作为F5首席技术官办公室的一部分，Advanced Threat Research Center of Excellence致力于揭示困扰互联网的普遍威胁背后的秘密。作为对F5 Labs侧重威胁情报的补充，ATRCoE开展高级威胁研究，从外部视角审视网络安全风险。随后，团队会分析这些研究成果，形成具有启发性的网络安全前沿观点和洞察。
在Aditya Sood 博士的带领下，这个新团队已发现多种高级威胁，并在 Virus Bulletin、Elsevier Magazines、BlackHat Arsenal 等出版物，以及 Texas Cyber Summit、BSides Berlin、Hack-in-Paris、Secure 360、Virus Bulletin 等知名安全会议上发布研究成果。以下是部分值得关注的成果：
- Collector-Stealer：源自俄罗斯的信息窃取程序
- 剖析AZORult C&C面板
- 新冠疫情相关威胁态势
- Enfilade工具：检测MongoDB中的勒索软件感染
- 使用机器学习和人工智能检测DGA（域名生成算法）攻击
- 加密货币劫持：利用NVIDIA驱动程序入侵Kubernetes集群
- 入侵物联网C&C面板以发现感染情况
该团队由威胁研究人员和开发工程师组成：
- Amit Nagal是F5首席数据科学家，在机器学习和分析领域拥有超过15年的经验。他拥有MGS university发展科学博士学位，曾就职于Verizon和JPMorgan Chase。
- Bharathasimha Reddy Devarapally是F5的软件工程师。他于2020年获得印度瓦朗加尔国立理工学院计算机科学学士学位，一直积极参与F5的威胁研究工作。
- Ruthvik Reddy Sankepally是F5的软件工程师，毕业于BITS Pilani Hyderabad，获计算机科学工学学士学位。
团队如何发现威胁
ATRCoE团队重点研究威胁的战略、运营、战术和分析层面。团队通过了解高级威胁带来的业务风险和影响，确定威胁研究主题。随后，他们深入剖析这些威胁，找出其技术、战术和程序（TTP）、知识、技能和能力（KSA），以及攻击基础设施和发起平台（AIL）。基于这些背景信息并研究现有成果，团队奠定研究基础，并确定适当的应对方法。应对方法可以是防御型、进攻型或混合型；采用的技术可以是主动式、响应式或两者结合。团队通过构建开源工具，并在各类安全门户网站和会议上发布研究成果来共享威胁情报。
威胁如何引起ATRCoE的关注
研究主题的选择基于内部开发的TRIG（威胁研究与情报生成）框架，并根据其与互联网上持续存在的高级威胁的相关性来确定。鉴于事态紧迫且会影响F5产品，高危且受到广泛关注的高级威胁（包括零日漏洞）会得到优先关注。例如，ATRCoE分析了AZORult、Collector-stealer和Blackguard等由国家级攻击者专门使用的高级威胁。
此外，ATRCoE还致力于运用机器学习和人工智能（ML/AI）应对网络安全挑战。例如，在F5安全数据仓库中，以结构化格式分析大量DNS（域名服务器）和HTTP（超文本传输协议）日志，再深入探索这些数据，从中发现值得关注的威胁痕迹和威胁态势趋势，以了解当前面临的挑战。相关成果包括该团队已发布的以Covid-19为主题的网络钓鱼网站研究，以及Project Astra的域名生成算法（DGA）检测研究。
ATRCoE研究所用工具
该团队采用混合方法，使用多种工具开展分析、自动化和情报工作，包括内部设计的自定义脚本、nmap、masscan、wireshark、tshark、bro、Radare2/Cutter、Ghidra、python等开源工具，以及Burp proxy等企业级工具。
_____
由于此类研究的性质，很难预测新内容的发布时间，但该团队很快会带来更多内容。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。