شرح Threat Intelligence Workspace

ما هو

يضع المنتج بنية متفقًا عليها لمؤشرات الاختراق (IOC) والعناصر القابلة للملاحظة المرتبطة بها: قيم التجزئة (hashes)، والنطاقات، وعناوين IP، والروابط، ومؤشرات البريد الإلكتروني، وأسماء الملفات، ودلائل البنية التحتية، وغيرها من الآثار ذات الصلة بالموجز. ويمكنه أيضًا تنظيم ملاحظات عن الجهات الفاعلة في التهديد والبرمجيات الخبيثة والحملات والعلاقات بين عناصر البنية التحتية؛ ونتائج الإثراء؛ وملفات تعريف القطاع والجغرافيا وسياق الأعمال؛ وتتبّع المصادر؛ وتعليقات المحلّل؛ ومسودات التقارير. ويبحث المحلّل في المواد المستمدة من المصادر المتفق عليها وينتقيها، ويسجّل سبب أهمية العنصر المحتملة، ويضع وسومًا لدرجة الثقة والقيود. ويمكن للفريق بعد ذلك ربط المعلومات الاستخباراتية بإجراء تالٍ متناسب، مثل مراجعة ضابط دفاعي، أو استعلام كشف، أو سؤال لتحقيق داخلي، أو تحديث للإدارة. وهو مساحة عمل محددة النطاق يدعمها محلّل، مع انتقاء دوري وملاحظات حول نسب الهجمات موسومة بدرجة الثقة.

لمن هذا؟

يناسب «Threat Intelligence Workspace» الفرق التي:

• تتلقى مؤشرات أو إشعارات من الموردين أو تقارير أو أبحاثًا من أماكن متعددة، وتحتاج إلى طريقة متسقة لتسجيل المصدر ودرجة الثقة والصلة والمتابعة
• تريد تنظيم ملاحظات القطاع والجغرافيا وسياق الأعمال والجهات الفاعلة في التهديد والبرمجيات الخبيثة والحملات أو البنية التحتية حول موجز عملي
• تحتاج إلى جسر يدعمه محلّل بين المعلومات الاستخباراتية الخام والقرارات المتعلقة بالضوابط الدفاعية أو الكشف أو التحقيق أو تقارير أصحاب المصلحة
• تريد مراجعة وانتقاءً دوريين للمعلومات الاستخباراتية بدعم من محلّل

ما يساعد على توضيح

تساعد مساحة العمل على توضيح:

• قيم التجزئة والنطاقات وعناوين IP والروابط ومؤشرات البريد الإلكتروني والآثار ذات الصلة الواقعة ضمن النطاق، ومصدرها، ودرجة الثقة المناسبة لها
• كيف ترتبط ملاحظات الجهات الفاعلة والبرمجيات الخبيثة والحملات والعلاقات بين عناصر البنية التحتية بقطاع المؤسسة وجغرافيتها وتقنياتها وسياق أعمالها
• العناصر التي قد تدعم فحصًا دفاعيًا أو فرضية كشف أو سؤال تحقيق أو تقريرًا، وتلك التي تحتاج إلى مزيد من الأدلة قبل التصرف
• ما يبقى مجهولًا أو موضع خلاف أو قديمًا أو يتعذر الوصول إليه أو قائمًا على مواد مصدرية محدودة، لا على وقائع متحقق منها بشكل مستقل

ما هو متضمن

• تأكيد مكتوب لملف التهديد والموضوعات ذات الأولوية والقطاعات والمناطق الجغرافية وسياق الأعمال وحدود المصادر والوتيرة وجمهور التقارير
• بنية منظّمة لمؤشرات الاختراق والعناصر القابلة للملاحظة تشمل قيم التجزئة والنطاقات وعناوين IP والروابط ومؤشرات البريد الإلكتروني والآثار ذات الصلة المتفق عليها
• انتقاء يجريه محلّل لملاحظات الجهات الفاعلة والبرمجيات الخبيثة والحملات والبنية التحتية والإثراء والمصادر ودرجة الثقة والصلة والعلاقات ضمن الموجز
• تتبّع لمراجع المصادر وتعليقات من المحلّل تميّز المعلومات المُبلَّغ عنها والسياق المُستنتَج والادعاءات غير المتحقق منها والعناصر التي تحتاج إلى تحقق
• ربط المعلومات الاستخباراتية بالإجراءات لمتابعة دفاعية أو كشفية أو تحقيقية أو تقريرية متناسبة، دون افتراض أن الاستجابة قد اكتملت
• مراجعة دورية لمساحة العمل وتقرير أو موجز مختصر يسجّل الأولويات والقيود وأسئلة الدورة التالية

ما لا يشتمل عليه

• منصة SaaS متكاملة لاستخبارات التهديدات، أو مراقبة مكفولة للويب المظلم، أو موجز استخبارات فوري، أو نظام تنبيه آلي، أو مكتب أبحاث غير محدود
• قدرات جهات إنفاذ القانون، أو معايير أدلة صالحة لتحريك الدعوى العامة، أو وعد باكتشاف كل مؤشر، أو التزام بنسب جهة فاعلة أو حملة أو حادث إلى مصدره
• القول بأن مراجع المصادر أو تقارير الأطراف الثالثة أو استنتاجات المحلّل وقائع متحقق منها بشكل مستقل حين تكون درجة الثقة محدودة
• الحظر الآلي، أو نشر قواعد الكشف، أو الاحتواء، أو الاستجابة للحوادث، أو المعالجة في بيئة العميل
• تغطية مصادر أو لغات أو مناطق أو مجتمعات أو منصات أو موضوعات استخباراتية خارج الموجز والوتيرة المتفق عليهما

متى تختارها

اختر «Threat Intelligence Workspace» عندما تتوافر معلومات مفيدة لكن يصعب مقارنتها أو ترتيب أولوياتها أو نقلها إلى خطوة تالية لها مسؤول واضح. ويمكن أن يكون نقطة انطلاق معقولة قبل برنامج لتحسين الكشف، أو نقاش مع مورد، أو إحاطة لمجلس الإدارة أو للمخاطر، أو تحقيق داخلي يحتاج إلى سياق أوضح. وهو قيّم أيضًا عندما تعمل فرق مختلفة انطلاقًا من قوائم مؤشرات منفصلة وتحتاج إلى سجل مشترك للمصدر ودرجة الثقة. وهو يناسب الفرق التي تهدف إلى انتقاء دوري موسوم بدرجة الثقة؛ أما الإنذار الحي والتنبيه الذاتي والنسب القاطع للهجمات فتستدعي ترتيبًا مختلفًا، إذ تتطلب هذه التوقعات بيانات وكوادر وصلاحيات قانونية وترتيبات تشغيل مختلفة. ويحقق العمل أكبر فائدة عندما يستطيع العميل تحديد أصوله ذات الأولوية، ومخاوف قطاعه، ومواقعه، وتقنياته، ومالكي القرارات، والإجراء العملي الذي هو مستعد للنظر فيه.

نهجنا

نبدأ بتحديد السؤال الاستخباراتي بدلًا من جمع المواد دون سياق للقرار. ويحدد الموجز ملف الأعمال، والموضوعات ذات الأولوية، وحدود المصادر، والوتيرة، والأشخاص الذين سيستخدمون المخرجات. وننشئ سجلًا منظّمًا للعناصر القابلة للملاحظة والملاحظات المرتبطة بها، ثم ننتقي المواد المتاحة مع وسوم صريحة للمصدر ودرجة الثقة. ويُقدَّم كل مؤشر وكل علاقة بدرجة الثقة التي تدعمها أدلته. ونوضح لماذا قد يكون العنصر مهمًا، وما السياق الداعم المتوافر، وما الذي لا يزال غير مؤكد. وحين تُحدَّد متابعة مفيدة، نربطها بسؤال دفاعي أو كشفي أو تحقيقي أو تقريري، ونترك ملكية التنفيذ للعميل أو لمزوّد محدد النطاق بشكل منفصل. وتُحدِّث المراجعات الدورية مدى الصلة، وتُخرج العناصر القديمة أو تضع عليها علامة حيثما أمكن. والنتيجة طبقة استخباراتية أهدأ وأكثر قابلية للاستخدام.

الأسئلة المتكررة

مقالات ذات صلة