Индикатор из открытого источника

Проще говоря, «Индикатор из открытого источника» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Индикатор из открытого источника» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При формулировании гипотезы threat hunter опирается на понятие «Индикатор из открытого источника», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.

• Охота за угрозами (Threat Hunting)Threat Hunting — проактивный поиск признаков скрытой активности противника на основе гипотез, данных и TTP.
• Проактивная защитаПроактивная защита — действия по заблаговременному снижению риска и поиску угроз до появления подтверждённого инцидента.
• Охотничий сценарийОхотничий сценарий — воспроизводимый план поиска угрозы с гипотезой, источниками данных, запросами и критериями результата.

1. Поставить аналитический вопросДля «Индикатор из открытого источника» заранее определяют, какое решение должен поддержать результат.
2. Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
3. Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
4. Операционализировать выводРезультат «Индикатор из открытого источника» превращают в поиск, приоритет защиты или изменение обнаружения.