Typowe możliwości obejmują pobieranie danych, normalizowanie formatów, usuwanie duplikatów, wzbogacanie i wiązanie rekordów, rejestrowanie pewności i pochodzenia, wspieranie kuratorskiej pracy analityków oraz dystrybuowanie wybranych wyników do ludzi lub kontroli bezpieczeństwa.
TIP może pomagać łączyć wskaźniki, zaobserwowaną aktywność, zachowania przeciwników, podatności i kontekst obronny, ale kategoria produktu nie ma jednego obowiązkowego zestawu funkcji. Structured Threat Information Expression (STIX) może reprezentować informacje o zagrożeniach, a Trusted Automated Exchange of Intelligence Information (TAXII) może je transportować. Wspieranie tych standardów może poprawiać interoperacyjność, ale żaden standard sam nie czyni systemu platformą TIP ani nie czyni jego zawartości użytecznymi informacjami o zagrożeniach.
Najważniejsze punkty
Typowe wejściaRaporty i strumienie informacji o zagrożeniach, ustalenia incydentowe, analiza złośliwego oprogramowania, informacje o podatnościach, społeczności wymiany i własne obserwacje organizacji.
Zarządzanie kluczoweZachowuj ograniczenia źródła i postępowania, śledź znaczniki czasu i pewność, zarządzaj konfliktami, wygaszaj nieaktualne rekordy i kontroluj, co może być redystrybuowane.
Użyteczne wynikiPriorytetyzowany kontekst analityczny, punkty zwrotne dochodzenia, hipotezy obronne, wymiana z partnerami i starannie zarządzane aktualizacje systemów monitoringu lub blokowania.
Istotne ograniczenieAgregowanie większej liczby wskaźników nie tworzy automatycznie wiedzy o zagrożeniach. Niskiej jakości, nieaktualne lub pozbawione kontekstu dane mogą marnować czas analityków i powodować niebezpieczne zautomatyzowane decyzje.