Cyberbezpieczeństwo często kojarzy się z reagowaniem: wykryciem ataku, analizą alertu i próbą ograniczenia skutków. Tymczasem równie ważne jest wcześniejsze rozpoznanie, jakie grupy cyberprzestępcze, techniki ataku i podatności mogą być istotne dla konkretnej organizacji. Właśnie na tym opiera się threat intelligence, czyli wykorzystanie informacji o aktualnych zagrożeniach do podejmowania bardziej świadomych decyzji dotyczących ochrony środowiska IT.
Sama wiedza o pojawieniu się nowego ransomware czy podatności nie musi jeszcze być szczególnie użyteczna. Największą wartość mają informacje, które można odnieść do własnej infrastruktury, branży i wykorzystywanych technologii. Dla jednej organizacji istotne może być wykrycie kampanii phishingowej wymierzonej w jej sektor, dla innej informacje o grupach atakujących określone rozwiązania VPN lub systemy chmurowe. Threat intelligence pomaga więc odpowiedzieć nie tylko na pytanie „co dzieje się w świecie cyberzagrożeń?”, ale przede wszystkim „które z tych zagrożeń mogą dotyczyć właśnie nas?”.
Cyberatak zwykle nie rozpoczyna się w chwili zaszyfrowania danych albo przejęcia konta administratora. Wcześniej może obejmować rozpoznanie organizacji, przygotowanie infrastruktury, rejestrację domen podobnych do firmowych, sprzedaż danych logowania lub aktywność na forach wykorzystywanych przez cyberprzestępców. Informacje z takich źródeł mogą pomóc zespołowi bezpieczeństwa lepiej ocenić, czy organizacja staje się celem zainteresowania napastników. Szczególnie wartościowe jest łączenie wiedzy o grupach zagrożeń z obserwacją wykorzystywanej przez nie infrastruktury, technik działania oraz wcześniejszych kampanii. Rozwiązania wspierające analizę zagrożeń i ochronę środowiska IT można znaleźć m.in. w ofercie Trafford. Warto traktować je jako jeden z punktów odniesienia przy planowaniu narzędzi potrzebnych do monitorowania i wykrywania aktywności mogącej wskazywać na cyberatak.
Ataki ransomware są szczególnie dobrym przykładem wykorzystania threat intelligence. Organizacja może obserwować aktywność konkretnych grup, analizować wykorzystywane przez nie techniki oraz sprawdzać, jakie branże i regiony znajdują się aktualnie w ich zainteresowaniu. Takie informacje mogą pomóc ustalać priorytety działań ochronnych. Jeśli określona grupa regularnie wykorzystuje konkretną podatność lub sposób uzyskiwania dostępu, organizacja może wcześniej sprawdzić, czy podobny scenariusz jest możliwy również w jej środowisku.
Lista podatności w większej organizacji może obejmować tysiące pozycji. Sam wynik skanowania nie zawsze jednak mówi, które z nich powinny zostać usunięte w pierwszej kolejności. Jeżeli threat intelligence wskazuje, że konkretna luka jest aktywnie wykorzystywana przez grupę atakującą firmy z danej branży, jej znaczenie natychmiast rośnie. Z kolei podatność o wysokiej ocenie technicznej może mieć mniejszy priorytet, jeśli nie występuje w systemach dostępnych z zewnątrz i nie jest obecnie wykorzystywana w rzeczywistych kampaniach. Takie podejście pozwala łączyć klasyczne zarządzanie podatnościami z rzeczywistym kontekstem zagrożeń.
Threat intelligence ma ograniczoną wartość, jeśli pozostaje wyłącznie w osobnym panelu i wymaga ręcznego sprawdzania przez analityków. Znacznie praktyczniejsze jest integrowanie takich informacji z narzędziami SIEM, XDR czy systemami ochrony endpointów. Dzięki temu informacje o złośliwych adresach IP, domenach, plikach czy technikach ataku mogą być automatycznie wykorzystywane podczas analizy zdarzeń. Zespół bezpieczeństwa nie musi wtedy rozpoczynać każdej analizy od zera, ponieważ część kontekstu otrzymuje bezpośrednio w wykorzystywanym środowisku.
Jednym z największych problemów zespołów bezpieczeństwa jest nadmiar ostrzeżeń. Jeśli każde podejrzane zdarzenie traktowane jest osobno, analitycy mogą tracić czas na alerty o niewielkim znaczeniu. Znacznie wartościowsze jest łączenie pojedynczych sygnałów w szerszy obraz. Jeżeli nietypowe logowanie, podejrzany proces i komunikacja z określoną domeną pojawiają się w krótkim czasie na tym samym urządzeniu, razem mogą wskazywać na poważniejszy incydent. Właśnie dlatego przydatne stają się rozwiązania potrafiące korelować zdarzenia z różnych źródeł i zestawiać je z aktualną wiedzą o technikach stosowanych przez atakujących.
Nie każda firma potrzebuje śledzić te same grupy przestępcze czy analizować identyczny zestaw źródeł. Inne zagrożenia będą istotne dla banku, inne dla producenta przemysłowego, a jeszcze inne dla organizacji korzystającej głównie z usług SaaS. Dlatego skuteczne wykorzystanie threat intelligence zaczyna się od zdefiniowania własnych priorytetów. Warto określić najważniejsze systemy, branżę, regiony działalności, wykorzystywane technologie oraz rodzaje danych wymagających szczególnej ochrony. Dopiero wtedy informacje o zagrożeniach przestają być zbiorem ciekawostek o cyberprzestępcach i zaczynają realnie wspierać zarządzanie ryzykiem.
Threat intelligence nie eliminuje cyberataków, ale pozwala lepiej przygotować się na scenariusze, które są najbardziej prawdopodobne. Może wskazać, jakie podatności wymagają natychmiastowej uwagi, które grupy atakują podobne organizacje i jakie techniki warto uwzględnić w regułach detekcji. Dzięki temu bezpieczeństwo staje się bardziej proaktywne. Zespół nie czeka wyłącznie na pierwszy alarm we własnym środowisku, lecz wykorzystuje wiedzę o tym, co dzieje się poza nim. W świecie, w którym techniki ataku szybko się zmieniają, właśnie taki kontekst może decydować o tym, czy organizacja zauważy zagrożenie odpowiednio wcześnie.
