Threat Intelligence Workspace: qué es

Threat Intelligence Workspace es una forma estructurada, con apoyo de analistas, de organizar la inteligencia que un equipo de seguridad, riesgos o producto necesita revisar. Reúne indicadores, observables, referencias de fuentes, notas de investigación, valoraciones de confianza y preguntas de seguimiento en un registro de trabajo que puede respaldar decisiones defensivas, de detección, de investigación y de elaboración de informes. El objetivo es mostrar con claridad qué elementos están verificados y qué peso puede soportar cada uno. La inteligencia depende de las fuentes disponibles, el planteamiento acordado, la frecuencia de los analistas, la fiabilidad de las fuentes y la confianza que razonablemente pueda asignarse a una afirmación. El espacio de trabajo hace visibles esos límites para que un responsable utilice la información con cuidado y con el nivel de confianza adecuado.

Lo que es

El producto establece una estructura acordada para los indicadores de compromiso y los observables relacionados: hashes, dominios, direcciones IP, URL, indicadores de correo electrónico, nombres de archivo, pistas de infraestructura y otros artefactos relevantes para el planteamiento. También puede organizar notas sobre actores de amenazas, malware, campañas y relaciones de infraestructura; resultados de enriquecimiento; perfiles sectoriales, geográficos y de contexto de negocio; seguimiento de fuentes; comentarios de analistas; y borradores de informes. Un analista investiga y selecciona material de las fuentes acordadas, registra por qué un elemento puede ser relevante y etiqueta la confianza y las limitaciones. Después, el equipo puede vincular la inteligencia con una acción siguiente proporcionada, como una revisión de controles defensivos, una consulta de detección, una pregunta de investigación interna o una actualización para la dirección. Es un espacio de trabajo con alcance definido y apoyo de analistas, con una selección periódica y notas de atribución etiquetadas por nivel de confianza.

Para quién es

Threat Intelligence Workspace es adecuado para equipos que:

Reciben indicadores, avisos de proveedores, informes o investigaciones de distintos lugares y necesitan una forma coherente de registrar la fuente, la confianza, la relevancia y el seguimiento
Desean organizar notas sobre su sector, su geografía, su contexto de negocio, actores de amenazas, malware, campañas o infraestructura en torno a un planteamiento práctico
Necesitan un puente, con apoyo de analistas, entre la inteligencia en bruto y las decisiones sobre controles defensivos, detección, investigación o informes para las partes interesadas
Quieren una revisión y selección periódicas de inteligencia con apoyo de analistas

Qué ayuda a aclarar

El espacio de trabajo ayuda a aclarar:

Qué hashes, dominios, IP, URL, indicadores de correo electrónico y artefactos relacionados están dentro del alcance, de dónde proceden y qué nivel de confianza es apropiado
Cómo se relacionan las notas sobre actores, malware, campañas e infraestructura con el sector, la geografía, la tecnología y el contexto de negocio de la organización
Qué elementos pueden respaldar una comprobación defensiva, una hipótesis de detección, una pregunta de investigación o un informe, y cuáles necesitan más evidencias antes de actuar
Qué sigue siendo desconocido, discutido, obsoleto, inaccesible o basado en material de fuentes limitado, en lugar de en hechos verificados de forma independiente

Qué se incluye

Confirmación por escrito del perfil de amenazas, los temas prioritarios, los sectores, las geografías, el contexto de negocio, los límites de las fuentes, la frecuencia y los destinatarios del informe
Una estructura organizada de IOC y observables para los hashes, dominios, IP, URL, indicadores de correo electrónico y artefactos relacionados acordados
Selección por analistas de notas sobre actores, malware, campañas, infraestructura, enriquecimiento, fuentes, confianza, relevancia y relaciones dentro del planteamiento
Seguimiento de referencias de fuentes y comentarios de analistas que distinguen la información comunicada, el contexto inferido, las afirmaciones no verificadas y los elementos que requieren validación
Vinculación de la inteligencia con acciones de seguimiento proporcionadas de defensa, detección, investigación o elaboración de informes, sin dar por completada ninguna respuesta
Revisión periódica del espacio de trabajo y un informe o reunión breve que recoge prioridades, limitaciones y preguntas para el siguiente ciclo

Qué no se incluye

Una plataforma SaaS de inteligencia de amenazas completa, supervisión asegurada de la dark web, un feed de inteligencia en tiempo real, un sistema de alertas automatizadas o un servicio de investigación ilimitado
Capacidad policial, estándares probatorios para un proceso judicial, la promesa de descubrir todos los indicadores o la atribución asegurada de un actor, una campaña o un incidente
La afirmación de que las referencias de fuentes, los informes de terceros o las conclusiones de los analistas son hechos verificados de forma independiente cuando la confianza es limitada
Bloqueo automático, despliegue de reglas de detección, contención, respuesta a incidentes o corrección en el entorno del cliente
Cobertura de fuentes, idiomas, regiones, comunidades, plataformas o temas de inteligencia fuera del planteamiento y la frecuencia acordados

Cuándo elegirlo

Elija Threat Intelligence Workspace cuando exista información útil pero resulte difícil compararla, priorizarla o llevarla hasta un siguiente paso con un responsable claro. Puede ser un punto de partida sensato antes de un programa de mejora de la detección, una conversación con un proveedor, una sesión informativa para el consejo o sobre riesgos, o una investigación interna que necesite más contexto. También es valioso cuando distintos equipos trabajan con listas de indicadores inconexas y necesitan un registro compartido de fuentes y confianza. Encaja con equipos cuyo objetivo es una selección periódica etiquetada por nivel de confianza; los avisos en vivo, las alertas autónomas y la atribución con autoridad requieren otro tipo de servicio. Esas expectativas requieren datos, personal, autoridad legal y condiciones operativas diferentes. El servicio resulta más eficaz cuando el cliente puede identificar sus activos prioritarios, sus preocupaciones sectoriales, ubicaciones, tecnologías, responsables de decisión y la acción práctica que está dispuesto a considerar.

Nuestro enfoque

Empezamos por definir la pregunta de inteligencia, en lugar de recopilar material sin un contexto de decisión. El planteamiento establece el perfil de negocio, los temas prioritarios, los límites de las fuentes, la frecuencia y las personas que utilizarán el resultado. Creamos un registro estructurado para los observables y las notas relacionadas y, después, seleccionamos el material disponible con etiquetas explícitas de fuente y confianza. Cada indicador y cada relación se presentan con la confianza que respaldan sus evidencias. Explicamos por qué un elemento puede ser relevante, qué contexto de apoyo existe y qué sigue sin confirmarse. Cuando se identifica un seguimiento útil, lo vinculamos con una pregunta de defensa, detección, investigación o elaboración de informes, y la responsabilidad de la implementación queda en manos del cliente o de un proveedor con alcance independiente. Las revisiones periódicas actualizan la relevancia y, cuando es posible, retiran o marcan los elementos obsoletos. El resultado es una capa de inteligencia más serena y útil.

Ver la página del producto de seguridad Threat Intelligence Workspace

Preguntas frecuentes

¿Necesita un registro de inteligencia más útil antes de decidir el siguiente paso?

Envíe una breve solicitud. Podemos aclarar las preguntas de inteligencia prioritarias, los límites de las fuentes, la frecuencia de revisión y si Threat Intelligence Workspace encaja con su equipo.

Solicitar una conversación sobre Threat Intelligence Workspace

Productos de seguridad