Threat Intelligence Workspace förklarat

Vad det är

Produkten etablerar en överenskommen struktur för indikatorer på intrång (IOC) och relaterade observerbara data: hashvärden, domäner, IP-adresser, URL:er, e-postindikatorer, filnamn, ledtrådar om infrastruktur och andra artefakter som är relevanta för uppdraget. Den kan också ordna anteckningar om samband mellan hotaktörer, skadlig kod, kampanjer och infrastruktur; resultat av berikning; profiler för bransch, geografi och verksamhetskontext; källspårning; analytikerkommentarer; och utkast till rapporter. En analytiker efterforskar och sammanställer material från överenskomna källor, noterar varför en post kan vara relevant och märker tillförlitlighet och begränsningar. Teamet kan sedan koppla hotinformationen till en proportionerlig nästa åtgärd, till exempel en granskning av skyddskontroller, en detektionsfråga, en fråga för intern utredning eller en lägesrapport till ledningen. Det är en avgränsad, analytikerstödd arbetsyta med periodisk sammanställning och attribueringsanteckningar märkta med tillförlitlighet.

Vem det är för

Threat Intelligence Workspace passar team som:

• Får indikatorer, leverantörsmeddelanden, rapporter eller forskning från flera håll och behöver ett konsekvent sätt att dokumentera källa, tillförlitlighet, relevans och uppföljning
• Vill ha anteckningar om bransch, geografi, verksamhetskontext, hotaktörer, skadlig kod, kampanjer eller infrastruktur ordnade kring en praktisk uppdragsbeskrivning
• Behöver en analytikerstödd brygga mellan rå hotinformation och beslut om skyddskontroller, detektion, utredning eller rapportering till intressenter
• Vill ha periodisk, analytikerstödd granskning och sammanställning av hotinformation

Vad det hjälper till att klargöra

Arbetsytan hjälper till att klargöra:

• Vilka hashvärden, domäner, IP-adresser, URL:er, e-postindikatorer och relaterade artefakter som ingår, var de kommer ifrån och vilken tillförlitlighet som är rimlig
• Hur anteckningar om samband mellan aktörer, skadlig kod, kampanjer och infrastruktur hänger ihop med organisationens bransch, geografi, teknik och verksamhetskontext
• Vilka poster som kan stödja en skyddskontroll, en detektionshypotes, en utredningsfråga eller en rapport, och vilka som behöver mer evidens innan något görs
• Vad som fortfarande är okänt, omtvistat, inaktuellt, oåtkomligt eller bygger på begränsat källmaterial snarare än oberoende verifierade fakta

Vad ingår

• Skriftlig bekräftelse av hotprofil, prioriterade ämnen, branscher, geografier, verksamhetskontext, källgränser, intervall och målgrupp för rapporten
• En ordnad struktur för IOC:er och observerbara data för överenskomna hashvärden, domäner, IP-adresser, URL:er, e-postindikatorer och relaterade artefakter
• Analytikerns sammanställning av anteckningar om aktörer, skadlig kod, kampanjer, infrastruktur, berikning, källor, tillförlitlighet, relevans och samband inom uppdraget
• Spårning av källhänvisningar och analytikerkommentarer som skiljer rapporterad information, härledd kontext, overifierade påståenden och poster som kräver validering
• Koppling från hotinformation till åtgärd för proportionerlig uppföljning inom skydd, detektion, utredning eller rapportering, utan att anta att en åtgärd är genomförd
• Periodisk granskning av arbetsytan och en kortfattad rapport eller genomgång som dokumenterar prioriteringar, begränsningar och frågor inför nästa cykel

Vad som inte ingår

• En komplett SaaS-plattform för hotinformation, utlovad bevakning av dark web, ett realtidsflöde för hotinformation, ett automatiserat larmsystem eller en obegränsad analysfunktion
• Förmåga motsvarande rättsvårdande myndigheters, bevisstandard för åtal, löfte om att varje indikator upptäcks eller utlovad attribuering av en aktör, kampanj eller incident
• Ett påstående om att källhänvisningar, tredjepartsrapportering eller analytikerns slutsatser är oberoende verifierade fakta när tillförlitligheten är begränsad
• Automatisk blockering, driftsättning av detektionsregler, inneslutning, incidenthantering eller åtgärder i kundens miljö
• Täckning av källor, språk, regioner, communityer, plattformar eller ämnen utanför den överenskomna uppdragsbeskrivningen och intervallet

När det passar att välja den

Välj Threat Intelligence Workspace när användbar information finns men är svår att jämföra, prioritera eller föra vidare till ett ansvarssatt nästa steg. Det kan vara en rimlig startpunkt före ett program för att förbättra detektionen, en diskussion med en leverantör, en genomgång för styrelse eller riskfunktion eller en intern utredning som behöver bättre kontext. Det är också värdefullt när olika team arbetar utifrån separata listor med indikatorer och behöver ett gemensamt underlag om källa och tillförlitlighet. Det passar team vars mål är periodisk sammanställning märkt med tillförlitlighet; varning i realtid, autonom larmning och auktoritativ attribuering kräver ett annat upplägg. Sådana förväntningar kräver andra data, annan bemanning, rättsliga befogenheter och andra driftupplägg. Uppdraget ger mest när kunden kan identifiera sina prioriterade tillgångar, branschspecifika farhågor, platser, tekniker, beslutsägare och den praktiska åtgärd den är beredd att överväga.

Vår strategi

Vi börjar med att definiera frågan som hotinformationen ska besvara i stället för att samla material utan beslutskontext. Uppdragsbeskrivningen fastställer verksamhetsprofil, prioriterade ämnen, källgränser, intervall och de personer som ska använda resultatet. Vi skapar ett strukturerat underlag för observerbara data och relaterade anteckningar och sammanställer sedan tillgängligt material med uttryckliga etiketter för källa och tillförlitlighet. Varje indikator och varje samband presenteras med den tillförlitlighet som evidensen stöder. Vi förklarar varför en post kan ha betydelse, vilken stödjande kontext som finns och vad som förblir obekräftat. Där en användbar uppföljning identifieras kopplar vi den till en fråga om skydd, detektion, utredning eller rapportering och lämnar ansvaret för genomförandet hos kunden eller en separat anlitad leverantör. Periodiska granskningar uppdaterar relevansen och avvecklar eller flaggar inaktuella poster där det är möjligt. Resultatet är ett lugnare och mer användbart lager av hotinformation.

Vanliga frågor

Relaterade artiklar