管控等一体化解决方案，产品融合了绿盟科技在威胁情报运营与应用方面的丰富经验和技术成果。它不但能极大增强现有安全产品的防御能力，同时还能通过情报共享拉通安全资源，整合安全企业的专业能力，构建预警、检测、响应、追溯一体化的立体防御体系，能有效实现及时发现、快速响应，以应对高级威胁和新型攻击。