Threat Intelligence Workspace: na czym polega

Co to jest

Produkt ustanawia uzgodnioną strukturę dla wskaźników naruszenia (IOC) i powiązanych obserwabli: skrótów (hashy), domen, adresów IP, adresów URL, wskaźników e-mail, nazw plików, śladów infrastruktury i innych artefaktów istotnych dla briefu. Może też porządkować notatki o grupach zagrożeń, złośliwym oprogramowaniu, kampaniach i powiązaniach infrastruktury; wyniki wzbogacania; profile sektora, geografii i kontekstu biznesowego; śledzenie źródeł; komentarze analityka oraz projekty raportów. Analityk bada i selekcjonuje materiały z uzgodnionych źródeł, zapisuje, dlaczego dana pozycja może być istotna, oraz oznacza poziom pewności i ograniczenia. Zespół może następnie przypisać informacje do proporcjonalnego kolejnego działania, takiego jak przegląd kontroli obronnych, zapytanie detekcyjne, pytanie do wewnętrznego dochodzenia lub informacja dla kierownictwa. To przestrzeń robocza o określonym zakresie, wspierana przez analityka, z okresową selekcją materiałów i notatkami o atrybucji oznaczonymi poziomem pewności.

Dla kogo

Threat Intelligence Workspace jest odpowiedni dla zespołów, które:

• Otrzymują wskaźniki, komunikaty dostawców, raporty lub analizy z wielu miejsc i potrzebują spójnego sposobu zapisywania źródła, pewności, istotności i dalszych działań
• Chcą uporządkować notatki o sektorze, geografii, kontekście biznesowym, grupach zagrożeń, malware, kampaniach lub infrastrukturze wokół praktycznego briefu
• Potrzebują wspieranego przez analityka pomostu między surowymi informacjami o zagrożeniach a decyzjami dotyczącymi kontroli obronnych, wykrywania, dochodzeń lub raportowania dla interesariuszy
• Chcą okresowego, wspieranego przez analityka przeglądu i selekcji informacji o zagrożeniach

Co pomaga wyjaśnić

Przestrzeń robocza pomaga wyjaśnić:

• Które skróty, domeny, adresy IP, adresy URL, wskaźniki e-mail i powiązane artefakty są objęte zakresem, skąd pochodzą i jaki poziom pewności jest właściwy
• Jak notatki o grupach zagrożeń, malware, kampaniach i powiązaniach infrastruktury łączą się z sektorem, geografią, technologią i kontekstem biznesowym organizacji
• Które pozycje mogą wspierać kontrolę obronną, hipotezę detekcyjną, pytanie do dochodzenia lub raport, a które wymagają dodatkowych dowodów przed działaniem
• Co pozostaje nieznane, sporne, nieaktualne, niedostępne lub opiera się na ograniczonym materiale źródłowym, a nie na niezależnie zweryfikowanym fakcie

Co jest zawarte

• Pisemne potwierdzenie profilu zagrożeń, tematów priorytetowych, sektorów, geografii, kontekstu biznesowego, granic źródeł, częstotliwości i odbiorców raportu
• Uporządkowana struktura IOC i obserwabli dla uzgodnionych skrótów, domen, adresów IP, adresów URL, wskaźników e-mail i powiązanych artefaktów
• Selekcja przez analityka notatek o grupach zagrożeń, malware, kampaniach, infrastrukturze, wzbogacaniu, źródłach, pewności, istotności i powiązaniach w ramach briefu
• Śledzenie odniesień do źródeł i komentarze analityka oddzielające informacje raportowane, kontekst wnioskowany, niezweryfikowane twierdzenia i pozycje wymagające walidacji
• Przypisanie informacji do proporcjonalnych dalszych działań obronnych, detekcyjnych, dochodzeniowych lub raportowych, bez zakładania, że reakcja została zakończona
• Okresowy przegląd przestrzeni roboczej oraz zwięzły raport lub briefing zapisujący priorytety, ograniczenia i pytania na kolejny cykl

Co nie jest uwzględnione

• Kompletna platforma SaaS threat intelligence, monitoring dark webu z obietnicą wyników, feed w czasie rzeczywistym, system automatycznego alertowania ani nieograniczone wsparcie badawcze
• Możliwości organów ścigania, standardy dowodowe na potrzeby postępowania karnego, obietnica wykrycia każdego wskaźnika ani obietnica atrybucji sprawcy, kampanii lub incydentu
• Stwierdzenie, że odniesienia do źródeł, raporty stron trzecich lub wnioski analityka są niezależnie zweryfikowanymi faktami, gdy pewność jest ograniczona
• Automatyczne blokowanie, wdrażanie reguł detekcyjnych, powstrzymywanie, reagowanie na incydenty ani naprawy w środowisku klienta
• Pokrycie źródeł, języków, regionów, społeczności, platform lub tematów wywiadowczych spoza uzgodnionego briefu i częstotliwości

Kiedy to wybrać

Threat Intelligence Workspace warto wybrać, gdy przydatne informacje istnieją, ale trudno je porównać, uszeregować lub doprowadzić do kolejnego kroku z przypisaną odpowiedzialnością. Może być rozsądnym punktem wyjścia przed programem usprawnienia wykrywania, rozmową z dostawcą, briefingiem dla zarządu lub działu ryzyka albo wewnętrznym dochodzeniem wymagającym lepszego kontekstu. Jest też cenny, gdy różne zespoły pracują na niepowiązanych listach wskaźników i potrzebują wspólnego zapisu źródeł i poziomu pewności. Sprawdza się w zespołach, których celem jest okresowa selekcja materiałów z oznaczonym poziomem pewności; ostrzeżenia na żywo, autonomiczne alertowanie i autorytatywna atrybucja wymagają innego modelu działania. Takie oczekiwania wymagają innych danych, zespołu, uprawnień prawnych i ustaleń operacyjnych. Zlecenie przynosi najwięcej korzyści, gdy klient potrafi wskazać swoje priorytetowe zasoby, obawy sektorowe, lokalizacje, technologie, właścicieli decyzji i praktyczne działania, które jest gotów rozważyć.

Nasze podejście

Zaczynamy od zdefiniowania pytania wywiadowczego, zamiast zbierać materiały bez kontekstu decyzji. Brief określa profil biznesowy, tematy priorytetowe, granice źródeł, częstotliwość oraz osoby, które będą korzystać z wyników. Tworzymy uporządkowany zapis obserwabli i powiązanych notatek, a następnie selekcjonujemy dostępne materiały z wyraźnymi etykietami źródła i pewności. Każdy wskaźnik i każde powiązanie przedstawiamy z takim poziomem pewności, na jaki pozwalają dowody. Wyjaśniamy, dlaczego dana pozycja może mieć znaczenie, jaki kontekst ją wspiera i co pozostaje niepotwierdzone. Gdy wskazane zostanie przydatne dalsze działanie, przypisujemy je do pytania obronnego, detekcyjnego, dochodzeniowego lub raportowego, a odpowiedzialność za wdrożenie pozostawiamy klientowi lub odrębnie zaangażowanemu dostawcy. Okresowe przeglądy aktualizują istotność oraz, gdzie to możliwe, wycofują lub oznaczają nieaktualne pozycje. Rezultatem jest spokojniejsza, bardziej użyteczna warstwa informacji o zagrożeniach.

Często zadawane pytania

Artykuły pokrewne