Hotinformation är information om hot som hjälper försvarare att fatta bättre beslut. Den kommer från många källor. Öppen källkod samlar in indikatorer från offentliga rapporter. Kommersiella leverantörer säljer kurerad information med sammanhang. Branschgrupper delar information mellan medlemmar. Myndigheter publicerar rekommendationer. Rådata inkluderar IP-adresser, domännamn, filhashar och angripartaktiker. Värdet ligger i analysen. En IP-adress i sig är inte information. Att veta att IP-adressen tillhör en ransomware-grupp som riktar sig mot vårdgivare är det.

Information kommer i olika nivåer. Strategisk information informerar chefer om hotbilden. Operativ information hjälper säkerhetschefer att planera försvar. Taktisk information ger analytiker specifika indikatorer att blockera. Teknisk information tillhandahåller rådata för verktyg. Varje nivå betjänar en annan målgrupp. Utmaningen är volymen. Det finns för mycket hotdata och inte tillräckligt med kontext. Att mata in varje indikator i en brandvägg skapar falska positiva resultat och blockerar legitim trafik. Effektiva informationsprogram fokuserar på relevans. Vilka hot är viktiga för den här organisationen? Vilka sektorer riktas in? Vilka tekniker används? Svaren formar vad som ska samlas in och vad som ska ignoreras. Information handlar inte om att veta allt. Det handlar om att veta vad som är viktigt.

Typer av hotinformation

• Strategiskt — övergripande trender för beslutsfattare
• Operativ — kampanjdetaljer för säkerhetschefer
• Taktisk — indikatorer för detektering och blockering
• Teknisk — rådata för verktyg och automation

Hotinformation är bara användbar om den ändrar ett beslut. Data som finns i ett flöde och aldrig informerar om åtgärder är bara brus.