Threat Intelligence Workspace : explications

Définition

Le produit établit une structure convenue pour les indicateurs de compromission et les observables associés : empreintes (hashes), domaines, adresses IP, URL, indicateurs liés aux e-mails, noms de fichiers, indices d'infrastructure et autres artefacts pertinents pour le cadrage. Il peut aussi organiser des notes sur les acteurs de la menace, les logiciels malveillants, les campagnes et les relations d'infrastructure ; les résultats d'enrichissement ; des profils de secteur, de géographie et de contexte métier ; le suivi des sources ; les commentaires d'analyste ; et des projets de rapports. Un analyste recherche et sélectionne des éléments issus de sources convenues, consigne pourquoi un élément peut être pertinent, et indique le niveau de confiance et les limites. L'équipe peut ensuite associer le renseignement à une action suivante proportionnée, telle qu'une revue de contrôle défensif, une requête de détection, une question d'investigation interne ou un point d'information à la direction. Il s'agit d'un espace de travail cadré, appuyé par un analyste, avec une sélection périodique et des notes d'attribution assorties d'un niveau de confiance.

Public concerné

Threat Intelligence Workspace convient aux équipes qui :

• Reçoivent indicateurs, avis de fournisseurs, rapports ou recherches de plusieurs provenances et ont besoin d'une méthode cohérente pour consigner la source, la confiance, la pertinence et le suivi
• Souhaitent que les notes sur le secteur, la géographie, le contexte métier, les acteurs de la menace, les malwares, les campagnes ou l'infrastructure soient organisées autour d'un cadrage pratique
• Ont besoin d'un pont, appuyé par un analyste, entre le renseignement brut et les décisions relatives aux contrôles défensifs, à la détection, à l'investigation ou au reporting auprès des parties prenantes
• Veulent une revue et une sélection périodiques du renseignement, appuyées par un analyste

Ce qu'il aide à clarifier

L'espace de travail aide à clarifier :

• Quels hashes, domaines, IP, URL, indicateurs liés aux e-mails et artefacts associés sont dans le périmètre, d'où ils proviennent et quel niveau de confiance est approprié
• Comment les notes sur les acteurs, malwares, campagnes et relations d'infrastructure se rattachent au secteur, à la géographie, à la technologie et au contexte métier de l'organisation
• Quels éléments peuvent soutenir une vérification défensive, une hypothèse de détection, une question d'investigation ou un rapport, et lesquels nécessitent davantage d'éléments avant d'agir
• Ce qui reste inconnu, contesté, obsolète, inaccessible ou fondé sur des sources limitées plutôt que sur des faits vérifiés de manière indépendante

Ce qui est inclus

• Confirmation écrite du profil de menace, des sujets prioritaires, des secteurs, des géographies, du contexte métier, des limites de sources, de la cadence et du public des rapports
• Une structure organisée d'IOC et d'observables pour les hashes, domaines, IP, URL, indicateurs liés aux e-mails et artefacts associés convenus
• Sélection par un analyste des notes sur les acteurs, malwares, campagnes, infrastructures, enrichissement, sources, confiance, pertinence et relations dans le cadre convenu
• Suivi des références de sources et commentaires d'analyste distinguant les informations rapportées, le contexte déduit, les affirmations non vérifiées et les éléments à valider
• Mise en correspondance du renseignement et de l'action pour un suivi proportionné en matière de défense, de détection, d'investigation ou de reporting, sans supposer qu'une réponse est achevée
• Revue périodique de l'espace de travail et rapport ou briefing concis consignant les priorités, les limites et les questions pour le cycle suivant

Ce qui n'est pas inclus

• Une plateforme SaaS de renseignement sur les menaces complète, une surveillance assurée du dark web, un flux de renseignement en temps réel, un système d'alerte automatisé ou une cellule de recherche illimitée
• Une capacité de forces de l'ordre, des normes de preuve pour des poursuites, une promesse de découvrir chaque indicateur ou une attribution assurée d'un acteur, d'une campagne ou d'un incident
• Une déclaration selon laquelle les références de sources, les rapports de tiers ou les conclusions d'analyste sont des faits vérifiés de manière indépendante lorsque la confiance est limitée
• Un blocage automatique, un déploiement de règles de détection, un confinement, une réponse aux incidents ou une remédiation dans l'environnement du client
• La couverture de sources, langues, régions, communautés, plateformes ou sujets de renseignement hors du cadrage et de la cadence convenus

Quand le choisir

Choisissez Threat Intelligence Workspace lorsque des informations utiles existent mais sont difficiles à comparer, à prioriser ou à mener jusqu'à une étape suivante assortie d'un responsable. Il peut constituer un point de départ judicieux avant un programme d'amélioration de la détection, un échange avec un fournisseur, un briefing pour le conseil d'administration ou sur les risques, ou une investigation interne qui nécessite un meilleur contexte. Il est également précieux lorsque différentes équipes travaillent à partir de listes d'indicateurs déconnectées et ont besoin d'un registre commun des sources et de la confiance. Il convient aux équipes dont l'objectif est une sélection périodique assortie de niveaux de confiance ; l'alerte en direct, l'alerte autonome et l'attribution faisant autorité relèvent d'un autre dispositif. Ces attentes exigent des données, des effectifs, une autorité juridique et des modalités opérationnelles différents. La mission fonctionne au mieux lorsque le client peut identifier ses actifs prioritaires, ses préoccupations sectorielles, ses implantations, ses technologies, ses décideurs et l'action concrète qu'il est prêt à envisager.

Notre approche

Nous commençons par définir la question de renseignement plutôt que de collecter des éléments sans contexte de décision. Le cadrage établit le profil de l'entreprise, les sujets prioritaires, les limites de sources, la cadence et les personnes qui utiliseront le résultat. Nous créons un registre structuré pour les observables et les notes associées, puis sélectionnons les éléments disponibles avec des libellés explicites de source et de confiance. Chaque indicateur et chaque relation sont présentés avec le niveau de confiance que leurs éléments probants permettent. Nous expliquons pourquoi un élément peut compter, quel contexte l'étaye et ce qui reste non confirmé. Lorsqu'un suivi utile est identifié, nous le rattachons à une question de défense, de détection, d'investigation ou de reporting, et laissons la responsabilité de la mise en œuvre au client ou à un prestataire cadré séparément. Les revues périodiques actualisent la pertinence et retirent ou signalent les éléments obsolètes lorsque c'est possible. Le résultat est une couche de renseignement plus sereine et plus exploitable.

Foire aux questions

Articles connexes