Qu'est-ce que le renseignement sur les menaces ?
Le renseignement sur les menaces est une connaissance fondée sur des preuves concernant une menace ou un danger existant ou émergent pour les actifs qui peut être utilisée pour éclairer les décisions concernant la réponse du sujet à cette menace ou à ce danger.
Présentation du renseignement sur les menaces
Le renseignement sur les cybermenaces est un sous-ensemble du renseignement axé sur la sécurité de l'information. Ces informations sélectionnées sont destinées à vous aider à prendre de meilleures décisions quant à la manière de vous défendre et de défendre votre entreprise contre les cybermenaces. Les renseignements sur les menaces peuvent répondre aux questions suivantes :
« Les renseignements sur les menaces sont des connaissances fondées sur des preuves, y compris le contexte, les mécanismes, les indicateurs, les implications et les conseils pratiques, concernant une menace ou un danger existant ou émergent pour les actifs, qui peuvent être utilisées pour éclairer les décisions concernant la réponse du sujet à cette menace ou à ce danger. »
Niveaux de renseignement sur les menaces
Les renseignements sur les cybermenaces sont généralement considérés à trois niveaux :
L'utilisation de chaque instance de renseignement est importante car elle remplit des fonctions différentes. Les analystes qui tirent parti de la somme des connaissances de ces trois types de renseignements sont mieux à même de déterminer quelles solutions de sécurité utiliser, comment les exploiter et comment répondre aux menaces de manière proactive et réactive.type of intelligence is important because they serve different functions. Analysts leveraging the sum knowledge of these three types of intelligence are better able to determine what security solutions to use, how they should be leveraged, and how to proactively and reactively respond to threats.
Pourquoi ?
Renseignements tactiques sur les menaces
Le renseignement tactique sur les menaces est la forme la plus élémentaire de renseignement sur les menaces. Il s'agit de vos indicateurs courants de compromission (IOC). Le renseignement tactique est souvent utilisé pour la détection automatique des menaces et pour les intervenants en cas d'incident afin de rechercher des artefacts spécifiques dans les réseaux d'entreprise.
Utilisation de renseignements tactiques sur les menaces
Les renseignements tactiques sur les menaces et les IOC sont destinés à documenter les cyberattaques de manière historique, en servant à la fois de corpus de preuves (à des fins de conformité, d'application de la loi, d'enquêtes, à des fins juridiques, etc.) et de matériel de référence permettant aux analystes d'interpréter et d'extraire le contexte à utiliser dans le cadre d'opérations défensives.
Les IoC sont fournis aux analystes pour servir d'exemples d'une menace particulière, comme un échantillon de malware, une famille de logiciels malveillants, une campagne d'intrusion ou un acteur de la menace. Les analystes peuvent enrichir les alertes des solutions de sécurité avec des informations tactiques sur les menaces afin de fournir plus de contexte et de déterminer quelles menaces méritent d'être préoccupées et lesquelles peuvent être ignorées en toute sécurité.
Renseignements tactiques sur les menaces pour APT29
Renseignements tactiques sur les menaces pour le secteur de l'éducation
Renseignements sur les menaces opérationnelles
Le renseignement opérationnel sur les menaces fournit un aperçu des méthodologies des acteurs et expose les risques potentiels. Il alimente des programmes de détection, de réponse aux incidents et de chasse plus pertinents. Alors que le renseignement tactique fournit aux analystes le contexte de menaces déjà connues, le renseignement opérationnel rapproche les enquêtes de la découverte de menaces totalement nouvelles.
Ce type de renseignement est le plus souvent utilisé par les enquêteurs judiciaires et les intervenants en cas d'incident et comprend généralement les types d'éléments suivants :
Du point de vue de la réponse aux incidents, considérez les points suivants : si vous répondez à un événement d'intrusion, vous vous demandez peut-être comment un acteur en particulier procède à une escalade de privilèges, à un mouvement latéral ou à un vol de données. Si vous recherchez une activité malveillante non découverte, vous pouvez commencer votre recherche en recherchant le comportement d'un acteur spécifique. Quel que soit votre scénario, vous devez répondre à la question « Comment recherchez-vous cet acteur dans votre environnement ? »
Utilisation de renseignements opérationnels sur les menaces
Les renseignements opérationnels sur les menaces sont des connaissances acquises en examinant les détails des attaques connues. Un analyste peut se faire une idée précise de la méthodologie des acteurs en rassemblant des indicateurs tactiques et des artefacts pour les intégrer au renseignement opérationnel. Cela peut aider à atteindre un certain nombre d'objectifs défensifs, tels que l'amélioration des plans de réponse aux incidents et des techniques d'atténuation pour les attaques et les incidents futurs.
Les analystes peuvent également mettre en œuvre et renforcer un programme de découverte proactif (« programme de chasse ») pour identifier les fichiers suspects et les activités qui ont contourné les technologies de sécurité traditionnelles. À partir de là, ils peuvent développer des méthodologies de détection qui ne dépendent pas des IOC, garantissant une couverture plus large des menaces en temps opportun.
Exemples de renseignements sur les menaces opérationnelles
- Tâches planifiées pour la plupart des portes dérobées
- WMI par installation manuelle pour les portes dérobées qui n'ont pas de persistance intégrée
- Remplacement légitime du fichier de rapport d'erreurs Windows (wermgr.exe)
Renseignements stratégiques sur les menaces
Les renseignements stratégiques sur les menaces fournissent une vue d'ensemble de l'évolution des menaces et des attaques au fil du temps. Le renseignement stratégique sur les menaces peut permettre d'identifier les tendances historiques, les motivations ou les attributions quant à l'identité des personnes à l'origine d'une attaque. Connaître l'identité et le pourquoi de vos adversaires fournit également des indices sur leurs opérations et tactiques futures. Cela fait du renseignement stratégique un point de départ solide pour décider quelles mesures défensives seront les plus efficaces.
Les renseignements stratégiques sur les menaces peuvent inclure des informations sur les sujets suivants :
Utilisation de renseignements stratégiques sur les menaces
Le renseignement stratégique sur les menaces repose sur un vaste ensemble de connaissances et comprend des avis d'experts et des idées qui sont basés sur l'agrégation de renseignements opérationnels et tactiques sur les menaces provenant de cyberattaques connues. Ces informations sont particulièrement utiles pour les personnes occupant des postes de direction, tels que les RSSI et les dirigeants, qui doivent justifier leurs budgets et prendre des décisions d'investissement plus éclairées. Le renseignement stratégique sur les menaces peut notamment être utilisé pour :
Exemples de renseignements stratégiques sur les menaces
- APT10 alias « MenuPass Group »
- APT22 alias « Barista Team »
- APT29 alias « The Dukes »
Renseignements sur les menaces et objectifs commerciaux
Le renseignement sur les menaces a toujours un objectif — pour éclairer la prise de décisions et inciter à l'action. Cependant, il n'est pas rare que les entreprises aient du mal à déterminer la valeur de leur équipe, de leurs processus et de leurs outils de renseignement sur les menaces. La terminologie du renseignement sur les menaces n'est généralement pas compatible avec le lexique commercial, ce qui entraîne des malentendus quant à son objectif et à sa valeur.
Les entreprises peuvent aider à tirer parti de leurs programmes de renseignement en les alignant sur un ensemble de priorités générales au niveau macroéconomique, comme indiqué ci-dessous (pas exhaustif) :
Une fois que l'équipe chargée du renseignement sur les menaces comprend les objectifs commerciaux, elle peut aligner ses opérations et ses efforts pour soutenir l'entreprise. Les priorités commerciales ne seront pas toutes parfaitement alignées sur les capacités de renseignement sur les menaces, et ce n'est pas grave. Vous pouvez développer la granularité et les nuances au fur et à mesure que vous définissez vos exigences. Voici quelques objectifs de départ pour toute équipe de renseignement sur les menaces :
- Collaborez avec l'équipe chargée des fraudes pour déterminer les 3 à 5 principaux types de fraude et demandez-leur quelles informations pourraient les aider à détecter et à prévenir de telles fraudes à l'avenir.
- Que révèle l'analyse des tickets d'incident sur la nature et le type de données ciblées lors de précédentes violations de données ?
- Quelles vulnérabilités ont été exploitées et par quels moyens ?
- Quels systèmes stockent les informations personnelles et comment les vulnérabilités de ces systèmes correspondent-elles à des vecteurs d'exploitation connus ?
- Les TI peuvent se concentrer sur la réduction des risques liés à la perte de données et aux menaces externes en identifiant les acteurs et en recueillant des informations sur les menaces externes ciblant leur secteur d'activité, en s'assurant que des techniques et des mécanismes de détection sont en place et capables de détecter ces menaces.
Threat intelligence evolution
Threat intelligence will continue to evolve and be a key security function. Integrating tactical, operational, and strategic threat intelligence will provide valuable insights into IOCs and threat actor's methodologies. This will lead to more secure environments where you can identify your adversaries. A growing number of public and private sector organizations are now using cyber threat intelligence. Recent research published by the Ponemon Institute revealed that 80% of organizations are using it and that an even higher percentage regard it as critical.
Organizations using cyber threat intelligence are meeting numerous security challenges. They are detecting and responding to advanced threats. They are preventing data breaches and protecting sensitive information. They are lowering cybercrime and fraud costs. Most importantly, they are reducing overall business risk.
Learn More About Threat Intelligence
Stay ahead of adversaries with more threat intelligence guides and tips from Anomali.
