Информация об угрозах — это данные об угрозах, которые помогают специалистам по защите принимать более взвешенные решения. Она поступает из множества источников. Открытые источники собирают индикаторы из общедоступных отчетов. Коммерческие поставщики продают тщательно отобранную информацию с учетом контекста. Отраслевые группы обмениваются информацией между своими членами. Государственные учреждения публикуют рекомендации. Исходные данные включают IP-адреса, доменные имена, хеши файлов и тактику злоумышленников. Ценность заключается в анализе. Сам по себе IP-адрес не является информацией. Информация о том, что IP-адрес принадлежит группе программ-вымогателей, нацеленной на медицинские учреждения, — вот что важно.

Разведка бывает разных уровней. Стратегическая разведка информирует руководителей об угрозах. Оперативная разведка помогает менеджерам по безопасности планировать защиту. Тактическая разведка предоставляет аналитикам конкретные индикаторы для блокировки. Техническая разведка предоставляет исходные данные для инструментов. Каждый уровень служит разным целям. Проблема заключается в объеме данных. Слишком много информации об угрозах и недостаточно контекста. Ввод каждого индикатора в брандмауэр приводит к ложным срабатываниям и блокировке легитимного трафика. Эффективные программы разведки фокусируются на релевантности. Какие угрозы важны для этой организации? Какие секторы являются мишенью? Какие методы используются? Ответы определяют, что собирать, а что игнорировать. Разведка — это не знание всего. Это знание того, что действительно важно.

Типы анализа угроз

• Стратегические тенденции — основные направления для лиц, принимающих решения.
• Оперативная информация — подробности кампании для руководителей службы безопасности.
• Тактические — индикаторы обнаружения и блокировки
• Технические аспекты — исходные данные для инструментов и автоматизации.

Информация об угрозах полезна только в том случае, если она влияет на принимаемые решения. Данные, которые просто хранятся в ленте и никогда не приводят к действиям, — это просто шум.