OpenText startsida.
Tekniska ämnen

Vad är hotinformation?

Illustration av IT-artiklar med fokus på en bärbar dator

Översikt

Vad är underrättelser om cyberhot? Hot intelligence, även kallat cyber security intelligence, är evidensbaserad information om kriminell aktivitet som riktar sig mot en organisations nätverk, enheter, applikationer och data. Det ger företagen en bättre förståelse för tidigare, nuvarande och framtida cyberfaror. Den omfattar mekanismer, sammanhang, konsekvenser, indikatorer och handlingsinriktade råd om nya eller befintliga risker för informationstillgångar.

Information om hotbilder kan hjälpa företag att avgöra vilka av deras cybertillgångar som löper störst risk att utsättas för angrepp och var angreppen skulle få störst effekt. Den ger företagen den kunskap de behöver för att veta vilka informationstillgångar som ska skyddas, hur de bäst skyddas och vilka verktyg som är lämpligast för att minska riskerna. Underrättelser om hot ger den kontext som behövs för korrekt, relevant, handlingsinriktad, snabb och välgrundad beslutsfattning.

Som begrepp är hotbildsinformation lätt att förstå. Det är dock betydligt mer utmanande att samla in den information som behövs och att analysera den. Det stora antalet hot som potentiellt skulle kunna äventyra eller lamslå företagets informationsteknik kan kännas överväldigande.

Några av de sammanhang som threat intelligence samlar in är vilka dina sårbarheter är, vem som attackerar dig, vad är deras motivation, vad är deras kapacitet, vilken skada de kan orsaka på dina informationstillgångar och vilka indikatorer på kompromettering du bör se upp för.

OpenText™ Core Behavioral Signals ger dig information om de mest potenta hoten mot din infrastruktur, ekonomi och rykte. Med hjälp av detta kan du bygga upp försvarsmekanismer och sätta upp riskreducerande åtgärder som fungerar.

Hotintelligens

Varför hotbildsinformation är viktig

Hotunderrättelseverktyg läser in rådata om befintliga och nya hot och hotaktörer från flera olika källor. Uppgifterna analyseras och filtreras för att ta fram underrättelseflöden och rapporter som kan användas av automatiserade säkerhetslösningar. Varför är detta viktigt?

  • Skaffa information som behövs för att organisationen ska kunna skydda sig mot hot och attacker.
  • Hålla sig uppdaterad om de risker som dåliga aktörer, olika sårbarheter, attackmetoder, nolldagarsutnyttjande och avancerade ihållande hot utgör.
  • Upprätthålla ett strukturerat sätt att hantera den stora mängden interna och externa hotdata som spänner över många aktörer och system som inte är sammankopplade.
  • Undvik falsklarm.
  • Minimering av dataintrång och de kostnader för ekonomi, anseende och efterlevnad som detta medför.
  • Förvärva den kunskap som krävs för att identifiera de säkerhetsverktyg som har störst sannolikhet att fungera.
  • Cybersäkerhetsteam och analysavdelningar kan arbeta proaktivt med framtida hot samtidigt som de slipper hantera enorma mängder obearbetad och oprioriterad rådata.
  • Håll ledare, användare och intressenter informerade om de senaste hoten och vilka konsekvenser de kan få för organisationen.
  • Ge beslutsfattarna ett sammanhang i rätt tid som de kan förstå.

Hotinformation är avgörande för alla vars nätverk är anslutet till den globala webben, vilket i stort sett alla organisationer är idag. Brandväggar och andra säkerhetssystem är viktiga, men de ersätter inte behovet av att företaget håller sig uppdaterat om de hot som hotar dess informationssystem. Cyberattackernas varierande, komplexa och skalbara karaktär gör att hotinformation är av största vikt.

Livscykeln för underrättelser om hot

Threat intelligence är inte en process från början till slut som styrs av en checklista. Det är ett kontinuerligt, cykliskt och iterativt arbetssätt. Det kommer aldrig att finnas någon tidpunkt då en organisation har identifierat och neutraliserat alla potentiella hot.

Livscykeln för hotbildsunderrättelser är ett erkännande av hotmiljöns föränderliga natur. Att avvärja en attack eller kris betyder inte att jobbet är gjort. Du måste omedelbart tänka på, förutse och förbereda dig för nästa. Nya luckor och frågor kommer att fortsätta att dyka upp som kräver nya underrättelsekrav.

Livscykeln för hotinformation består av följande steg.

  • Planering - Definiera kraven för datainsamling. Ställ specifika frågor som leder dig i rätt riktning och som syftar till att generera handlingsbar information. Bestäm vem som ska vara slutkonsument av hotinformationen.
  • Insamling - Samla in råa hotdata från trovärdiga källor. Trovärdiga källor kan här vara systemets verifieringskedjor, tidigare incidenter, interna riskrapporter, tekniska externa källor och Internet i stort.
  • Bearbetning - Organisera rådata så att de är redo för analys. Placera metadatataggar som gör det lättare att eliminera överflödig information, falska negativa och falska positiva resultat. En SIEM kan underlätta denna organisation. De använder korrelationsregler för att strukturera data för olika användningsområden.
  • Analys - Analysfasen är det som skiljer hotbildsunderrättelser från grundläggande informationsinsamling och spridning, eftersom det är här du skapar mening med uppgifterna. Tillämpa strukturerade analysmetoder på den bearbetade informationen och kvantifiera hotet. Detta producerar hotinformationsflöden som verktyg och analytiker skannar för att fastställa indikatorer på kompromettering. Indikatorer på kompromettering inkluderar misstänkta IP-adresser, webbadresser, e-postmeddelanden, e-postbilagor, registernycklar och hashar.
  • Spridning - Underrättelser om hot fungerar när de vidarebefordras till rätt personer vid rätt tidpunkt. Dela analysen med relevanta intressenter med hjälp av fördefinierade interna och externa kommunikationskanaler. Sprid informationen i ett format som målgruppen lättare kan förstå. Det kan röra sig om allt från hotlistor till peer-reviewed rapporter. I stora organisationer är upptäckt och begränsning av hot kollektiva insatser som involverar flera team. Håll alla uppdaterade för att få fram nya insikter, lösningar och möjligheter.
  • Integration - Integrera användbar hotinformation i arbetsflöden, incidenthanteringsprogram och ärendehanteringssystem.
  • Lärdomar - Analysera underrättelserna för långsiktiga lärdomar och bredare konsekvenser. Gör lämpliga ändringar i policyer, rutiner, processer, infrastruktur och konfigurationer.
  • Feedback - Granska åtgärderna och bekräfta om hotet har blockerats eller avvärjts.

Olika typer av hot mot cybersäkerheten och hotinformation

Hot mot cybersäkerheten och underrättelser om hot kan kategoriseras utifrån verksamhetskrav, underrättelsekällor och målgrupp. I detta avseende finns det tre typer av hot mot cybersäkerheten och hotinformation.

Strategisk hotbildsunderrättelse

Det handlar om breda eller långsiktiga trender eller frågor. Granskning av strategiska hot är ofta förbehållet icke-tekniska målgrupper på hög nivå, till exempel chefer på högsta ledningsnivå. Strategisk hotbildsunderrättelse ger en överblick över hotens kapacitet och avsikter, vilket möjliggör välgrundade beslut och snabba varningar.

Källor till underrättelser om strategiska hot är bland annat nyhetsmedier, ämnesexperter, policydokument från icke-statliga organisationer, vitböcker om säkerhet och forskningsrapporter.

Taktisk hotbildsunderrättelse

Taktisk hotinformation ger struktur åt hotaktörernas förfaranden, tekniker och taktik genom att ta itu med indikatorerna på kompromisser genom dagliga underrättelsehändelser och operationer. Det är information som är avsedd för en mer teknisk publik, t.ex. säkerhetsexperter, systemarkitekter och nätverksadministratörer.

Taktisk hotinformation ger organisationer en djupare förståelse för hur de kan attackeras och hur de bäst kan försvara sig mot dessa attacker. Rapporter från säkerhetsleverantörer och konsulter inom cybersäkerhet för företag är ofta den viktigaste källan till taktisk hotinformation.

Operativ hotbildsunderrättelse

Operativ hotbildsunderrättelse kallas också teknisk hotbildsunderrättelse. Det är mycket specialiserat och mycket tekniskt. Det handlar om specifika attacker, skadlig kod, verktyg eller kampanjer.

Operativa hotunderrättelser kan vara i form av kriminaltekniska hotunderrättelserapporter, hotdataflöden eller avlyssnad kommunikation från hotgrupper. Det ger incidenthanteringsgrupperna insikter om tidpunkt, typ och avsikt för specifika attacker.

Vad är hotdetektering?

Hotdetektering är en term som ibland används synonymt med hotinformation, men de två betyder inte samma sak. Hotdetektering är passiv övervakning av data för att upptäcka potentiella säkerhetsproblem.

Den är inriktad på att upptäcka och identifiera hot före, under eller efter en säkerhetsöverträdelse. Hotet kan vara en sträng i ett exempel på skadlig kod, nätverksanslutningar över ovanliga delar, en oväntad ökning eller minskning av nätverkstrafiken eller en körbar fil som sparats i en tillfällig katalog.

Verktyg för att upptäcka dataintrång analyserar användar-, data-, applikations- och nätverksbeteende för att upptäcka avvikande aktivitet. Ett intrångsdetekteringssystem är ett exempel på ett verktyg för att upptäcka hot.

Hur hotinformation och hotdetektering fungerar tillsammans

Hotdetekteringssystem inspekterar ofta nätverkstrafiken med hjälp av hotinformation som hämtas från en mängd olika grupper, t.ex. H-ISAC. De distribuerar anpassade varningar och händelsemeddelanden. Verktyg för hotdetektering gör det möjligt att övervaka loggar från olika källor och skräddarsy dem för olika miljöer.

Så när ett hot upptäcks skickas en varning ut. Vanligtvis skulle en människa ingripa, granska hotet, avgöra vad som händer och vidta lämpliga åtgärder.

Rätt verktyg för rätt hotbildsinformation

Dagens organisationer är utsatta för angripare som potentiellt har miljontals sätt att skaffa sig obehörig åtkomst och skapa förödelse. Dessutom ökar hoten hela tiden i omfattning, komplexitet och sofistikeradhet. Det innebär att det är bäst att anta att en angripare kommer att bryta sig igenom, trots dina och din organisations bästa ansträngningar. Genom att införa lämpliga fysiska och logiska kontroller kan man i hög grad minska risken för en framgångsrik attack.

Hotbildsunderrättelser är oumbärliga för att snabbt och effektivt kunna upptäcka och bemöta hot, och är en nödvändig del för att förstå och skydda sig mot potentiella cybersäkerhetshot. Ju bättre förståelse ditt team och din organisation har för potentiella hot, desto bättre rustad är du för att utveckla och prioritera funktionella svar och upptäcka hot snabbt.

Hotspaning är ett mödosamt och tidskrävande arbete även för små företag. Lyckligtvis finns det många verktyg för hotinformation på marknaden som kan hjälpa till. Alla är dock inte lika bra. OpenText är erkänd som en global ledare inom cybersäkerhetsutrymmet och tillhandahåller de rätta verktygen som din organisation behöver för att snabbt generera meningsfull, handlingsbar och dynamisk hotinformation.

Relaterade produkter

OpenText™ Core Behavioral Signals

Upptäck proaktivt insiderrisker, nya attacker och avancerade ihållande hot

OpenText™ Enterprise Security Manager

Påskynda hotdetektering och respons med realtidskorrelation och inbyggd SOAR

OpenText™ Cybersecurity Cloud

Försvara med precision, säkra med självförtroende

OpenText™ Security Log Analytics

Påskynda hotdetektering med insiktsfulla och handlingsbara säkerhetsinsikter

Se alla relaterade produkter

Hur kan vi hjälpa till?

Fotnoter