La inteligencia sobre amenazas es información que ayuda a los defensores a tomar mejores decisiones. Proviene de diversas fuentes. Las fuentes abiertas recopilan indicadores de informes públicos. Los proveedores comerciales venden inteligencia especializada con contexto. Los grupos del sector comparten información entre sus miembros. Las agencias gubernamentales publican avisos. Los datos brutos incluyen direcciones IP, nombres de dominio, hashes de archivos y tácticas de los atacantes. El valor reside en el análisis. Una dirección IP por sí sola no constituye inteligencia. Saber que la IP pertenece a un grupo de ransomware que ataca a proveedores de atención médica sí lo es.

La inteligencia se presenta en niveles. La inteligencia estratégica informa a los ejecutivos sobre el panorama de amenazas. La inteligencia operativa ayuda a los gerentes de seguridad a planificar las defensas. La inteligencia táctica proporciona a los analistas indicadores específicos para bloquear. La inteligencia técnica proporciona los datos brutos para las herramientas. Cada nivel está dirigido a un público diferente. El desafío radica en el volumen. Hay demasiados datos sobre amenazas y poco contexto. Introducir todos los indicadores en un firewall genera falsos positivos y bloquea el tráfico legítimo. Los programas de inteligencia eficaces se centran en la relevancia. ¿Qué amenazas son importantes para esta organización? ¿Qué sectores son el objetivo? ¿Qué técnicas se utilizan? Las respuestas determinan qué recopilar y qué ignorar. La inteligencia no consiste en saberlo todo, sino en saber qué es lo importante.

Tipos de inteligencia sobre amenazas

• Estratégico: tendencias de alto nivel para quienes toman decisiones.
• Operacional: detalles de la campaña para los responsables de seguridad.
• Táctico: indicadores para detección y bloqueo.
• Datos técnicos: datos brutos para herramientas y automatización.

La inteligencia sobre amenazas solo es útil si influye en una decisión. Los datos que permanecen en un flujo de información y nunca se traducen en acciones concretas son simplemente ruido.