Threat intelligence
En operaciones de seguridad, la threat intelligence es información sobre adversarios refinada hasta convertirse en algo sobre lo que quien defiende pueda actuar de verdad. El refinado es toda la disciplina: los datos en bruto sobre ataques son abundantes y casi gratis, y la dificultad está en convertirlos en una decisión que de otro modo se habría tomado de otra manera.
Cómo funciona
Tres niveles sirven a tres públicos. La inteligencia estratégica describe quién es probable que apunte a este sector y por qué, y alimenta decisiones de inversión a años vista. La inteligencia operativa describe campañas y comportamiento de adversarios, y alimenta lo que hay que preparar en meses. La inteligencia táctica son los artefactos, sobre todo los indicadores, y alimenta la detección de hoy.
La duración de cada nivel va al revés que su comodidad. Los indicadores son fáciles de consumir y caducan rápido, porque la infraestructura rota. El comportamiento, descrito como tácticas, técnicas y procedimientos y mapeado a través de ATT&CK, es más difícil de llevar a la operación y dura, porque cambiar cómo funciona una operación le cuesta al adversario esfuerzo de verdad.
Qué sale mal
Las fuentes se compran y se consumen como volumen. Una suscripción cargada en un SIEM sin filtrar produce alertas sobre entradas caducadas, sobre alojamiento compartido y sobre servicios legítimos, y ese ruido es lo que hace que un analista cierre la que sí importaba. El valor de una fuente no es su tamaño.
El segundo fallo es inteligencia sin ninguna necesidad detrás. Un programa que no ha definido qué decisiones tiene que alimentar acaba produciendo informes que se leen y no cambian nada. La prueba es directa: nombra la decisión que esto cambió. Si una sesión informativa sobre un grupo adversario no alteró una detección, un control o una prioridad, era lectura.
Tercero, la relevancia se supone en vez de evaluarse. Un informe sobre un actor que apunta a un sector y a una geografía distintos de los del cliente es interesante y no accionable, y tratar toda la inteligencia publicada como igualmente aplicable es como los equipos acaban preparándose para el adversario con mejor prensa en vez de para el que es probable que llegue.
Dónde aparece esto en una auditoría
La inteligencia que producimos va sobre el cliente y no sobre el mundo: credenciales y sesiones de sus dominios que aparecen en logs criminales, accesos a su parque anunciados, su marca suplantada, sus datos en un sitio de filtraciones, sus proveedores comprometidos. Eso es estrecho, verificable e inmediatamente accionable, que es justo lo contrario de una fuente genérica. Del lado ofensivo usamos el comportamiento de los adversarios para elegir qué emula un ejercicio, de forma que las técnicas que ejecutamos sean las que usa un atacante plausible y no las que a nosotros nos gustan. Esto forma parte de cómo se recoge la inteligencia sobre tu propia exposición.