Threat Intelligence Workspace forklart

Hva det er

Produktet etablerer en avtalt struktur for kompromitteringsindikatorer (IOC-er) og tilhørende observerbare data: hasher, domener, IP-adresser, URL-er, e-postindikatorer, filnavn, spor etter infrastruktur og andre artefakter som er relevante for oppdraget. Det kan også organisere notater om trusselaktører, skadevare, kampanjer og sammenhenger i infrastruktur; resultater av berikelse; profiler for sektor, geografi og forretningskontekst; kildesporing; analytikerkommentarer og rapportutkast. En analytiker undersøker og kuraterer materiale fra avtalte kilder, registrerer hvorfor et element kan være relevant, og merker grad av sikkerhet og begrensninger. Teamet kan deretter knytte etterretningen til en forholdsmessig neste handling, for eksempel en gjennomgang av forsvarskontroller, en deteksjonsspørring, et spørsmål i en intern undersøkelse eller en oppdatering til ledelsen. Det er et avgrenset, analytikerstøttet arbeidsområde med periodisk kuratering og attribusjonsnotater merket med grad av sikkerhet.

Hvem det er for

Threat Intelligence Workspace passer for team som:

• Mottar indikatorer, leverandørvarsler, rapporter eller research fra flere steder og trenger en konsekvent måte å registrere kilde, grad av sikkerhet, relevans og oppfølging på
• Vil ha notater om sektor, geografi, forretningskontekst, trusselaktører, skadevare, kampanjer eller infrastruktur organisert rundt en praktisk oppdragsbeskrivelse
• Trenger en analytikerstøttet bro mellom rå etterretning og beslutninger om forsvarskontroller, deteksjon, undersøkelser eller rapportering til interessenter
• Ønsker periodisk, analytikerstøttet gjennomgang og kuratering av etterretning

Hva det hjelper med å klarlegge

Arbeidsområdet hjelper med å avklare:

• Hvilke hasher, domener, IP-er, URL-er, e-postindikatorer og tilhørende artefakter som er innenfor omfanget, hvor de kom fra, og hvilken grad av sikkerhet som er rimelig
• Hvordan notater om aktører, skadevare, kampanjer og sammenhenger i infrastruktur henger sammen med organisasjonens sektor, geografi, teknologi og forretningskontekst
• Hvilke elementer som kan støtte en forsvarskontroll, en deteksjonshypotese, et undersøkelsesspørsmål eller en rapport, og hvilke som trenger mer dokumentasjon før tiltak
• Hva som fortsatt er ukjent, omstridt, utdatert, utilgjengelig eller bygger på begrenset kildemateriale i stedet for uavhengig verifiserte fakta

Hva er inkludert

• Skriftlig bekreftelse av trusselprofil, prioriterte temaer, sektorer, geografier, forretningskontekst, kildegrenser, frekvens og rapportens målgruppe
• En organisert struktur for IOC-er og observerbare data for avtalte hasher, domener, IP-er, URL-er, e-postindikatorer og tilhørende artefakter
• Analytikerkuratering av notater om aktører, skadevare, kampanjer, infrastruktur, berikelse, kilder, grad av sikkerhet, relevans og sammenhenger innenfor oppdraget
• Sporing av kildehenvisninger og analytikerkommentarer som skiller rapportert informasjon, utledet kontekst, ubekreftede påstander og elementer som må valideres
• Kobling fra etterretning til handling for forholdsmessig oppfølging innen forsvar, deteksjon, undersøkelse eller rapportering, uten å anta at en respons er gjennomført
• Periodisk gjennomgang av arbeidsområdet og en kortfattet rapport eller briefing som registrerer prioriteringer, begrensninger og spørsmål for neste syklus

Hva er ikke inkludert

• En komplett SaaS-plattform for trusseletterretning, lovet overvåking av det mørke nettet, en sanntidsfeed for etterretning, et automatisk varslingssystem eller en ubegrenset researchfunksjon
• Politimessig kapasitet, bevisstandarder for straffeforfølgning, løfte om å oppdage alle indikatorer eller lovet attribusjon av en aktør, kampanje eller hendelse
• En erklæring om at kildehenvisninger, tredjepartsrapporter eller analytikerkonklusjoner er uavhengig verifiserte fakta når graden av sikkerhet er begrenset
• Automatisk blokkering, utrulling av deteksjonsregler, inndemming, hendelseshåndtering eller utbedring i kundens miljø
• Dekning av kilder, språk, regioner, miljøer, plattformer eller etterretningstemaer utenfor den avtalte oppdragsbeskrivelsen og frekvensen

Når skal den velges

Velg Threat Intelligence Workspace når nyttig informasjon finnes, men er vanskelig å sammenligne, prioritere eller føre videre til et neste steg med en ansvarlig eier. Det kan være et fornuftig utgangspunkt før et program for bedre deteksjon, en drøfting med en leverandør, en briefing til styret eller om risiko, eller en intern undersøkelse som trenger bedre kontekst. Det er også verdifullt når ulike team arbeider ut fra frakoblede lister med indikatorer og trenger en felles oversikt over kilde og grad av sikkerhet. Det passer for team som ønsker periodisk kuratering merket med grad av sikkerhet; varsling i sanntid, autonom varsling og autoritativ attribusjon krever en annen ordning. Slike forventninger krever andre data, annen bemanning, rettslig myndighet og andre driftsordninger. Oppdraget fungerer godt når kunden kan peke ut sine prioriterte ressurser, sektorbekymringer, lokasjoner, teknologier, beslutningseiere og den praktiske handlingen den er villig til å vurdere.

Vår tilnærming

Vi starter med å definere etterretningsspørsmålet i stedet for å samle inn materiale uten en beslutningskontekst. Oppdragsbeskrivelsen fastsetter forretningsprofil, prioriterte temaer, kildegrenser, frekvens og hvem som skal bruke resultatet. Vi lager en strukturert oversikt over observerbare data og tilhørende notater, og kuraterer deretter tilgjengelig materiale med tydelige merker for kilde og grad av sikkerhet. Hver indikator og sammenheng presenteres med den graden av sikkerhet som dokumentasjonen støtter. Vi forklarer hvorfor et element kan ha betydning, hvilken støttende kontekst som finnes, og hva som fortsatt er ubekreftet. Der en nyttig oppfølging identifiseres, knytter vi den til et spørsmål om forsvar, deteksjon, undersøkelse eller rapportering og lar eierskapet til gjennomføringen ligge hos kunden eller en leverandør med eget omfang. Periodiske gjennomganger oppdaterer relevansen og fjerner eller flagger utdaterte elementer der det er mulig. Resultatet er et roligere og mer brukbart etterretningslag.

Ofte stilte spørsmål

Beslektede artikler