Обмен информацией об угрозах

Проще говоря, «Обмен информацией об угрозах» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Обмен информацией об угрозах» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При формулировании гипотезы threat hunter опирается на понятие «Обмен информацией об угрозах», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.

• MITRE ATT&CKMITRE ATT&CK — общедоступная база знаний о тактиках и техниках противника, используемая для моделирования угроз, детектирования и оценки покрытия защиты.
• Индикатор компрометации (IOC)IOC — наблюдаемый признак, который может указывать на компрометацию: хеш, домен, IP-адрес, путь, артефакт или иной индикатор.
• Тактическая киберразведкаТактическая киберразведка — сведения о TTP, инструментах и индикаторах, используемые защитными командами в ежедневной работе.

1. Поставить аналитический вопросДля «Обмен информацией об угрозах» заранее определяют, какое решение должен поддержать результат.
2. Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
3. Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
4. Операционализировать выводРезультат «Обмен информацией об угрозах» превращают в поиск, приоритет защиты или изменение обнаружения.