Фид индикаторов угроз (threat intelligence feed)
Простыми словами
Проще говоря, «Фид индикаторов угроз (threat intelligence feed)» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Фид индикаторов угроз (threat intelligence feed)» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Фид индикаторов угроз (threat intelligence feed)», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Тактики, техники и процедуры (TTP)TTP — тактики, техники и процедуры, описывающие цели и повторяемые способы действий противника.
- Тактика ATT&CKТактика ATT&CK — высокоуровневая цель противника в модели MITRE ATT&CK.
- Группа угрозГруппа угроз — совокупность активности, атрибутированной предполагаемому противнику или устойчивому кластеру.
Как это работает
- Поставить аналитический вопросДля «Фид индикаторов угроз (threat intelligence feed)» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Фид индикаторов угроз (threat intelligence feed)» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Фид индикаторов угроз (threat intelligence feed)» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Фид индикаторов угроз (threat intelligence feed)» применяют на практике?В практике ИБ термин «Фид индикаторов угроз (threat intelligence feed)» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Фид индикаторов угроз (threat intelligence feed)» отличается от близких понятий?«Фид индикаторов угроз (threat intelligence feed)» описывает следующее: регулярно обновляемый поток технических индикаторов и контекста об угрозах. «Тактика ATT&CK» означает: высокоуровневая цель противника в модели MITRE ATT&CK. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.