Cisco Talos

Cisco Talos，又称Cisco Talos威胁情报组，是思科系统旗下的网络安全研究与威胁情报组织。该组织总部位于马里兰州富尔顿，负责调查恶意软件、网络犯罪团伙、漏洞、僵尸网络、勒索软件、间谍活动以及针对关键基础设施的攻击。其研究成果用于改进思科的安全产品组合，包括网络防护、终端安全、DNS安全、云安全、邮件过滤、入侵防御和事件响应服务。该组织还向更广泛的安全社区发布技术情报，并与科技公司、执法机构、政府组织及其他网络安全研究人员合作。 Talos成立于2014年8月，此前思科收购了Sourcefire，并合并了多个研究与安全团队：Sourcefire的漏洞研究团队、思科的威胁研究、分析与通信团队，以及思科的安全应用组织。Sourcefire的传统对Talos很重要，因为Sourcefire由Martin Roesch创立，他是开源入侵防御系统Snort的创造者。Sourcefire基于Snort的商业技术后来成为思科Firepower产品线的基础。Talos继续维护Snort和ClamAV防病毒引擎，同时将业务扩展到大规模威胁狩猎、漏洞披露、恶意软件分析、对手追踪和事件响应。 该组织以对高影响活动和漏洞的研究而闻名。其公开工作包括分析Nyetya或NotPetya破坏性恶意软件爆发、VPNFilter路由器恶意软件、与2018年冬奥会相关的Olympic Destroyer攻击、Windows PrintNightmare漏洞的利用、BlackCat勒索软件生态系统，以及后来的路由器恶意软件如Cyclops Blink。Talos经常强调技术证据，有时在可用证据不充分时拒绝做出自信的归因。 Talos还运营Cisco Talos事件响应服务，该服务是2019年思科安全事件响应服务组与Talos合作创建的。该团队提供准备、检测、调查、遏制和恢复支持。它参与了事件准备相关工作，并在IDC 2021年全球事件准备服务评估中获得认可。2022年，它被列入德国联邦信息安全办公室批准的先进持续性威胁响应服务提供商名单。 该组织在公共利益和关键基础设施方面发挥着重要作用。它于2014年帮助建立了网络威胁联盟，促进安全公司之间的情报共享。在2022年俄罗斯入侵乌克兰期间，Talos支持保护乌克兰网络，制定了针对特定国家的防护措施，并报告了擦除器、垃圾邮件活动和其他攻击。思科和Talos后来通过采用更具弹性的定时组件改造工业网络设备，为保护乌克兰电力基础设施免受GPS干扰做出了贡献。Talos还为选定的重大体育赛事提供网络安全支持，包括超级碗和其他NFL赛事。因此，其当前范围涵盖开源安全技术、商业产品情报、漏洞研究、托管和事件响应服务，以及针对全球网络威胁的协作防御。

Cisco Talos的技术根源可追溯到Sourcefire，这家安全公司由Martin Roesch于2007年创立，他是Snort入侵防御系统的创造者。Sourcefire围绕Snort开发了商业产品，包括Sourcefire 3D系统，该系统后来成为思科Firepower网络安全产品线的一部分。该公司还维护安全研究能力和开源技术，如Snort和ClamAV。 思科于2013年7月宣布已达成以27亿美元收购Sourcefire的最终协议。收购完成后，思科整合了Sourcefire漏洞研究团队、思科的威胁研究、分析与通信团队以及安全应用组。这次重组于2014年8月产生了Cisco Talos。新组织将漏洞发现、恶意软件分析、威胁情报、检测工程和公开研究统一为一个身份。Talos成为思科安全业务的主要情报和研究组成部分，而不是一个独立注册的公司。 同年，Talos帮助建立了网络威胁联盟，这是一个非营利性合作组织，旨在鼓励网络安全公司之间的情报共享。该联盟的模式反映了Talos的更广泛方法：当一个供应商的客户受到威胁时，如果指标、行为信息和技术分析在整个行业共享，通常可以更有效地检测和破坏威胁。随着时间的推移，该联盟发展到包括众多安全公司，包括主要的网络和终端安全提供商。 Talos的公众形象通过对大规模和重大攻击的调查而提升。2017年，其研究人员分析了Nyetya（也称为NotPetya），该恶意软件最初看起来是与乌克兰税务软件更新机制相关的勒索软件事件。Talos是得出结论认为该操作主要是破坏性的而非传统勒索活动的研究组织之一。2018年，Talos与FBI合作披露了VPNFilter，这是一个路由器恶意软件活动，感染了许多国家的大量网络设备。该恶意软件具有破坏性能力，可能使受影响的设备无法使用。美国当局随后采取措施破坏相关基础设施，并建议受影响设备的用户重置设备。 Talos还调查了Olympic Destroyer，这是扰乱2018年韩国平昌冬奥会系统的攻击。该事件影响了官方奥运网站、票务相关服务和体育场连接。虽然公开评论将操作归因于特定国家行为者，但Talos强调了现有证据的不确定性，并避免给出过于自信的结论。这一事件说明了该组织对技术归因标准以及恶意软件检测的重视。 该组织在2019年扩大了服务能力，当时思科的安全事件响应服务组与Talos合作成立了Cisco Talos事件响应服务。Talos IR在Talos现有的研究和产品支持活动基础上增加了准备、调查、遏制和恢复服务。IDC后来在2021年全球事件准备服务评估中将其认定为领导者，德国联邦信息安全办公室于2022年将其列入批准的先进持续性威胁响应服务提供商名单。 2021年1月，Talos发布了Snort 3，新一代旨在提高可用性，同时保留Snort作为开源入侵检测和入侵预防技术的角色。Talos继续在操作系统、应用程序、工业控制系统和物联网设备中进行漏洞研究，报告并协调修复了数百个漏洞。 2022年俄罗斯入侵乌克兰扩大了Talos在主动网络防御中的作用。思科表示，Talos直接为乌克兰关键客户全天候运营安全产品，利用思科庞大员工队伍的情报，并针对在该国观察到的威胁制定定制防护。Talos报告了与冲突相关的擦除器、垃圾邮件操作、路由器威胁和其他活动。2023年，在JaguarTooth活动凸显未修补网络设备的风险后，思科和Talos帮助启动了网络弹性联盟。Talos还支持了主要NFL赛事的网络安全，并为保护乌克兰能源基础设施免受GPS干扰做出了贡献。如今，它作为思科Secure的一部分运营，是一个全球研究、情报、产品保护和事件响应组织。

• 2023

  网络弹性联盟启动

  [1]Cisco Talosen.wikipedia.org

  思科和Talos帮助启动了一项行业努力，促进网络基础设施的及时更新和更强的弹性。

• 2022

  乌克兰网络防御工作扩大

  [1]Cisco Talosen.wikipedia.org

  在乌克兰战争期间，Talos提供了持续保护和针对特定国家的情报。

• 2021

  Snort 3发布

  [1]Cisco Talosen.wikipedia.org

  Talos发布了Snort 3，作为其开源入侵预防技术更易用的一代。

• 2019

  Talos事件响应服务成立

  [1]Cisco Talosen.wikipedia.org

  思科将其事件响应服务与Talos能力相结合，创建了Cisco Talos事件响应服务。

• 2018

  VPNFilter披露

  [1]Cisco Talosen.wikipedia.org

  Talos和FBI披露了一个具有破坏性能力的广泛路由器恶意软件活动。

• 2017

  Nyetya研究

  [1]Cisco Talosen.wikipedia.org

  Talos分析了Nyetya或NotPetya恶意软件爆发的破坏性及其对乌克兰的关注。

• 2014

  Cisco Talos成立

  [1]Cisco Talosen.wikipedia.org

  思科合并了Sourcefire和思科的研究及安全应用团队，创建了Talos。

• 2014

  共同创立网络威胁联盟

  [1]Cisco Talosen.wikipedia.org

  Talos帮助建立了网络威胁联盟，以促进网络安全组织之间的威胁情报共享。

• 2013

  思科同意收购Sourcefire

  [1]Cisco Talosen.wikipedia.org

  思科宣布以27亿美元达成收购Sourcefire的最终协议。

• 2007

  Sourcefire成立

  [1]Cisco Talosen.wikipedia.org

  Martin Roesch创立了Sourcefire，围绕Snort建立了商业安全业务，并发展了后来为Talos做出贡献的研究能力。

一个以研究为主导的网络安全组织，将大规模威胁情报和漏洞分析转化为对思科安全产品的保护，同时向更广泛的安全社区分享可操作的研究成果。

• 威胁情报与研究 · 2014

  Talos Intelligence

  Talos Intelligence是Talos的研究和情报功能，通过它追踪恶意软件、漏洞、威胁行为者、活动和新兴攻击技术。其发现支持思科安全产品，并发布给安全从业者、供应商、政府和更广泛的研究社区。

• 开源入侵检测与防御 · 1998

  Snort

  Snort是一种开源网络入侵检测和入侵预防技术，源自Sourcefire，由Martin Roesch创建。Talos在思科安全产品组合中维护其规则和开发。2021年发布的Snort 3旨在提高可用性并支持现代安全部署需求。

• 开源防病毒引擎

  ClamAV

  ClamAV是一个开源防病毒引擎，在思科安全生态系统中维护，并得到Talos情报的支持。它用于识别恶意文件，并有助于电子邮件和恶意软件防护工作流程。

• 事件响应服务 · 2019

  Cisco Talos事件响应服务

  Cisco Talos事件响应服务为响应网络事件的组织提供准备、调查、遏制和恢复服务。它将Talos的威胁研究和检测专业知识与思科的安全事件响应能力相结合。

• 2023网络弹性联盟

  Global

  思科和Talos帮助启动了一个行业联盟，鼓励组织更新网络基础设施并提高对JaguarTooth等活动的弹性。

  结果. 该倡议将及时修补和基础设施升级定位为共同的行业防御优先事项。

  来源
• 2022乌克兰网络防御

  Ukraine

  在俄罗斯入侵期间，Talos为乌克兰关键客户运营防护，制定针对乌克兰的防御措施，并追踪网络行动。

  结果. 这项工作支持了针对擦除器、垃圾邮件活动、路由器恶意软件和其他攻击的防御性监控和网络保护。

  来源
• 2021NFL赛事网络安全

  United States · International NFL markets

  Talos支持思科与NFL的网络安全合作，包括为超级碗和国际比赛提供保护。

  结果. 该合作将Talos的运营角色扩展到大型体育赛事安全。

  来源
• 2018奥运会网络安全支持

  South Korea · International sporting events

  Talos调查了影响平昌冬奥会的Olympic Destroyer攻击，并随后为其他奥运赛事提供网络安全支持。

  结果. 调查记录了干扰情况，同时警告称对特定行为者的公开归因尚未充分确立。

  来源
• 2014网络威胁联盟

  Global

  Talos帮助共同创立了一个行业合作组织，专注于在参与的安全公司之间共享网络威胁情报。

  结果. 该联盟发展成为一个广泛的信息共享组织，据报道到2022年已有超过40个成员。

  来源

• 2021

  发布Snort 3换代

  背景

  Snort平台需要更易用的现代一代，同时保留其在网络入侵检测和预防中的作用。

  采取的行动

  Talos发布了Snort 3，重点提高易用性。

  后续影响

  Snort仍然是思科安全技术和研究生态系统中活跃的开源组件。

  来源

• 2019

  将事件响应与Talos研究整合战略

  背景

  思科希望将其事件响应服务与Talos的威胁情报和调查能力连接起来。

  采取的行动

  思科的安全事件响应服务组与Talos合作建立了Cisco Talos事件响应服务。

  后续影响

  Talos从研究和产品情报扩展到正式的事件准备和响应服务。

  来源

• 2014

  整合思科和Sourcefire研究团队战略

  背景

  思科收购了Sourcefire，需要合并重叠的威胁研究、漏洞研究和安全应用能力。

  采取的行动

  思科通过合并Sourcefire漏洞研究团队与思科的威胁研究和安全应用团队，组建了Talos。

  后续影响

  Talos成为思科面向公众的核心威胁情报和安全研究组织。

  来源

• 2013

  收购Sourcefire并购

  背景

  思科寻求通过Sourcefire的Snort技术、威胁研究和漏洞专业知识来扩展其安全产品组合。

  采取的行动

  思科宣布以27亿美元达成收购Sourcefire的最终协议。

  后续影响

  Sourcefire的技术和研究团队成为Cisco Talos的重要前身，而其商业Snort技术为Firepower产品线做出了贡献。

  Acquisition value. $2.7 billion (2013 announced transaction)

  来源

1. 1Cisco Talosen.wikipedia.org
2. 2Cisco Talos official websitetalosintelligence.com