Užitočné spravodajstvo vysvetľuje nielen to, čo bolo pozorované, ale aj prečo je to dôležité pre konkrétnu organizáciu, ako isté je hodnotenie a akú akciu môže príjemca vykonať.
CTI môže byť strategická pre vedenie, operačná pre plánovanie kampaní a incidentov, taktická pre pochopenie správania útočníkov alebo technická pre identifikáciu konkrétnej infraštruktúry a artefaktov. Surový feed adries, domén alebo hashov súborov sú údaje; spravodajstvom sa stávajú až po analýze a kontextualizácii.
Formáty zdieľania, ako je STIX, a transporty, ako je TAXII, umožňujú komunitám vymieňať štruktúrované spravodajstvo rýchlosťou stroja, no rozhodujúcim faktorom je požiadavka na spravodajstvo: čo organizácia potrebuje vedieť, pre ktoré rozhodnutie a dokedy. Program, ktorý nedokáže pomenovať svoje požiadavky, zbiera šum, nie spravodajstvo.
Kľúčové body
Primárny účelZnižovať neistotu v bezpečnostných, rizikových a reakčných rozhodnutiach.
Bežné vstupyInterné incidenty, telemetria, dôveryhodné komunity zdieľania, verejné hlásenia, výskum a komerčné feedy.
Testy kvalityRelevancia, aktuálnosť, spoľahlivosť zdroja, analytická istota, akčnosť a zákonné zaobchádzanie.
Dôležité obmedzenieSpravodajstvo o hrozbách môže byť neúplná, zastaraná, zámerne klamlivá alebo nerelevantná pre prostredie príjemcu.