A hasznos felderítés nemcsak azt magyarázza meg, mit figyeltek meg, hanem azt is, miért számít az adott szervezetnek, mennyire biztos az értékelés, és milyen intézkedést tehet a címzett.
A CTI lehet stratégiai a vezetőknek, műveleti a kampány- és incidentervezéshez, taktikai a támadói viselkedés megértéséhez vagy technikai a konkrét infrastruktúra és artefaktok azonosításához. A címek, domainek vagy fájlhash-ek nyers feedje adat; csak az elemzés és kontextualizálás után válik felderítéssé.
Az olyan megosztási formátumok, mint a STIX, és az olyan szállítások, mint a TAXII, lehetővé teszik a közösségeknek a strukturált felderítés gépidejű cseréjét, de a döntő faktor a felderítési igény: mit kell tudnia a szervezetnek, melyik döntéshez és mikorra. A program, amely nem tudja megnevezni az igényeit, zajt gyűjt, nem felderítést.
Legfontosabb pontok
Elsődleges célA bizonytalanság csökkentése a biztonsági, kockázati és reagálási döntésekben.
Gyakori bemenetekBelső incidensek, telemetria, megbízható megosztási közösségek, nyilvános jelentések, kutatás és kereskedelmi feedek.
Minőségi próbákRelevancia, időszerűség, forrás-megbízhatóság, elemzői bizonyosság, cselekvőképesség és jogszerű kezelés.
Fontos korlátA fenyegetésfelderítés lehet hiányos, elavult, szándékosan megtévesztő vagy a címzett környezetére irreleváns.