Threat Intelligence Workspace: come funziona

Threat Intelligence Workspace è un modo strutturato, supportato da analisti, per organizzare l'intelligence che un team di sicurezza, rischio o prodotto deve esaminare. Riunisce indicatori, osservabili, riferimenti alle fonti, note di ricerca, valutazioni di affidabilità e domande di follow-up in un registro di lavoro che può supportare decisioni difensive, di rilevamento, di indagine e di reportistica. Lo scopo è mostrare con chiarezza quali elementi sono verificati e quanto peso può sostenere ciascuno. L'intelligence dipende dalle fonti disponibili, dal brief concordato, dalla cadenza degli analisti, dall'affidabilità delle fonti e dal livello di affidabilità che si può ragionevolmente attribuire a un'affermazione. Il workspace rende visibili questi limiti, affinché un responsabile possa usare le informazioni con cautela e con un livello di affidabilità adeguato.

Che cos'è

Il prodotto stabilisce una struttura concordata per gli indicatori di compromissione e gli osservabili correlati: hash, domini, indirizzi IP, URL, indicatori email, nomi di file, indizi sull'infrastruttura e altri artefatti rilevanti per il brief. Può inoltre organizzare note su threat actor, malware, campagne e relazioni infrastrutturali; risultati di arricchimento; profili di settore, area geografica e contesto aziendale; tracciamento delle fonti; commenti degli analisti e bozze di report. Un analista ricerca e seleziona materiale da fonti concordate, registra perché un elemento può essere rilevante e ne indica livello di affidabilità e limiti. Il team può quindi collegare l'intelligence a un'azione successiva proporzionata, come una revisione dei controlli difensivi, una query di rilevamento, una domanda per un'indagine interna o un aggiornamento per la direzione. È un workspace dal perimetro definito, supportato da analisti, con selezione periodica e note di attribuzione etichettate per livello di affidabilità.

Per Chi È

Threat Intelligence Workspace è adatto ai team che:

Ricevono indicatori, avvisi dei fornitori, report o ricerche da più parti e hanno bisogno di un modo coerente per registrare fonte, affidabilità, rilevanza e follow-up
Vogliono che le note su settore, area geografica, contesto aziendale, threat actor, malware, campagne o infrastruttura siano organizzate attorno a un brief pratico
Hanno bisogno di un ponte, supportato da analisti, tra l'intelligence grezza e le decisioni su controlli difensivi, rilevamento, indagini o reportistica agli stakeholder
Vogliono revisione e selezione periodiche dell'intelligence, supportate da analisti

Cosa Aiuta A Chiarire

Il workspace aiuta a chiarire:

Quali hash, domini, IP, URL, indicatori email e artefatti correlati rientrano nel perimetro, da dove provengono e quale livello di affidabilità è appropriato
Come le note su actor, malware, campagne e relazioni infrastrutturali si collegano al settore, all'area geografica, alla tecnologia e al contesto aziendale dell'organizzazione
Quali elementi possono supportare un controllo difensivo, un'ipotesi di rilevamento, una domanda d'indagine o un report, e quali richiedono ulteriori evidenze prima di agire
Cosa resta sconosciuto, contestato, obsoleto, inaccessibile o basato su fonti limitate anziché su fatti verificati in modo indipendente

Cosa è incluso

Conferma scritta di profilo di minaccia, temi prioritari, settori, aree geografiche, contesto aziendale, confini delle fonti, cadenza e destinatari dei report
Una struttura organizzata di IOC e osservabili per hash, domini, IP, URL, indicatori email e artefatti correlati concordati
Selezione da parte degli analisti di note su actor, malware, campagne, infrastruttura, arricchimento, fonti, affidabilità, rilevanza e relazioni, nel perimetro del brief
Tracciamento dei riferimenti alle fonti e commenti degli analisti che distinguono informazioni riportate, contesto dedotto, affermazioni non verificate ed elementi da convalidare
Collegamento dell'intelligence ad azioni proporzionate di follow-up difensivo, di rilevamento, di indagine o di reportistica, senza presumere che una risposta sia stata completata
Revisione periodica del workspace e un report o briefing sintetico che registra priorità, limiti e domande per il ciclo successivo

Cosa non è incluso

Una piattaforma SaaS di threat intelligence completa, un monitoraggio del dark web con risultati assicurati, un feed di intelligence in tempo reale, un sistema di alert automatici o un servizio di ricerca illimitato
Capacità proprie delle forze dell'ordine, standard probatori per l'azione penale, la promessa di individuare ogni indicatore o un'attribuzione certa di un actor, una campagna o un incidente
L'affermazione che riferimenti alle fonti, report di terzi o conclusioni degli analisti siano fatti verificati in modo indipendente quando l'affidabilità è limitata
Blocco automatico, deployment di regole di rilevamento, contenimento, risposta agli incidenti o rimedio nell'ambiente del cliente
Copertura di fonti, lingue, regioni, comunità, piattaforme o temi di intelligence al di fuori del brief e della cadenza concordati

Quando sceglierlo

Scelga Threat Intelligence Workspace quando esistono informazioni utili ma è difficile confrontarle, dar loro una priorità o portarle fino a un passo successivo con un responsabile. Può essere un punto di partenza sensato prima di un programma di miglioramento del rilevamento, di un confronto con un fornitore, di un briefing per il consiglio di amministrazione o sul rischio, o di un'indagine interna che richiede un contesto più solido. È prezioso anche quando team diversi lavorano su elenchi di indicatori scollegati e hanno bisogno di un registro condiviso di fonti e affidabilità. È adatto ai team che puntano a una selezione periodica etichettata per livello di affidabilità; avvisi in diretta, alert autonomi e attribuzione autorevole richiedono un accordo diverso. Queste aspettative richiedono dati, personale, autorità legale e modalità operative diversi. L'incarico funziona meglio quando il cliente può indicare i propri asset prioritari, le preoccupazioni di settore, le sedi, le tecnologie, i responsabili delle decisioni e l'azione pratica che è disposto a considerare.

Il nostro approccio

Iniziamo definendo la domanda di intelligence anziché raccogliere materiale senza un contesto decisionale. Il brief stabilisce il profilo aziendale, i temi prioritari, i confini delle fonti, la cadenza e le persone che utilizzeranno il risultato. Creiamo un registro strutturato per osservabili e note correlate, quindi selezioniamo il materiale disponibile con etichette esplicite di fonte e affidabilità. Ogni indicatore e ogni relazione vengono presentati con il livello di affidabilità supportato dalle relative evidenze. Spieghiamo perché un elemento può essere rilevante, quale contesto di supporto è presente e cosa resta non confermato. Quando individuiamo un follow-up utile, lo colleghiamo a una domanda difensiva, di rilevamento, di indagine o di reportistica e lasciamo la responsabilità dell'implementazione al cliente o a un fornitore incaricato separatamente. Le revisioni periodiche aggiornano la rilevanza e, ove possibile, archiviano o segnalano gli elementi obsoleti. Il risultato è un livello di intelligence più ordinato e utilizzabile.

Visualizza la pagina del prodotto di sicurezza Threat Intelligence Workspace

Domande frequenti

Le serve un registro di intelligence più utilizzabile prima di decidere i prossimi passi?

Inizi con una breve richiesta. Possiamo chiarire le domande di intelligence prioritarie, i confini delle fonti, la cadenza di revisione e se un Threat Intelligence Workspace è adatto al Suo team.

Richieda un confronto su Threat Intelligence Workspace

Prodotti di sicurezza