Typické schopnosti zahrnují příjem dat, normalizaci formátů, odstraňování duplicit, obohacování a vztahování záznamů, zaznamenávání jistoty a původu, podporu analytické kurace a distribuci vybraných výstupů lidem nebo bezpečnostním kontrolám.
TIP může pomoci propojit indikátory, pozorovanou aktivitu, chování protivníků, zranitelnosti a obranný kontext, ale produktová kategorie nemá jedinou povinnou sadu funkcí. Structured Threat Information Expression (STIX) může reprezentovat informace o hrozbách, zatímco Trusted Automated Exchange of Intelligence Information (TAXII) je může přenášet. Podpora těchto standardů může zlepšit interoperabilitu, ale ani jeden standard sám nečiní systém TIPem ani nečiní jeho obsah užitečné informace o hrozbách.
Klíčové body
Běžné vstupyZprávy a feedy informací o hrozbách, nálezy incidentů, analýza malwaru, informace o zranitelnostech, sdílecí komunity a vlastní pozorování organizace.
Základní řízeníZachovávejte omezení zdroje a nakládání, sledujte časová razítka a jistotu, řiďte konflikty, nechte zastaralé záznamy expirovat a kontrolujte, co smí být redistribuováno.
Užitečné výstupyPrioritizovaný kontext pro analytiky, pivoty vyšetřování, obranné hypotézy, sdílení partnerům a pečlivě řízené aktualizace monitorovacích či blokovacích systémů.
Důležité omezeníAgregace více indikátorů automaticky nevytváří zpravodajství. Nízkokvalitní, zastaralá či bezkontextová data mohou plýtvat časem analytiků a způsobit nebezpečná automatizovaná rozhodnutí.