Threat Intelligence Workspace: Giải thích chi tiết

Đây là gì

Sản phẩm thiết lập một cấu trúc đã thống nhất cho các chỉ báo xâm phạm (IOC) và dữ liệu quan sát liên quan: mã băm (hash), tên miền, địa chỉ IP, URL, chỉ báo email, tên tệp, manh mối hạ tầng và các dấu vết khác liên quan đến yêu cầu. Sản phẩm cũng có thể sắp xếp các ghi chú về mối liên hệ giữa tác nhân đe dọa, mã độc, chiến dịch và hạ tầng; kết quả làm giàu dữ liệu; hồ sơ theo ngành, khu vực địa lý và bối cảnh kinh doanh; theo dõi nguồn; nhận xét của chuyên viên phân tích; và các bản nháp báo cáo. Chuyên viên phân tích nghiên cứu và chọn lọc tài liệu từ các nguồn đã thống nhất, ghi lại lý do một mục có thể liên quan, đồng thời gắn nhãn mức độ tin cậy và các giới hạn. Sau đó, đội ngũ có thể gắn thông tin tình báo với một hành động tiếp theo tương xứng, chẳng hạn rà soát biện pháp kiểm soát phòng thủ, một truy vấn phát hiện, một câu hỏi điều tra nội bộ hoặc một bản cập nhật cho ban quản lý. Đây là một không gian làm việc có phạm vi xác định, được chuyên viên phân tích hỗ trợ, với việc chọn lọc định kỳ và các ghi chú quy kết có gắn nhãn mức độ tin cậy.

Dành cho ai

Threat Intelligence Workspace phù hợp với các đội ngũ:

• Nhận chỉ báo, thông báo từ nhà cung cấp, báo cáo hoặc nghiên cứu từ nhiều nơi và cần một cách nhất quán để ghi lại nguồn, mức độ tin cậy, mức độ liên quan và hành động tiếp theo
• Muốn các ghi chú về ngành, khu vực địa lý, bối cảnh kinh doanh, tác nhân đe dọa, mã độc, chiến dịch hoặc hạ tầng được sắp xếp xoay quanh một yêu cầu thực tế
• Cần một cầu nối có sự hỗ trợ của chuyên viên phân tích giữa thông tin tình báo thô và các quyết định về biện pháp kiểm soát phòng thủ, phát hiện, điều tra hoặc báo cáo cho các bên liên quan
• Muốn có việc rà soát và chọn lọc thông tin tình báo định kỳ, được chuyên viên phân tích hỗ trợ

Giúp làm rõ điều gì

Không gian làm việc giúp làm rõ:

• Những mã băm, tên miền, IP, URL, chỉ báo email và dấu vết liên quan nào nằm trong phạm vi, chúng đến từ đâu và mức độ tin cậy nào là phù hợp
• Các ghi chú về mối liên hệ giữa tác nhân, mã độc, chiến dịch và hạ tầng gắn với ngành, khu vực địa lý, công nghệ và bối cảnh kinh doanh của tổ chức như thế nào
• Những mục nào có thể hỗ trợ một bước kiểm tra phòng thủ, giả thuyết phát hiện, câu hỏi điều tra hoặc báo cáo, và những mục nào cần thêm bằng chứng trước khi hành động
• Điều gì vẫn chưa biết, còn tranh cãi, đã lỗi thời, không thể truy cập hoặc dựa trên nguồn tài liệu hạn chế thay vì là dữ kiện đã được xác minh độc lập

Những gì được bao gồm

• Xác nhận bằng văn bản về hồ sơ mối đe dọa, các chủ đề ưu tiên, ngành, khu vực địa lý, bối cảnh kinh doanh, ranh giới nguồn, tần suất và đối tượng nhận báo cáo
• Một cấu trúc IOC và dữ liệu quan sát có tổ chức cho các mã băm, tên miền, IP, URL, chỉ báo email và dấu vết liên quan đã thống nhất
• Chuyên viên phân tích chọn lọc các ghi chú về tác nhân, mã độc, chiến dịch, hạ tầng, làm giàu dữ liệu, nguồn, mức độ tin cậy, mức độ liên quan và mối liên hệ trong phạm vi yêu cầu
• Theo dõi tham chiếu nguồn và nhận xét của chuyên viên phân tích, phân biệt thông tin được báo cáo, bối cảnh suy luận, nhận định chưa được xác minh và các mục cần kiểm chứng
• Gắn thông tin tình báo với hành động cho các bước tiếp theo tương xứng về phòng thủ, phát hiện, điều tra hoặc báo cáo, mà không mặc định rằng việc ứng phó đã hoàn tất
• Rà soát không gian làm việc định kỳ và một bản báo cáo hoặc buổi tóm tắt ngắn gọn, ghi lại thứ tự ưu tiên, các giới hạn và câu hỏi cho chu kỳ tiếp theo

Những gì không được bao gồm

• Một nền tảng tình báo mối đe dọa SaaS hoàn chỉnh, giám sát dark web được cam kết, nguồn cấp tình báo theo thời gian thực, hệ thống cảnh báo tự động hoặc bộ phận nghiên cứu không giới hạn
• Năng lực của cơ quan thực thi pháp luật, tiêu chuẩn bằng chứng phục vụ truy tố, lời hứa phát hiện mọi chỉ báo hoặc sự đảm bảo về việc quy kết một tác nhân, chiến dịch hay sự cố
• Tuyên bố rằng các tham chiếu nguồn, báo cáo của bên thứ ba hoặc kết luận của chuyên viên phân tích là dữ kiện đã được xác minh độc lập khi mức độ tin cậy còn hạn chế
• Tự động chặn, triển khai quy tắc phát hiện, ngăn chặn, ứng phó sự cố hoặc khắc phục trong môi trường của khách hàng
• Bao phủ các nguồn, ngôn ngữ, khu vực, cộng đồng, nền tảng hoặc chủ đề tình báo nằm ngoài yêu cầu và tần suất đã thống nhất

Khi nào nên chọn

Hãy chọn Threat Intelligence Workspace khi đã có thông tin hữu ích nhưng khó so sánh, ưu tiên hoặc đưa đến một bước tiếp theo có người chịu trách nhiệm. Sản phẩm có thể là điểm khởi đầu hợp lý trước một chương trình cải thiện khả năng phát hiện, một buổi trao đổi với nhà cung cấp, một buổi tóm tắt cho hội đồng quản trị hoặc bộ phận rủi ro, hay một cuộc điều tra nội bộ cần bối cảnh tốt hơn. Sản phẩm cũng có giá trị khi các đội ngũ khác nhau đang làm việc với những danh sách chỉ báo rời rạc và cần một hồ sơ chung về nguồn và mức độ tin cậy. Sản phẩm phù hợp với các đội ngũ có mục tiêu là chọn lọc định kỳ có gắn nhãn mức độ tin cậy; cảnh báo trực tiếp, cảnh báo tự động và quy kết có thẩm quyền cần một thỏa thuận khác. Những kỳ vọng đó đòi hỏi dữ liệu, nhân sự, thẩm quyền pháp lý và thỏa thuận vận hành khác. Đợt hợp tác hiệu quả nhất khi khách hàng có thể xác định các tài sản ưu tiên, mối lo ngại của ngành, địa điểm, công nghệ, người ra quyết định và hành động thực tế mà họ sẵn sàng cân nhắc.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác định câu hỏi tình báo thay vì thu thập tài liệu khi chưa có bối cảnh quyết định. Bản mô tả yêu cầu xác lập hồ sơ doanh nghiệp, các chủ đề ưu tiên, ranh giới nguồn, tần suất và những người sẽ sử dụng kết quả. Chúng tôi tạo một hồ sơ có cấu trúc cho dữ liệu quan sát và các ghi chú liên quan, sau đó chọn lọc tài liệu sẵn có với nhãn nguồn và mức độ tin cậy rõ ràng. Mỗi chỉ báo và mối liên hệ được trình bày cùng mức độ tin cậy mà bằng chứng hỗ trợ. Chúng tôi giải thích vì sao một mục có thể quan trọng, bối cảnh hỗ trợ nào hiện có và điều gì vẫn chưa được xác nhận. Khi xác định được một bước tiếp theo hữu ích, chúng tôi gắn nó với một câu hỏi về phòng thủ, phát hiện, điều tra hoặc báo cáo, và để quyền thực hiện thuộc về khách hàng hoặc một nhà cung cấp có phạm vi riêng. Các đợt rà soát định kỳ cập nhật mức độ liên quan và loại bỏ hoặc đánh dấu các mục đã lỗi thời khi có thể. Kết quả là một lớp thông tin tình báo bình tĩnh hơn, dễ sử dụng hơn.

Câu hỏi thường gặp

Bài viết liên quan