Định nghĩa về Threat Intelligence?
Threat Intelligence (TI), hoặc còn được gọi là cyber threat intelligence, là thông tin mà một tổ chức bảo mật thu thập về những mối đe dọa tiềm năng và đang đe dọa hoạt động của họ. Nói cách khác, đây là một luồng thông tin liên tục được cung cấp để ưu tiên tự động hóa các mối đe dọa đó và nỗ lực khắc phục sau đó.
Người thực hiện Threat Intelligence nên coi trách nhiệm của mình như một nỗ lực để đảm bảo mọi bộ phận của tổ chức bảo mật tận dụng hiệu quả dữ liệu về mối đe dọa là một phần trong nhiệm vụ phát hiện, ứng phó và quản lý rủi ro tổng thể. Forrester gần đây đã lưu ý rằng – đối mặt với một bối cảnh mối đe dọa ngày càng phức tạp – các nhóm an ninh phải áp dụng các quy trình nội bộ để quản lý thông tin mối đe dọa và bảo vệ doanh nghiệp.
Khi mối đe dọa ngày càng lớn đối với mọi phần của thế giới và tất cả các ngành công nghiệp, các nền tảng Threat Intelligence cũng có thể là một công cụ mạnh mẽ để tích cực đối phó. Chắc chắn, việc phòng thủ là quan trọng. Tuy nhiên, Threat Intelligence là thông tin cũng chỉ ra các xu hướng có thể không nhất thiết là các cuộc tấn công đơn giản đang diễn ra tại trung tâm vận hành an ninh (SOC). Trong trường hợp đó, SOC có thể đi săn mối đe dọa một cách chủ động và củng cố an ninh theo các xu hướng đó.
Tại sao Threat Intelligence quan trọng?
Các nền tảng Threat Intelligence (TI) là quan trọng vì một tổ chức bảo mật cần có khả năng phát hiện mối đe dọa tiềm năng càng sớm càng tốt để có thể đối phó và khắc phục các lỗ hổng mà các nhà đe dọa có thể cố gắng khai thác. TI cũng quan trọng vì nó có thể giúp tiết kiệm đáng kể nguồn lực. Bạn càng ngăn chặn được nhiều mối đe dọa, bạn càng tiết kiệm được nhiều tiền cho doanh nghiệp. Hãy xem một số lợi ích nhấn mạnh tầm quan trọng của một chương trình TI đáng tin cậy:
Kiểm tra (Audit)
Điều này có thể có vẻ là một quá trình chậm chạp và phức tạp, nhưng lợi ích của việc biết chính xác những gì tổ chức bảo mật của bạn cần từ chương trình TI không thể bỏ qua. Việc tạo ra các Yêu cầu Thông tin Ưu Tiên (PIRs) có thể giúp đạt được kết quả tổng thể mong muốn.
Mở rộng quyền truy cập
Nhiều nhà cung cấp TI hiện đang tích hợp quyền truy cập mở rộng, giúp tiếp cận TI một cách minh bạch hơn và giúp các chuyên gia bảo mật dễ dàng truy cập và thực hiện hành động. Các thông tin hữu ích có thể tích hợp một cách liền mạch vào các thiết bị bảo mật và các nền tảng TI.
Khắc phục tự động
Việc phổ cập quá trình không chỉ đồng nghĩa với việc các chuyên gia thực hiện có quyền truy cập mở rộng hơn, mà còn chỉ ra rằng các thiết bị thực tế đang nhận dữ liệu hữu ích và tự động ngăn chặn một cuộc tấn công đang đến gần. Bất kỳ chương trình hoặc giải pháp TI đáng giá nào cũng nên là một phần quan trọng của quy trình này.
Threat Intelligence mang tính hành động đã tiến bộ đáng kể trong những năm gần đây khi chuyển từ một phương pháp thủ công sang tự động hóa một phần lớn quá trình, nhằm giúp các tổ chức bảo mật có thể thực sự sử dụng nó – thay vì chỉ ngồi trên đống dữ liệu chưa được phân tích và đợi một cuộc tấn công xảy ra.
Ai hưởng lợi từ Threat Intelligence?
Nói một cách đơn giản, mọi người đều được hưởng lợi từ TI. Nó có thể làm cho cuộc sống của một SOC trở nên dễ dàng hơn, có thể tiết kiệm tiền cho toàn bộ hoạt động kinh doanh và củng cố niềm tin của khách hàng đối với công ty và sản phẩm của công ty. Vì nó này nhắm chắc chắn vào các chuyên gia bảo mật, những người hưởng lợi chính của TI là các nhà phân tích và nhân viên trong tổ chức bảo mật, vì nó trực tiếp giúp họ giảm bớt công việc. Những lợi ích đó là gì?
Tiết kiệm thời gian
Thời gian dành cho việc tìm kiếm các mối đe dọa tiềm ẩn theo cách thủ công đã trở thành một thách thức nghiêm trọng đối với SOC thiếu khung TI có thẩm quyền. Tận dụng tự động hóa, một giải pháp TI có phương pháp có thể thực hiện hầu hết công việc đó, đưa thời gian trở lại SOC đó.
Giảm tác động của các cuộc tấn công
Với các bề mặt tấn công mở rộng trên toàn thế giới, các tổ chức bảo mật bị quá tải trong nỗ lực bảo vệ bản thân và khách hàng khỏi vô số mối đe dọa. Khi một giải pháp TI có thể hạ thấp tỷ lệ mối đe dọa trên độ nhiễu, tình trạng bảo mật tổng thể có thể được cải thiện.
Ưu tiên
Giảm tỷ lệ mối đe dọa trên tiếng ồn có nghĩa là ưu tiên có thể trở thành một ưu tiên. Tận dụng công nghệ ngày càng phù hợp như AI và máy học (ML), SOC có thể hiển thị các cảnh báo hợp lệ và sẵn sàng cho hành động ngay lập tức.
Hiệu quả phản hồi
Với việc sắp xếp thứ tự ưu tiên, bạn sẽ có nhiều thời gian hơn để tập trung vào các sáng kiến kinh doanh bảo mật khác – nếu được tận dụng đúng cách. Có thể bỏ qua độ nhiễu, phản hồi các cảnh báo hợp lệ và nhanh chóng loại bỏ các mối đe dọa đồng nghĩa với việc tiết kiệm thời gian đáng kể. Đến thời điểm này, các bên liên quan phải giữ liên lạc với thành viên để xác định các lĩnh vực an ninh khác cần chú ý.
Vòng đời của Threat Intelligence
Không dễ để biến TI thành thông tin hữu ích. Cần có một khung để lấy dữ liệu thô và biến nó thành trí thông minh thực sự. Nhưng, loại khuôn khổ nào có thể theo kịp trong bối cảnh mối đe dọa đang phát triển? Hãy xác định vòng đời TI có thể thích ứng ngay bây giờ và trong tương lai.
Định hướng
Sử dụng PIR có thể giúp hướng dẫn cách tiếp cận để thiết lập hướng. Quá trình này thường bắt đầu bằng việc phác thảo một PIR cụ thể và sau đó xác định kết quả mong muốn.
Ưu tiên thu thập dữ liệu
Trí thông minh nào sẽ phục vụ tốt nhất cho hướng mà nhóm của bạn đã làm việc để xác định? Tùy thuộc vào trường hợp sử dụng, thông tin tình báo có thể đến từ nhiều nguồn trên mạng của bạn và hơn thế nữa: endpoint, nhà cung cấp bên thứ ba, dark web, nền tảng và quy trình bảo mật ứng dụng, v.v. Thu thập dữ liệu từ tất cả các nguồn có liên quan để có được thông tin chi tiết phù hợp nhất.
Đặt phương pháp phân tích
Tận dụng càng nhiều phân tích tự động càng tốt là chìa khóa để tăng tốc độ bảo mật ở cấp độ này. Có một cách tiếp cận thủ công để phân tích mà SOC có thể thực hiện – và không thể nói quá rằng đánh giá của con người có thể mang lại nhiều thông tin chi tiết hơn – tuy nhiên, điều này đi kèm với chi phí thời gian. Nếu các mối đe dọa được phân loại tự động, thì nhiều khả năng chúng có thể được tự động khắc phục.
Phân tích phổ biến
Mục tiêu cuối cùng của vòng đời này là tạo ra thông tin tình báo hữu ích – sau khi được phân tích kỹ lưỡng theo khuôn khổ của bạn – có thể được phổ biến đến các thiết bị bảo mật để tự động ngăn chặn một cuộc tấn công hoặc mối đe dọa sắp xảy ra.
Do đó, điều quan trọng là phải xây dựng một giải pháp thu thập thông tin tình báo từ các nguồn phù hợp, tự động tạo cảnh báo với thông tin theo bối cảnh và kết thúc quy trình bằng cách tự động khắc phục mối đe dọa.
Các loại Threat Intelligence gồm những gì?
Thông tin về mối đe dọa an ninh mạng tác động trực tiếp đến doanh nghiệp. Liệu mối đe dọa tiềm tàng có bị hạ gục nhanh chóng hay TI sẽ bị lãng phí do thiếu vòng đời được xác định đúng?
Forrester định nghĩa thông tin kinh doanh (business intelligence) là các phương pháp và quy trình “chuyển đổi dữ liệu thô thành thông tin có ý nghĩa và hữu ích được sử dụng để cung cấp cái nhìn chiến lược, chiến thuật và hoạt động hiệu quả hơn và đưa ra quyết định đóng góp vào việc cải thiện hiệu suất tổng thể của doanh nghiệp.” Trùng hợp rằng ba lĩnh vực của thông tin trong TI cũng như vậy; hãy đi sâu vào mỗi lĩnh vực này.
TI chiến lược
TI chiến lược tập trung vào những mối đe dọa dài hạn và tác động của chúng. Thông tin chiến lược trong TI cũng hỗ trợ trong việc đánh giá những kẻ tấn công – tập trung vào chiến thuật và động cơ của họ thay vì vị trí địa lý – để xác định tác động tiềm năng của những mối đe dọa đối với tổ chức. Thông tin này thường được thông báo cho những quyết định cao cấp, vì vậy việc báo cáo cần được diễn đạt càng rõ ràng càng tốt.
TI hoạt động
TI hoạt động tập trung vào những mối đe dọa ngắn hạn có thể yêu cầu giải pháp khắc phục ngay lập tức, và từ đó ưu tiên lại nhanh chóng các sáng kiến khác. Thông tin hoạt động trong TI cũng giúp đánh giá người thực sự bị nhắm đến và cách thức nhắm mục tiêu. Điều này giúp các bên liên quan xác định bất kỳ biện pháp ứng phó ngay lập tức nào.
TI chiến thuật
Thông tin chiến lược tập trung chủ yếu vào hành vi cụ thể của kẻ tấn công. Họ có sử dụng các phương pháp cụ thể hoặc công cụ để tiếp cận hoặc thực hiện di chuyển ngang? Các công cụ thông tin đe dọa chiến thuật được sử dụng bởi nhân viên tham gia giám sát và báo cáo hoạt động, và yêu cầu phát hiện các dấu hiệu mờ ám không rõ ràng.
Bạn nên nhớ rằng điều tốt nhất cho bảo mật cũng là tốt nhất cho doanh nghiệp.
Các trường hợp sử dụng Threat Intelligence
Các trường hợp sử dụng (usecases) TI khá đa dạng và phong phú. Các công cụ thông tin đe dọa hữu ích trong việc tiên phong đối phó với bất kỳ loại đe dọa nào đối với an ninh và tính toàn vẹn của hoạt động kinh doanh và sức mạnh mạng của doanh nghiệp.
Rò rỉ thông tin đăng nhập
TI có thể giúp xác định tên người dùng và mật khẩu có thể đã bị tiết lộ – hoặc có thể bị lợi dụng bởi những người không được ủy quyền.
Lập bản đồ mối đe dọa
TI có thể giúp xây dựng một khung tài sản động để theo dõi một dấu vết mạng nâng cao. Nó có thể xác định các vector tấn công tiềm năng và hiểu nơi có thể xảy ra lỗ hổng. Tự động kết hợp thông tin về hành vi kẻ đe dọa với dấu vết mạng độc đáo của một tổ chức là trọng tâm của việc lập bản đồ mối đe dọa.
Bảo vệ thương hiệu và chống gian lận
TI có thể giúp giảm thiểu tổn thất uy tín (Tìm hiểu về Bảo vệ Rủi ro Kỹ thuật số), giám sát các trường hợp mạo danh tên miền và mạo danh địa chỉ IP bởi các tội phạm mạng có thể đang sử dụng thương hiệu của bạn. TI cũng có thể giám sát việc bán dữ liệu có giá trị trên web ngầm, giúp phòng ngừa các cuộc lừa đảo qua email và bảo vệ cả hệ thống IT và sự uy tín của tổ chức.
Giám sát diện tích tấn công
TI có thể giúp xác định các tài sản phía ngoài liên quan đến các phạm vi IP hoặc tên miền đã biết (Tìm hiểu về Dự án Sonar). Các quét nên đảm bảo khám phá đầy đủ, tương tác với các dịch vụ điểm cuối được tiết lộ, thu thập thêm siêu dữ liệu như chứng chỉ SSL, liên kết HTML trong phản hồi HTTP, tiêu đề dịch vụ và nhiều hơn nữa.
Giải pháp Threat Command của Rapid7
 |
Loại bỏ các mối đe dọa bên ngoài đối với doanh nghiệp
Đọc thêm TẠI ĐÂY |
Đánh giá về nền tảng Insight của Rapid7
 |
IntSights là một sự khởi đầu tuyệt vời. Sau khi sử dụng IntSights cho nhiều khía cạnh của Threat Intelligence, tôi thấy sản phẩm này thực sự thú vị và dễ sử dụng. Nhân viên Phân tích Cấp cao |
Nền tảng vững chắc Nhìn chung sản phẩm này rất mạnh. Nó rất dễ sử dụng và dễ dàng cho phép cảnh báo tùy chỉnh. Ngoài ra, hỗ trợ là có kiến thức rộng và đáp ứng tốt.Chuyên gia Sr Infosec |
Dễ dàng tiếp cận không gian Threat Intelligence (TI). Thiết lập cụ thể về thông tin đe dọa với đội ngũ TI hỗ trợ 24/7. Tư vấn viên IT
|
“Rapid7 Threat Command đã giúp chúng tôi tiêu diệt nhiều trang web lừa đảo và ứng dụng di động giả mạo. Những hành động này đã giảm đáng kể rủi ro.”
– Jeevan Badigari, Giám đốc An ninh thông tin, DAMAC Properties
Rapid7 Threat Command loại bỏ các mối đe dọa bên ngoài trước khi chúng tấn công doanh nghiệp của bạn!
