Разведывательный вопрос
Простыми словами
Проще говоря, «Разведывательный вопрос» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Разведывательный вопрос» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Разведывательный вопрос», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Сбор разведданныхСбор разведданных — получение сведений из открытых, коммерческих, внутренних и партнёрских источников.
- Обработка разведданныхОбработка разведданных — подготовка собранных данных к анализу: очистка, нормализация, проверка и структурирование.
- Фид индикаторов угроз (threat intelligence feed)Фид индикаторов угроз — регулярно обновляемый поток технических индикаторов и контекста об угрозах.
Как это работает
- Поставить аналитический вопросДля «Разведывательный вопрос» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Разведывательный вопрос» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Разведывательный вопрос» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Разведывательный вопрос» применяют на практике?В практике ИБ термин «Разведывательный вопрос» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Разведывательный вопрос» отличается от близких понятий?«Разведывательный вопрос» описывает следующее: конкретный вопрос, на который должна ответить аналитика угроз. «Сбор разведданных» означает: получение сведений из открытых, коммерческих, внутренних и партнёрских источников. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.