Informace o hrozbách jsou informace o hrozbách, které pomáhají obráncům činit lepší rozhodnutí. Pocházejí z mnoha zdrojů. Open-source kanály shromažďují indikátory z veřejných zpráv. Komerční prodejci prodávají pečlivě vybrané informace s kontextem. Průmyslové skupiny sdílejí informace mezi svými členy. Vládní agentury zveřejňují doporučení. Nezpracovaná data zahrnují IP adresy, názvy domén, hash souborů a taktiky útočníků. Hodnota spočívá v analýze. Samotná IP adresa není informace. Vědomí, že IP adresa patří skupině ransomwaru cílící na poskytovatele zdravotní péče, ano.

Inteligence přichází v několika úrovních. Strategická inteligence informuje manažery o situaci s hrozbami. Operativní inteligence pomáhá bezpečnostním manažerům plánovat obranu. Taktická inteligence poskytuje analytikům specifické indikátory, které je třeba blokovat. Technická inteligence poskytuje nezpracovaná data pro nástroje. Každá úroveň slouží jinému publiku. Problémem je objem. Existuje příliš mnoho dat o hrozbách a nedostatek kontextu. Vkládání každého indikátoru do firewallu vytváří falešně pozitivní výsledky a blokuje legitimní provoz. Efektivní zpravodajské programy se zaměřují na relevanci. Jaké hrozby jsou pro tuto organizaci důležité? Na která odvětví se zaměřujeme? Jaké techniky se používají? Odpovědi formují, co shromažďovat a co ignorovat. Inteligence neznamená vědět všechno. Jde o to vědět, na čem záleží.

Typy informací o hrozbách

• Strategické – trendy na vysoké úrovni pro osoby s rozhodovací pravomocí
• Provozní – podrobnosti kampaně pro bezpečnostní manažery
• Taktické — indikátory pro detekci a blokování
• Technické – nezpracovaná data pro nástroje a automatizaci

Informace o hrozbách jsou užitečné pouze tehdy, pokud ovlivňují rozhodnutí. Data, která jsou uložena v kanálu a nikdy neinformují o akci, jsou jen šum.