Źródła i kanały analizy zagrożeń

Wywiad zagrożeń to przetworzone informacje o zagrożeniach, uwzględniające ich kontekst. Surowe dane stają się wartościowym wywiadem, gdy odpowiadają na pytania, kto Państwa atakuje i na co należy zwracać uwagę — dzięki temu można działać z wyprzedzeniem.

Wywiad zagrożeń obejmuje cztery poziomy: strategiczne trendy dla kadry kierowniczej, operacyjne kampanie dla menedżerów, taktyczne TTP dla architektów oraz techniczne IoC dla analityków SOC.

OSINT to bezpłatne informacje o zagrożeniach pochodzące ze źródeł publicznych — bazy CVE, VirusTotal, Shodan i blogów dostawców. Zwykle właśnie od nich zespoły bezpieczeństwa zaczynają pracę.

ISAC to branżowa organizacja, w której członkowie dzielą się informacjami o zagrożeniach dotykających ich sektora — na przykład FS-ISAC dla sektora finansowego. Dzięki temu mogą Państwo korzystać z doświadczeń innych osób zmagających się z tymi samymi napastnikami.

Komercyjne kanały dostawców takich jak CrowdStrike czy Mandiant oferują wyselekcjonowane informacje o zagrożeniach z niewielką liczbą szumów, obejmujące także dark web i bezpośrednio integrujące się z Państwa SIEM. 💰

Struktura MITRE ATT&CK kataloguje rzeczywiste taktyki i techniki używane przez napastników na każdym etapie ataku. Zespoły wykorzystują ją do mapowania aktywności i wykrywania luk w mechanizmach detekcji.

Monitorowanie dark webu skanuje przestępcze platformy handlowe w poszukiwaniu Państwa nazwy lub ujawnionych danych uwierzytelniających. Wykrycie skradzionych danych logowania wystawionych na sprzedaż może ostrzec o naruszeniu, zanim dowiedzą się Państwo o nim w inny sposób.

Dwa standardy automatyzują wymianę informacji: STIX określa sposób opisywania danych o zagrożeniach, a TAXII je przesyła. Razem umożliwiają narzędziom pobieranie informacji bez ręcznej pracy.

Rządy również publikują bezpłatne i wiarygodne informacje o zagrożeniach. Biuletyny CISA i jej katalog Known Exploited Vulnerabilities, a także kanały FBI i NIST, stanowią podstawowy zestaw źródeł, które warto subskrybować.

Wywiad ma znaczenie tylko wtedy, gdy prowadzi do działania. Cykl wywiadowczy obejmuje określenie kierunku, gromadzenie, analizę, udostępnianie i zbieranie opinii — a następnie zespoły SOC podejmują na tej podstawie działania.

Dobry wywiad jest aktualny, przydatny, dokładny i możliwy do wykorzystania. Wskaźnik sprzed trzech lat lub zalew fałszywych alarmów tylko marnują czas analityków — należy wycofywać kanały generujące zbyt dużo szumu.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

Szybkie podsumowanie: wywiad obejmuje poziomy od strategicznego po techniczny, a najważniejsze źródła to OSINT, ISAC i CISA; MITRE ATT&CK mapuje TTP, a STIX/TAXII automatyzują wymianę informacji. Dalej: wskaźniki naruszenia.