Потребитель разведданных
Простыми словами
Проще говоря, «Потребитель разведданных» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Потребитель разведданных» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Потребитель разведданных», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Контекстуализация индикатораКонтекстуализация индикатора — добавление к индикатору сведений о происхождении, времени, кампании, уверенности и применимости.
- Обогащение индикатораОбогащение индикатора — дополнение индикатора данными из внешних или внутренних источников для повышения его ценности.
- Индикатор из открытого источникаИндикатор из открытого источника — технический или контекстный признак угрозы, полученный из публично доступной информации.
Как это работает
- Поставить аналитический вопросДля «Потребитель разведданных» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Потребитель разведданных» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Потребитель разведданных» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Потребитель разведданных» применяют на практике?В практике ИБ термин «Потребитель разведданных» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Потребитель разведданных» отличается от близких понятий?«Потребитель разведданных» описывает следующее: роль или команда, которая использует TI для решений, детектирования, блокирования или планирования. «Контекстуализация индикатора» означает: добавление к индикатору сведений о происхождении, времени, кампании, уверенности и применимости. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.