Informațiile utile despre amenințări explică nu doar ce a fost observat, ci și de ce contează pentru o anumită organizație, cât de încrezătoare este evaluarea și ce acțiune poate întreprinde destinatarul.
CTI poate fi strategic pentru lideri, operațional pentru planificarea campaniilor și incidentelor, tactic pentru înțelegerea comportamentului atacatorilor sau tehnic pentru identificarea infrastructurii și artefactelor specifice. Un flux brut de adrese, domenii sau hash-uri de fișiere reprezintă date; devine informații despre amenințări abia după analiză și contextualizare.
Formatele de partajare precum STIX și transporturile precum TAXII permit comunităților să schimbe informații structurate despre amenințări la viteza mașinii, dar factorul decisiv este cerința de informații despre amenințări: ce trebuie organizația să știe, pentru care decizie și până când. Un program care nu își poate numi cerințele colectează zgomot, nu informații despre amenințări.
Puncte esențiale
Scop principalReducerea incertitudinii în deciziile de securitate, risc și răspuns.
Intrări obișnuiteIncidente interne, telemetrie, comunități de partajare de încredere, rapoarte publice, cercetare și fluxuri comerciale.
Teste de calitateRelevanță, actualitate, fiabilitatea sursei, încrederea analitică, acționabilitate și tratare legală.
Limitare importantăInformațiile despre amenințări pot fi incomplete, învechit, deliberat înșelător sau irelevant pentru mediul destinatarului.