Użyteczna analiza informacji o zagrożeniach wyjaśnia nie tylko to, co zaobserwowano, ale dlaczego ma to znaczenie dla konkretnej organizacji, jak pewna jest ocena i jakie działanie odbiorca może podjąć.
CTI może być strategiczna dla kierownictwa, operacyjna dla planowania kampanii i incydentów, taktyczna dla rozumienia zachowań atakujących lub techniczna dla identyfikowania konkretnej infrastruktury i artefaktów. Surowy strumień adresów, domen lub haszy plików to dane; dopiero analiza i umieszczenie w kontekście czynią z nich informacje o zagrożeniach.
Formaty wymiany, takie jak STIX, i transporty, takie jak TAXII, pozwalają społecznościom wymieniać ustrukturyzowane informacje o zagrożeniach z szybkością maszyny, ale decydującym czynnikiem jest wymóg informacyjny: co organizacja musi wiedzieć, dla jakiej decyzji i do kiedy. Program, który nie potrafi nazwać swoich wymogów, zbiera szum, a nie wiedzę o zagrożeniach.
Najważniejsze punkty
Główny celRedukować niepewność w decyzjach bezpieczeństwa, ryzyka i reakcji.
Typowe wejściaWewnętrzne incydenty, telemetria, zaufane społeczności wymiany, raportowanie publiczne, badania i komercyjne strumienie.
Testy jakościTrafność, aktualność, wiarygodność źródła, pewność analityczna, możliwość działania i legalne postępowanie.
Istotne ograniczenieInformacje o zagrożeniach mogą być niekompletne, nieaktualne, celowo zwodnicze lub nietrafne dla środowiska odbiorcy.