위협 인텔리전스는 방어자가 더 나은 결정을 내리는 데 도움이 되는 위협 관련 정보입니다. 이러한 정보는 다양한 출처에서 얻을 수 있습니다. 오픈 소스 피드는 공개 보고서에서 지표를 수집하고, 상용 업체는 맥락이 포함된 선별된 인텔리전스를 판매합니다. 업계 단체들은 회원 간에 정보를 공유하고, 정부 기관은 권고안을 발표합니다. 원시 데이터에는 IP 주소, 도메인 이름, 파일 해시, 공격자 전술 등이 포함됩니다. 중요한 것은 분석입니다. IP 주소만으로는 인텔리전스가 될 수 없습니다. 해당 IP 주소가 의료기관을 표적으로 삼는 랜섬웨어 그룹의 IP 주소라는 것을 아는 것이 중요합니다.

인텔리전스는 여러 단계로 나뉩니다. 전략적 인텔리전스는 경영진에게 위협 환경에 대한 정보를 제공하고, 운영적 인텔리전스는 보안 관리자가 방어 계획을 수립하는 데 도움을 줍니다. 전술적 인텔리전스는 분석가에게 차단해야 할 구체적인 지표를 제공하며, 기술적 인텔리전스는 도구에 필요한 원시 데이터를 제공합니다. 각 단계는 서로 다른 대상에게 서비스를 제공합니다. 문제는 데이터의 양입니다. 위협 데이터는 너무 많지만 맥락을 파악하기는 어렵습니다. 모든 지표를 방화벽에 입력하면 오탐이 발생하고 정상적인 트래픽이 차단될 수 있습니다. 효과적인 인텔리전스 프로그램은 관련성에 초점을 맞춥니다. 이 조직에 중요한 위협은 무엇인가? 어떤 부문이 표적이 되는가? 어떤 기법이 사용되는가? 이러한 질문에 대한 답을 통해 수집할 데이터와 무시할 데이터를 결정할 수 있습니다. 인텔리전스는 모든 것을 아는 것이 아니라 중요한 것을 아는 것입니다.

위협 인텔리전스 유형

• 전략적 - 의사 결정자를 위한 주요 트렌드
• 운영 - 보안 관리자를 위한 캠페인 세부 정보
• 전술적 - 탐지 및 차단 지표
• 기술적 측면 - 도구 및 자동화를 위한 원시 데이터

위협 인텔리전스는 의사결정을 변화시킬 때만 유용합니다. 데이터 피드에 존재하면서도 아무런 조치로 이어지지 않는다면 그저 잡음에 불과합니다.