Threat Intelligence Workspace: jak funguje

Co to je?

Produkt zavádí dohodnutou strukturu pro indikátory kompromitace a související pozorovatelné artefakty: hashe, domény, IP adresy, URL, e-mailové indikátory, názvy souborů, stopy infrastruktury a další artefakty relevantní pro zadání. Může také uspořádat poznámky o aktérech hrozeb, malwaru, kampaních a vztazích infrastruktury; výsledky obohacení; profily odvětví, geografie a obchodního kontextu; sledování zdrojů; komentáře analytika a návrhy reportů. Analytik zkoumá a kurátorsky zpracovává materiály z dohodnutých zdrojů, zaznamenává, proč může být položka relevantní, a označuje míru jistoty a omezení. Tým pak může zpravodajské informace přiřadit k přiměřenému dalšímu kroku, jako je přezkum obranných opatření, detekční dotaz, otázka pro interní šetření nebo informace pro vedení. Jde o vymezený pracovní prostor s podporou analytika, s pravidelným kurátorstvím a poznámkami k atribuci označenými mírou jistoty.

Pro koho to je?

Threat Intelligence Workspace je vhodný pro týmy, které:

• Dostávají indikátory, oznámení dodavatelů, reporty nebo výzkum z několika míst a potřebují konzistentní způsob, jak zaznamenat zdroj, míru jistoty, relevanci a další kroky
• Chtějí mít poznámky o odvětví, geografii, obchodním kontextu, aktérech hrozeb, malwaru, kampaních nebo infrastruktuře uspořádané kolem praktického zadání
• Potřebují most s podporou analytika mezi surovými zpravodajskými informacemi a rozhodnutími o obranných opatřeních, detekci, šetření nebo reportingu pro zainteresované strany
• Chtějí pravidelný přezkum a kurátorství zpravodajských informací s podporou analytika

Co to pomůže objasnit

Pracovní prostor pomáhá ujasnit:

• Které hashe, domény, IP adresy, URL, e-mailové indikátory a související artefakty jsou v rozsahu, odkud pocházejí a jaká míra jistoty je přiměřená
• Jak poznámky o aktérech, malwaru, kampaních a vztazích infrastruktury souvisejí s odvětvím, geografií, technologiemi a obchodním kontextem organizace
• Které položky mohou podpořit obrannou kontrolu, detekční hypotézu, otázku pro šetření nebo report a které před jednáním potřebují více důkazů
• Co zůstává neznámé, sporné, zastaralé, nedostupné nebo založené na omezených zdrojích, a ne na nezávisle ověřené skutečnosti

Co je zahrnuto

• Písemné potvrzení profilu hrozeb, prioritních témat, odvětví, geografií, obchodního kontextu, hranic zdrojů, frekvence a publika reportů
• Uspořádaná struktura IOC a pozorovatelných artefaktů pro dohodnuté hashe, domény, IP adresy, URL, e-mailové indikátory a související artefakty
• Kurátorské zpracování poznámek analytikem o aktérech, malwaru, kampaních, infrastruktuře, obohacení, zdrojích, míře jistoty, relevanci a vztazích v rámci zadání
• Sledování odkazů na zdroje a komentáře analytika, které odlišují reportované informace, odvozený kontext, neověřená tvrzení a položky vyžadující ověření
• Přiřazení zpravodajských informací k přiměřeným navazujícím krokům v oblasti obrany, detekce, šetření nebo reportingu bez předpokladu, že reakce je dokončena
• Pravidelný přezkum pracovního prostoru a stručný report nebo briefing, který zaznamenává priority, omezení a otázky pro další cyklus

Co není součástí

• Úplná SaaS platforma pro threat intelligence, přislíbený monitoring dark webu, zpravodajský feed v reálném čase, systém automatického upozorňování ani neomezené výzkumné pracoviště
• Schopnosti orgánů činných v trestním řízení, důkazní standardy pro trestní stíhání, příslib odhalení každého indikátoru ani přislíbená atribuce aktéra, kampaně nebo incidentu
• Prohlášení, že odkazy na zdroje, reporty třetích stran nebo závěry analytika jsou nezávisle ověřené skutečnosti, pokud je míra jistoty omezená
• Automatické blokování, nasazení detekčních pravidel, omezení šíření, reakce na incidenty ani náprava v prostředí klienta
• Pokrytí zdrojů, jazyků, regionů, komunit, platforem nebo zpravodajských témat mimo dohodnuté zadání a frekvenci

Kdy si ji vybrat

Threat Intelligence Workspace zvolte, když užitečné informace existují, ale je obtížné je porovnat, prioritizovat nebo dovést k odpovědnému dalšímu kroku. Může být rozumným výchozím bodem před programem zlepšení detekce, jednáním s dodavatelem, briefingem pro představenstvo nebo o rizicích či interním šetřením, které potřebuje lepší kontext. Je také cenný, když různé týmy pracují s nepropojenými seznamy indikátorů a potřebují sdílený záznam o zdroji a míře jistoty. Hodí se pro týmy, jejichž cílem je pravidelné kurátorství označené mírou jistoty; živé varování, autonomní upozorňování a autoritativní atribuce vyžadují jiné uspořádání. Tato očekávání vyžadují jiná data, personál, právní oprávnění a provozní uspořádání. Zakázka funguje dobře zejména tehdy, když klient dokáže určit svá prioritní aktiva, obavy specifické pro odvětví, lokality, technologie, vlastníky rozhodnutí a praktické kroky, které je ochoten zvážit.

Náš přístup

Začínáme definováním zpravodajské otázky, místo abychom shromažďovali materiál bez kontextu rozhodování. Zadání stanoví obchodní profil, prioritní témata, hranice zdrojů, frekvenci a osoby, které budou výstup používat. Vytvoříme strukturovaný záznam pro pozorovatelné artefakty a související poznámky a poté kurátorsky zpracujeme dostupný materiál s výslovným označením zdroje a míry jistoty. Každý indikátor a vztah se uvádí s mírou jistoty, kterou podporují jeho důkazy. Vysvětlujeme, proč může být položka důležitá, jaký podpůrný kontext existuje a co zůstává nepotvrzené. Kde identifikujeme užitečný navazující krok, přiřadíme jej k otázce z oblasti obrany, detekce, šetření nebo reportingu a odpovědnost za implementaci ponecháme klientovi nebo samostatně angažovanému poskytovateli. Pravidelné přezkumy aktualizují relevanci a podle možností vyřazují nebo označují zastaralé položky. Výsledkem je klidnější a použitelnější zpravodajská vrstva.

Často kladené otázky

Související články