A fenyegetésfelderítés olyan információ a fenyegetésekről, amely segíti a védekezőket jobb döntések meghozatalában. Számos forrásból származik. A nyílt forráskódú hírcsatornák nyilvános jelentésekből gyűjtenek mutatókat. A kereskedelmi szolgáltatók kontextussal ellátott, válogatott információkat árulnak. Az iparági csoportok megosztják az információkat a tagok között. A kormányzati szervek tanácsadó anyagokat tesznek közzé. A nyers adatok tartalmazzák az IP-címeket, domainneveket, fájlhasheket és a támadó taktikákat. Az érték az elemzésben rejlik. Az IP-cím önmagában nem információ. Az a tudat, hogy az IP-cím egy egészségügyi szolgáltatókat célzó zsarolóvírus-csoporthoz tartozik, az igen.

Az intelligencia szintjei vannak. A stratégiai intelligencia tájékoztatja a vezetőket a fenyegetési környezetről. Az operatív intelligencia segít a biztonsági vezetőknek a védelem megtervezésében. A taktikai intelligencia konkrét indikátorokat ad az elemzőknek a blokkoláshoz. A technikai intelligencia biztosítja a nyers adatokat az eszközökhöz. Minden szint más közönséget szolgál ki. A kihívást a mennyiség jelenti. Túl sok a fenyegetési adat, és túl kevés a kontextus. Minden indikátor tűzfalba való betáplálása téves riasztásokat eredményez, és blokkolja a jogos forgalmat. A hatékony hírszerző programok a relevanciára összpontosítanak. Milyen fenyegetések fontosak a szervezet számára? Mely szektorokat célozzák meg? Milyen technikákat alkalmaznak? A válaszok alakítják, hogy mit gyűjtsünk, és mit hagyjunk figyelmen kívül. A hírszerzés nem arról szól, hogy mindent tudjunk. Arról szól, hogy tudjuk, mi számít.

Fenyegetésfelderítési típusok

• Stratégiai – magas szintű trendek a döntéshozók számára
• Működési – kampány részletei biztonsági vezetők számára
• Taktikai – észlelési és blokkolási indikátorok
• Műszaki – nyers adatok eszközökhöz és automatizáláshoz

A fenyegetésfelderítés csak akkor hasznos, ha döntést hoz. Azok az adatok, amelyek egy hírfolyamban tárolódnak, és soha nem befolyásolják a cselekvést, csupán zajok.