Užitečná zpravodajství vysvětluje nejen to, co bylo pozorováno, ale proč na tom konkrétní organizaci záleží, jak jisté je hodnocení a jakou akci může příjemce podniknout.
CTI může být strategická pro vedení, operační pro plánování kampaní a incidentů, taktická pro porozumění chování útočníků, nebo technická pro identifikaci konkrétní infrastruktury a artefaktů. Surový feed adres, domén či hashů souborů jsou data; zpravodajství se z nich stávají až po analýze a kontextualizaci.
Formáty sdílení jako STIX a transporty jako TAXII umožňují komunitám vyměňovat strukturovanou zpravodajství rychlostí stroje, ale rozhodujícím faktorem je požadavek na zpravodajství: co organizace potřebuje vědět, pro které rozhodnutí a do kdy. Program, který nedokáže pojmenovat své požadavky, sbírá šum, nikoli zpravodajství.
Klíčové body
Primární účelSnižovat nejistotu v rozhodnutích o zabezpečení, rizicích a reakci.
Běžné vstupyInterní incidenty, telemetrie, důvěryhodné sdílecí komunity, veřejné zprávy, výzkum a komerční feedy.
Testy kvalityRelevance, včasnost, spolehlivost zdroje, analytická jistota, akčnost a zákonné nakládání.
Důležité omezeníInformace o hrozbách mohou být neúplná, zastaralá, záměrně klamavá nebo pro prostředí příjemce irelevantní.