Dreigingsinformatie is informatie over bedreigingen die verdedigers helpt betere beslissingen te nemen. Deze informatie is afkomstig van vele bronnen. Open-source bronnen verzamelen indicatoren uit openbare rapporten. Commerciële aanbieders verkopen samengestelde informatie met context. Brancheorganisaties delen informatie met hun leden. Overheidsinstanties publiceren waarschuwingen. De ruwe data omvat IP-adressen, domeinnamen, bestandshashes en aanvalstactieken. De waarde zit hem in de analyse. Een IP-adres op zich is geen informatie. Weten dat het IP-adres toebehoort aan een ransomwaregroep die zich richt op zorgverleners, is dat wel.

Intelligentie kent verschillende niveaus. Strategische intelligentie informeert managers over het dreigingslandschap. Operationele intelligentie helpt beveiligingsmanagers bij het plannen van verdedigingsmechanismen. Tactische intelligentie levert analisten specifieke indicatoren om te blokkeren. Technische intelligentie levert de ruwe data voor tools. Elk niveau bedient een andere doelgroep. De uitdaging is de hoeveelheid. Er is te veel dreigingsdata en te weinig context. Het invoeren van elke indicator in een firewall leidt tot valse positieven en blokkeert legitiem verkeer. Effectieve intelligentieprogramma's richten zich op relevantie. Welke dreigingen zijn belangrijk voor deze organisatie? Welke sectoren worden getroffen? Welke technieken worden gebruikt? De antwoorden bepalen wat er verzameld moet worden en wat genegeerd moet worden. Intelligentie gaat niet over alles weten. Het gaat erom te weten wat belangrijk is.

Soorten dreigingsinformatie

• Strategisch — belangrijke trends voor besluitvormers
• Operationeel — campagnedetails voor beveiligingsmanagers
• Tactische indicatoren voor detectie en blokkering
• Technische gegevens — ruwe data voor tools en automatisering

Dreigingsinformatie is alleen nuttig als het een beslissing beïnvloedt. Data die in een feed blijft staan ​​en nooit tot actie leidt, is slechts ruis.