Threat Intelligence Workspace forklaret

Hvad det er

Produktet etablerer en aftalt struktur for kompromitteringsindikatorer og relaterede observables: hashes, domæner, IP-adresser, URL'er, e-mailindikatorer, filnavne, spor i infrastruktur og andre artefakter, der er relevante for briefet. Det kan også organisere noter om trusselsaktører, malware, kampagner og relationer i infrastruktur; resultater af berigelse; profiler for sektor, geografi og forretningskontekst; kildesporing; analytikerkommentarer; og rapportudkast. En analytiker researcher og kuraterer materiale fra aftalte kilder, noterer, hvorfor et element kan være relevant, og markerer sikkerhedsniveau og begrænsninger. Teamet kan derefter koble efterretningen til en forholdsmæssig næste handling, såsom en gennemgang af forsvarskontroller, en detektionsforespørgsel, et internt undersøgelsesspørgsmål eller en ledelsesopdatering. Det er et afgrænset, analytikerunderstøttet workspace med periodisk kuratering og noter om attribution mærket med sikkerhedsniveau.

Hvem er det for?

Threat Intelligence Workspace passer til teams, der:

• Modtager indikatorer, leverandørmeddelelser, rapporter eller research fra flere steder og har brug for en ensartet måde at registrere kilde, sikkerhedsniveau, relevans og opfølgning på
• Ønsker noter om sektor, geografi, forretningskontekst, trusselsaktører, malware, kampagner eller infrastruktur organiseret omkring et praktisk brief
• Har brug for en analytikerunderstøttet bro mellem rå efterretning og beslutninger om forsvarskontroller, detektion, undersøgelse eller rapportering til interessenter
• Ønsker periodisk, analytikerunderstøttet gennemgang og kuratering af efterretning

Hvad det hjælper med at afklare

Workspacet hjælper med at afklare:

• Hvilke hashes, domæner, IP'er, URL'er, e-mailindikatorer og relaterede artefakter der er omfattet, hvor de kommer fra, og hvilket sikkerhedsniveau der er passende
• Hvordan noter om aktører, malware, kampagner og relationer i infrastruktur hænger sammen med organisationens sektor, geografi, teknologi og forretningskontekst
• Hvilke elementer der kan understøtte en forsvarskontrol, en detektionshypotese, et undersøgelsesspørgsmål eller en rapport, og hvilke der kræver mere dokumentation før handling
• Hvad der fortsat er ukendt, omstridt, forældet, utilgængeligt eller baseret på begrænset kildemateriale frem for uafhængigt verificerede fakta

Hvad er inkluderet

• Skriftlig bekræftelse af trusselsprofil, prioriterede emner, sektorer, geografier, forretningskontekst, kildegrænser, rytme og rapportens målgruppe
• En organiseret struktur for IOC'er og observables for aftalte hashes, domæner, IP'er, URL'er, e-mailindikatorer og relaterede artefakter
• Analytikerkuratering af noter om aktører, malware, kampagner, infrastruktur, berigelse, kilder, sikkerhedsniveau, relevans og relationer inden for briefet
• Sporing af kildehenvisninger og analytikerkommentarer, der skelner mellem rapporterede oplysninger, udledt kontekst, ubekræftede påstande og elementer, der kræver validering
• Kobling fra efterretning til handling for forholdsmæssig opfølgning inden for forsvar, detektion, undersøgelse eller rapportering uden at antage, at en respons er gennemført
• Periodisk gennemgang af workspacet og en kortfattet rapport eller briefing, der registrerer prioriteringer, begrænsninger og spørgsmål til næste cyklus

Hvad er ikke inkluderet?

• En komplet SaaS-platform for trusselsefterretning, sikker overvågning af dark web, efterretningsfeed i realtid, automatiseret alarmeringssystem eller ubegrænset researchfunktion
• Politimæssig kapacitet, bevisstandarder til retsforfølgning, et løfte om at finde alle indikatorer eller sikker attribution af en aktør, kampagne eller hændelse
• En erklæring om, at kildehenvisninger, tredjepartsrapportering eller analytikerkonklusioner er uafhængigt verificerede fakta, når sikkerhedsniveauet er begrænset
• Automatisk blokering, udrulning af detektionsregler, inddæmning, hændelseshåndtering eller afhjælpning i kundens miljø
• Dækning af kilder, sprog, regioner, fællesskaber, platforme eller efterretningsemner uden for det aftalte brief og den aftalte rytme

Hvornår du skal vælge det

Vælg Threat Intelligence Workspace, når der findes brugbare oplysninger, men de er svære at sammenligne, prioritere eller føre videre til et næste skridt med en ansvarlig ejer. Det kan være et fornuftigt udgangspunkt før et program for forbedret detektion, en drøftelse med en leverandør, en briefing til bestyrelse eller risikofunktion eller en intern undersøgelse, der kræver bedre kontekst. Det er også værdifuldt, når forskellige teams arbejder ud fra adskilte lister over indikatorer og har brug for et fælles grundlag for kilde og sikkerhedsniveau. Det passer til teams, hvis mål er periodisk kuratering mærket med sikkerhedsniveau; live advarsler, autonom alarmering og autoritativ attribution kræver en anden ordning. Sådanne forventninger kræver andre data, en anden bemanding, juridisk beføjelse og andre driftsaftaler. Opgaven fungerer bedst, når kunden kan udpege sine prioriterede aktiver, sektorbekymringer, lokationer, teknologier, beslutningsejere og den praktiske handling, den er parat til at overveje.

Vores tilgang

Vi starter med at definere efterretningsspørgsmålet i stedet for at indsamle materiale uden en beslutningskontekst. Briefet fastlægger forretningsprofilen, prioriterede emner, kildegrænser, rytme og de personer, der skal bruge resultatet. Vi opretter en struktureret registrering af observables og relaterede noter og kuraterer derefter det tilgængelige materiale med tydelige mærker for kilde og sikkerhedsniveau. Hver indikator og relation præsenteres med den sikkerhedsgrad, som dokumentationen understøtter. Vi forklarer, hvorfor et element kan have betydning, hvilken understøttende kontekst der findes, og hvad der fortsat er ubekræftet. Hvor en nyttig opfølgning identificeres, kobler vi den til et spørgsmål om forsvar, detektion, undersøgelse eller rapportering og lader ejerskabet af implementeringen ligge hos kunden eller en separat afgrænset leverandør. Periodiske gennemgange opdaterer relevansen og udfaser eller markerer forældede elementer, hvor det er muligt. Resultatet er et roligere og mere anvendeligt efterretningslag.

Ofte stillede spørgsmål

Relaterede artikler