什麼是網路安全中的資訊共享？

顧名思義，資訊共享就是與他人分享資訊。想像一下，你擁有一家小型企業，而這家企業突然成為網路威脅的受害者。你會怎麼做？你缺乏資源與電腦安全防護，而你的系統基礎架構將會逐漸但確實地落入網路犯罪分子的控制之中。

小型企業別無選擇，只能尋找可分享與其所面臨問題相關資訊的平台。幸運的是，確實存在一些資訊共享社群，會分享有關如何防禦網路威脅的寶貴資訊，讓組織能夠迅速學習並實施相關策略。

在我們當今所處的世界中，這一點至關重要，而在本文中，我們將了解什麼是資訊共享、其最佳實務、其優勢，以及其挑戰。

了解網路安全中的資訊共享

什麼是資訊共享？

資訊共享是指利害關係人彼此分享有關 cyberattacks 與弱點的重要資訊，以規劃、處理及制定網路安全措施。這是因為單一組織無法獨自識別並緩解所有網路攻擊。然而，必須注意的是，資訊共享必須具備安全性、可信任性與可擴充性，因為這是所有利害關係人與網路安全社群所依賴的主要基礎。

這些網路安全社群與利害關係人利用其他有經驗人士所蒐集的知識，更深入了解網路威脅。他們的目標很簡單——分享有關不同網路攻擊的重要資訊，並強化彼此的安全基礎架構。

網路安全中資訊共享的範例

為了了解資訊共享如何運作，我們將看看資訊共享與分析中心（ISAC）、政府及其成員之間資訊共享的範例。

然而，在我們深入探討網路安全中的資訊共享之前，先來了解 ISACs 究竟是什麼。ISACs 最早於 1998 年在美國推出，主要處理關鍵基礎架構弱點，並透過在產業內分享重要資訊，協助保護組織免受網路威脅。

在同一體系下，資訊共享與分析組織（ISAOs）由前總統 Barack Obama 設立。現在我們已經對 ISACs 和 ISAOs 有了基本概念，接著來看一個範例。

假設政府從某個 ISAC 成員的網路系統中發現可疑活動情報，因此將指示該成員採取必要行動，並由 ISAC 營運中心將該情報散布給其他成員。在另一種情況下，ISAC 成員會在其系統中發現異常活動，並立即通知營運中心。該中心會建議該成員聯繫政府以獲得支援。一旦完成此程序，政府便會將其關於該事件的情報分享給其他成員。

然而，儘管 ISACs 致力於提供安全、公平且有價值的資訊共享機制，但參與率卻不盡理想，原因在於與資訊共享相關的疑慮與風險超過了其帶來的好處。

如前所述，ISAO 允許組織安全地分析並分享有關網路安全攻擊、威脅、風險與事件的敏感資料。雖然 ISACs 只能在關鍵基礎架構產業內與其成員分享資訊，但 ISAOs 可以在其他產業之間分享資訊。

與 ISACs 不同，ISAOs 的溝通方式可自訂，因為它為不同類型與類別的組織提供彈性方法，例如各產業中的小型企業，包括法律、顧問公司、會計，以及支援跨部門客戶的公司等。

ISACs 與 ISAOs 所分享的資訊至關重要、即時且具情境脈絡。透過這種強大的協作，資料能夠頻繁且快速地共享，使組織得以保護自己免受網路威脅。儘管 ISAOs 的結構對其他產業及其成員偏好更具包容性，但 ISACs 與 ISAOs 的理念都是安全至關重要。

ISACs 與 ISAOs 強調協作與資訊共享的必要性，透過與擁有相同目標——保護其系統基礎架構——的人交換與接收威脅資訊，來改善組織的安全態勢。此外，這也能輕鬆協助個人與社群實施可緩解網路威脅與攻擊的策略。

資訊共享的優勢

資訊共享可對新型威脅提供有效回應。共享資訊可降低網路攻擊風險、協助網路安全仲裁者取得最佳防禦，並使組織能夠協同合作，在個人與國家層級維持安全。

此外，依據揭露資訊的類型不同，還可將其分為各種類別。

1. 降低損害： 它可協助組織更快發現安全漏洞，並減少由網路安全弱點引發的損害。
2. 減少網路安全事件： 它可強化對新威脅的集體回應，降低對手從組織蒐集資訊的可能性，並減少利用此類資訊對其他機構發動攻擊的情況，從而防止對系統、產業或部門造成連鎖效應。
3. 有效回應網路威脅： 它可確保所有組織都了解數位環境中的眾多威脅，並更深入理解網路犯罪分子的行為方式、其伎倆、方法與程序，以及如何防禦這些持續變化的威脅。
4. 簡化程序： 它可能有助於簡化行政程序並加速資訊處理，確保資訊共享系統中的利害關係人在面對網路攻擊時能迅速回應。
5. 降低成本： 它可消除重複的成本與工作，甚至讓組織無需彙整所有必要資源，也能透過開發解決方案來防禦網路攻擊。需要注意的是，只有在共享資訊的網路規模足夠大時，資訊共享的能力才具有重要意義。

歸根究柢，知名組織可能比那些較不容易遭利用或攻擊的組織，更能從資訊共享中受益。

資訊共享的挑戰

無論是大型或小型企業，或公部門與私部門，在決定如何共享資訊時都會面臨挑戰，因為必須避免涉及風險或揭露關鍵網路情報，進而危及整體安全態勢。此外，公私部門在彼此共享資訊時，也難以依循具體指引，以確保資訊具相關性並避免雜訊。

這些挑戰包括：

1. 與其他方共享資訊存在許多責任與法規遵循問題——尤其是與競爭對手或監管機構以外的政府機關共享時。
2. 由於產業與部門數量龐大且區隔不同，資訊內容也會有所差異。
3. 一項重大挑戰是共享者之間缺乏信任與溝通。人們只信任專業人士、可驗證的專家，以及在分享與接收資訊之間取得適當平衡的利害關係人。
4. 資訊共享涉及法律與隱私疑慮。
5. 組織與利害關係人無法接受對他們而言看似新穎或陌生的事物，例如資訊共享。此外，技術能力不足或缺乏技術知識，可能導致資訊共享工作失敗，因為這會使其變得困難或低效率。

資訊共享最佳實務

組織應採取統一的方法，超越自身的安全措施，才能有效防禦複雜且持續存在的威脅。資訊共享是提升網路安全防禦最有力的策略之一，因為它能善用網路安全社群的知識與理解。

讓我們探討一些高效資訊共享的最佳實務，使組織能擁有強大、安全且可靠的安全系統，以防範網路威脅。

1. 簡化資訊共享流程： 為了最佳化並簡化資訊共享流程，組織應使用先進工具與技術，以便能在組織之間安全且有效率地共享資訊。透過運用自動化流程，可從各種來源蒐集資訊，並在將最相關的資訊傳播給可信任的利害關係人之前，先進行資料豐富化與標準化處理。這可減少網路犯罪分子可乘之機。
2. 安全協作： 組織必須實施強大的存取控制，以確保敏感資訊僅會交換給經授權的個人或企業。這有助於防止資料遭到濫用並維持機密性。
3. 資訊共享規則： 此外，制定規則以防止散布若不當分享可能導致負面後果的資訊也很重要，這不僅關乎組織本身，也關乎其客戶與合作夥伴。這些規則應包括接收者應具備多高的可信度、所分享資料的敏感程度，以及分享或保留不同類型資訊的潛在影響。
4. 資訊分享的範圍： 組織應與其資源和目標保持一致。其主要目標應是向其他組織和利害關係人提供最有價值的資訊。範疇界定活動應識別利害關係人授權的資訊類型、在何種條件下允許分享該資訊，以及可與哪些對象和應與哪些對象分享該資訊。
5. 集體知識： 組織可以與可信賴的同業、產業合作夥伴及經驗證的資訊分享社群協作，採取可強化其threat intelligence能力並制定策略的措施，使其能夠避開網路犯罪分子的各種伎倆與技術。
6. 主動豐富指標： 組織可透過為其產生的每個指標建立中繼資料，提升威脅資訊的實用性與效率。中繼資料可提供脈絡，說明為何使用該指標、應如何解讀，以及它與其他指標之間的關聯。應建立相關程序，說明如何發布與更新指標及其相關中繼資料，以及如何撤回錯誤資訊或無意間分享的資訊。
7. 資訊分享網路： 資訊分享網路為組織提供安全的空間，以分享洞察、共同合作，並一致對抗網路威脅。然而，遵循特定準則仍然很重要，例如建立明確目標、培養相互信任，以及積極參與和協作，以發展穩固的關係與強大的資訊分享網路。

資訊分享在網路安全中的角色

當組織面臨網路威脅時，網路安全中的資訊分享至關重要，尤其是面對專門針對該特定組織量身打造的威脅時更是如此。這類威脅可透過分享資訊等集體行動來減輕。因此，所分享的資訊可提醒其他組織，讓它們有機會做好準備，並防禦這些來自網路犯罪分子的新手法與不斷演變的攻擊。

協作環境中的資訊分享

信任在資訊分享中扮演重要角色，因為資訊分享通常始於非計畫性的協作，尤其是在災難期間，不同部門與競爭對手會共享一致的目標。

臨時性協作會隨著時間建立信任，而組織也能確信各方會如預期般運作，也就是說，他們會將傷害降到最低並將安全性提升到最高。儘管具有挑戰性，組織仍必須致力於維持這些臨時性協作，以便建立框架，不僅用於建立信任，也能主動協作並降低網路威脅風險，同時考量資訊分享的「內容」、「時機」、「原因」與「方式」。

此外，組織應建立程序，以便能快速分享威脅資訊，同時滿足其保護敏感資訊的責任。此外，這也能減少混淆，並提高組織內部及其相關各方對資訊分享工作的支持。

組織的程序應考量並納入各種組成要素，例如：

1. 識別可與可信參與者輕鬆分享的威脅資訊。
2. 保護可能包含機密資料的威脅資訊。
3. 制定處理敏感資訊外洩的計畫。
4. 在可行的情況下，自動化威脅資訊的處理與分享。
5. 說明資訊處理標示如何被使用、監控與施加。
6. 在必要時，允許匿名資訊分享。
7. 追蹤威脅資訊的內部與外部來源。

這可透過改善協作來幫助組織更妥善地管理網路安全風險。這些程序不僅能讓關鍵利害關係人有效分享資訊，也能促進與獲授權外部社群的協作。

資訊分享與惡意軟體偵測

資訊共享對於為所有人擴展網路安全領域而言非常重要。隔離與防範網路攻擊需要來自其他組織的強大團隊合作。透過快速分享有關威脅、攻擊與弱點的關鍵資訊，可以大幅降低網路事件的範圍與影響程度。藉由適當的程序、策略與網路，資訊共享可簡化事件回應程序，並防止或減輕新興網路威脅的影響。

它可以提升malware detection的速度與準確性，因為它可為跨不同網路判定與驗證惡意樣本提供更深入的脈絡與證據。它也能改善各類安全參與者之間的協作與協調，因為它能促進惡意軟體分析知識與最佳實務的分享。

為了改善惡意軟體偵測，最有用的威脅資訊分享方法包括加入 ISAC、參與允許資料分享的政府主導計畫，以及與可信賴的對象建立正式協議，以安全地分享威脅資訊。

資訊分享平台：強化網路安全

資訊共享平台已廣泛提供給大眾，以及政府機構、教育工作者、醫療從業人員和執法單位等不同產業與部門使用。要以人工方式檢視大量威脅情報，並加以比較與分析以產出情報，是相當困難的。然而，現代資訊共享平台可透過自動化多項流程，例如威脅情報的擷取、標準化、關聯、豐富化、分析與散布，使安全團隊能夠有效因應這些挑戰。

新平台可讓組織、ISAC 與 ISAO 成員、利害關係人、子公司及監管機構無縫分享或接收威脅情報。高品質的資訊分享平台可分析並散布各種伎倆、方法與流程、threat actors、其方法論以及事件等資訊。

所有這些資訊都會透過 Trusted Automated Exchange of Indicator Information (TAXII) 與 Structured Threat Information eXpression (STIX) 以即時且機器可讀的格式進行交換。雖然 TAXII 和 STIX 都不是軟體或平台——前者是應用層通訊協定，後者是程式語言——但它們是讓資訊可被理解與分享的基礎構件與標準。

資訊分享平台通常包含以下類別：

1. 資訊分享與分析中心 (ISAC)
2. 威脅情報平台 (TIP)
3. 如 Stack Exchange 和 Reddit 的線上社群與論壇
4. 政府警示系統
5. 民間部門網路安全公司的情報來源
6. 產業協作網路

此外，還有像 Malware Information Sharing Platform (MISP) 這類平台，這是一款免費的開放原始碼軟體，可用於分享網路安全指標與威脅資訊；以及 Threatvine Hub，其設計用於安全的跨部門資訊分享，以安全處理網路安全事件，使其更有效率且更具效益。

結論

資訊分享是指傳送者與接收者之間一對一的資訊交換。許多組織無法看見更大的全貌，且缺乏資源來讓其安全態勢足以抵禦網路威脅與攻擊。

然而，在資訊分享的幫助下，單一實體或組織可以分享有關各種網路威脅的重要且多元的資訊，並共同制定策略，以擾亂在地與區域性的威脅及威脅行為者。歸根究柢，這是為了幫助生態系中的每個人保護其平台安全。