O que é Threat Intelligence?

O que é inteligência sobre ameaças cibernéticas? Também chamada de inteligência de segurança cibernética, a inteligência sobre ameaças é uma informação baseada em evidências sobre atividades criminosas que têm como alvo as redes, os dispositivos, os aplicativos e os dados de uma organização. Ela proporciona às empresas uma melhor compreensão dos perigos cibernéticos passados, atuais e futuros. Inclui mecanismos, contexto, implicações, indicadores e conselhos orientados para a ação sobre perigos emergentes ou existentes para os ativos de informação.

As informações de inteligência sobre ameaças podem orientar as empresas na determinação de quais de seus ativos cibernéticos correm maior risco de ataque e onde o impacto do ataque seria mais significativo. Elas fornecem às empresas o conhecimento necessário para saber quais ativos de informação devem ser protegidos, os melhores meios de protegê-los e as ferramentas de atenuação mais adequadas. A inteligência sobre ameaças fornece o contexto necessário para a tomada de decisões precisas, relevantes, acionáveis, oportunas e informadas.

Como conceito, a inteligência contra ameaças é fácil de entender. Entretanto, é consideravelmente mais desafiador coletar as informações necessárias e analisá-las. O grande número de ameaças que podem comprometer ou paralisar a tecnologia da informação corporativa pode parecer esmagador.

Alguns dos contextos coletados pela inteligência contra ameaças incluem quais são as suas vulnerabilidades, quem está atacando você, qual é a motivação, quais são as capacidades, que danos podem causar aos seus ativos de informação e quais indicadores de comprometimento você deve procurar.

OpenText™ ArcSight™ A inteligência lhe fornece informações sobre as ameaças mais potentes à sua infraestrutura, finanças e reputação. Com isso, você pode criar mecanismos de defesa e configurar uma mitigação de riscos que funcione.

Por que a inteligência contra ameaças é importante

As ferramentas de inteligência contra ameaças leem dados brutos sobre ameaças existentes e emergentes e agentes de ameaças de várias fontes. Os dados são analisados e filtrados para desenvolver feeds e relatórios de inteligência que podem ser usados por soluções de segurança automatizadas. Por que isso é importante?

• Obtenção das informações necessárias para que a organização se proteja contra ameaças e ataques.
• Manter-se atualizado sobre os riscos apresentados por agentes mal-intencionados, diversas vulnerabilidades, métodos de ataque, explorações de dia zero e ameaças persistentes avançadas.
• Manter uma maneira estruturada de lidar com os vastos dados de ameaças internas e externas que abrangem vários atores e sistemas desconectados.
• Evitar alarmes falsos.
• Minimizar as violações de dados e os custos financeiros, de reputação e de conformidade decorrentes.
• Adquirir o conhecimento necessário para identificar as ferramentas de segurança que têm maior probabilidade de funcionar.
• As equipes e as análises de segurança cibernética podem permanecer proativas em relação a ameaças futuras, evitando o ônus de lidar com dados brutos enormes, não processados e não priorizados.
• Mantenha líderes, usuários e partes interessadas informados sobre as ameaças mais recentes e as repercussões que elas podem ter na organização.
• Fornecer contexto oportuno que possa ser compreendido pelos tomadores de decisão.

A inteligência sobre ameaças é fundamental para qualquer pessoa cuja rede esteja conectada à Web mundial, o que é praticamente toda organização atualmente. Firewalls e outros sistemas de segurança são importantes, mas não substituem a necessidade de a empresa se manter atualizada sobre as ameaças que colocam em risco seus sistemas de informação. A natureza variada, complexa e escalonável dos ataques cibernéticos atuais torna a inteligência contra ameaças essencial.

---

O ciclo de vida da inteligência contra ameaças

A inteligência contra ameaças não é um processo de ponta a ponta orientado por uma lista de verificação. Ela é contínua, cíclica e iterativa. Nunca haverá um momento em que uma organização terá identificado e neutralizado todas as ameaças em potencial.

O ciclo de vida da inteligência contra ameaças é um reconhecimento da natureza evolutiva do ambiente de ameaças. Evitar um ataque ou uma crise não significa que o trabalho esteja concluído. Você deve pensar imediatamente, antecipar e se preparar para o próximo. Novas lacunas e perguntas continuarão a surgir e exigirão novos requisitos de inteligência.

O ciclo de vida da inteligência contra ameaças compreende as seguintes etapas.

• Planejamento - Defina os requisitos para a coleta de dados. Faça perguntas específicas que o levem na direção certa e que tenham como objetivo gerar informações acionáveis. Determine quem será o consumidor final da inteligência sobre ameaças.
• Coleta - Colete dados brutos sobre ameaças de fontes confiáveis. As fontes confiáveis aqui podem incluir trilhas de auditoria do sistema, incidentes anteriores, relatórios internos de risco, fontes técnicas externas e a Internet em geral.
• Processamento - Organize os dados brutos para que estejam prontos para análise. Coloque tags de metadados que facilitem a eliminação de informações redundantes, falsos negativos e falsos positivos. Um SIEM pode facilitar essa organização. Eles usam regras de correlação para estruturar os dados para diferentes casos de uso.
• Análise - A fase de análise é o que diferencia a inteligência contra ameaças da coleta e disseminação de informações básicas, pois é nela que você dá sentido aos dados. Aplique técnicas analíticas estruturadas às informações processadas e quantifique a ameaça. Isso produz feeds de inteligência contra ameaças que as ferramentas e os analistas examinam para determinar indicadores de comprometimento. Os indicadores de comprometimento incluem endereços IP suspeitos, URLs, e-mails, anexos de e-mail, chaves de registro e hashes.
• Disseminação - A inteligência sobre ameaças funciona quando é transmitida para as pessoas certas no momento certo. Share a análise com as partes interessadas relevantes usando canais de comunicação internos e externos predefinidos. Divulgue as informações em um formato que o público-alvo possa entender mais facilmente. Isso pode variar de listas de ameaças a relatórios revisados por pares. Em grandes organizações, a detecção e a atenuação de ameaças são esforços coletivos que envolvem várias equipes. Mantenha todos informados para descobrir novos insights, soluções e oportunidades.
• Integração - Integre inteligência acionável sobre ameaças a fluxos de trabalho, programas de resposta a incidentes e sistemas de emissão de tíquetes.
• Lições - Analise a inteligência para obter lições de longo prazo e implicações mais amplas. Faça as alterações apropriadas em suas políticas, procedimentos, processos, infraestrutura e configurações.
• Feedback - Revise as ações e confirme se a ameaça foi bloqueada ou contida.

---

Tipos de ameaças à segurança cibernética e inteligência de ameaças

As ameaças à segurança cibernética e a inteligência sobre ameaças podem ser categorizadas com base nos requisitos comerciais, nas fontes de inteligência e no público-alvo. Nesse sentido, há três tipos de ameaças à segurança cibernética e inteligência contra ameaças.

Inteligência estratégica sobre ameaças

São tendências ou problemas amplos ou de longo prazo. A análise das ameaças estratégicas geralmente é reservada a públicos de alto nível e não técnicos, como os executivos de alto escalão. A inteligência estratégica sobre ameaças oferece uma visão panorâmica das capacidades e intenções das ameaças, o que permite a tomada de decisões informadas e avisos imediatos.

As fontes de inteligência sobre ameaças estratégicas incluem a mídia de notícias, especialistas no assunto, documentos de política de organizações não governamentais, white papers de segurança e relatórios de pesquisa.

Inteligência tática sobre ameaças

A inteligência tática contra ameaças dá estrutura aos procedimentos, técnicas e táticas dos agentes de ameaças, abordando os indicadores de comprometimento por meio de eventos e operações de inteligência cotidianos. É uma inteligência destinada a um público mais técnico, como profissionais de segurança, arquitetos de sistemas e administradores de rede.

A inteligência tática sobre ameaças oferece às organizações uma compreensão mais profunda de como elas podem ser atacadas e as melhores defesas contra esses ataques. Os relatórios dos fornecedores de segurança e dos consultores de segurança cibernética empresarial costumam ser a principal fonte de inteligência tática sobre ameaças.

Inteligência sobre ameaças operacionais

A inteligência operacional contra ameaças também é chamada de inteligência técnica contra ameaças. Ela é muito especializada e altamente técnica. Ela lida com ataques, malware, ferramentas ou campanhas específicas.

A inteligência operacional sobre ameaças pode estar na forma de relatórios forenses de inteligência sobre ameaças, feeds de dados sobre ameaças ou comunicações interceptadas de grupos de ameaças. Ela fornece às equipes de resposta a incidentes insights sobre o momento, a natureza e a intenção de ataques específicos.

---

O que é detecção de ameaças?

A detecção de ameaças é um termo que às vezes é usado como sinônimo de inteligência contra ameaças, mas os dois não significam a mesma coisa. A detecção de ameaças é o monitoramento passivo de dados para detectar possíveis problemas de segurança.

Seu foco é a descoberta e a identificação de ameaças antes, durante ou depois de uma violação de segurança. A ameaça pode ser uma cadeia de caracteres em uma amostra de malware, conexões de rede em partes incomuns, um pico ou uma queda inesperada no tráfego de rede ou um arquivo executável salvo em um diretório temporário.

As ferramentas de detecção de violação de dados analisam o comportamento do usuário, dos dados, dos aplicativos e da rede em busca de atividades anômalas. Um sistema de detecção de intrusão é um exemplo de ferramenta de detecção de ameaças.

---

Como a inteligência e a detecção de ameaças trabalham juntas

Os sistemas de detecção de ameaças geralmente inspecionam o tráfego de rede usando inteligência contra ameaças proveniente de uma ampla gama de comunidades, como o H-ISAC. Eles implementam alertas personalizados e notificações de eventos. As ferramentas de detecção de ameaças permitem o monitoramento de registros de várias fontes e a adaptação a diferentes ambientes.

Assim, quando uma ameaça é detectada, um alerta é enviado. Normalmente, um ser humano interviria, analisaria a ameaça, determinaria o que está acontecendo e tomaria as medidas adequadas.

---

As ferramentas certas para a inteligência certa sobre ameaças

As organizações de hoje estão expostas a invasores que, potencialmente, têm milhões de maneiras de obter acesso não autorizado e causar estragos. Além disso, as ameaças estão crescendo constantemente em escala, complexidade e sofisticação. Isso significa que é melhor presumir que um invasor conseguirá entrar, apesar dos seus esforços e dos esforços da sua organização. Estabelecer os controles físicos e lógicos adequados ajuda muito a reduzir as chances de um ataque bem-sucedido.

A inteligência sobre ameaças é indispensável para a detecção e a resposta oportuna e eficaz a ameaças, além de ser um elemento necessário para a compreensão e a proteção contra possíveis ameaças à segurança cibernética. Quanto melhor for o entendimento da sua equipe e da organização sobre as possíveis ameaças, mais bem equipados estarão para desenvolver e priorizar respostas funcionais e detectar ameaças rapidamente.

A inteligência contra ameaças é um exercício árduo e demorado, mesmo para pequenas empresas. Felizmente, há várias ferramentas de inteligência contra ameaças disponíveis no mercado que podem ajudar. No entanto, nem todas são criadas da mesma forma. Reconhecida como líder global no espaço de segurança cibernética, a OpenText fornece as ferramentas certas de que sua organização precisa para gerar rapidamente uma inteligência sobre ameaças significativa, acionável e dinâmica.