Inteligência sobre ameaças cibernéticas (CTI)

A agilidade, a flexibilidade e a eficácia da inteligência acionável contra ameaças são cada vez mais essenciais. Os ataques cibernéticos não são apenas mais numerosos do que nunca, mas também são executados muito mais rapidamente. Os agentes de ameaças - especialmente os operadores de ransomware patrocinados pelo Estado e com motivação financeira - estão cada vez mais sofisticados.

Mesmo criminosos cibernéticos não sofisticados e não técnicos podem causar sérios danos a uma organização. Em vez de utilizar suas próprias ferramentas e táticas, eles podem alugar a infraestrutura de ataque cibernético de agentes de ameaças mais sofisticados. Como alternativa, eles podem comprar sua entrada em um sistema comprometido por meio de um corretor de acesso inicial (IAB).

O ciclo de vida da inteligência contra ameaças é o processo pelo qual uma organização reúne e examina dados brutos sobre ameaças em potencial e, em seguida, usa esses dados para lidar com essas ameaças de forma proativa. Os principais processos e técnicas pelos quais isso é alcançado não são exclusivos do setor de segurança cibernética. Em vez disso, eles foram desenvolvidos e aperfeiçoados ao longo de várias décadas no setor público, especialmente nas forças armadas e policiais.

No contexto da segurança cibernética e do gerenciamento de ameaças cibernéticas, esse ciclo de inteligência consiste nas seguintes fases:

1. Requisitos e direção. É aqui que a organização estabelece a base inicial para seu programa de inteligência contra ameaças, definindo:

1. Os ativos e processos que precisam ser protegidos
2. O impacto de um ataque em cada ativo ou processo
3. Como cada ativo e processo deve ser priorizado em termos de medidas de segurança cibernética
4. Por que os agentes de ameaças podem visar esses itens, ou seja, suas motivações
5. O escopo completo da superfície de ataque da organização
6. O tipo de inteligência contra ameaças necessária para proteger essa superfície de ataque e como esses dados serão usados

2. Coleta. Nesse estágio, as informações são coletadas de uma ampla gama de fontes internas e externas. Isso pode incluir registros de antivírus, tráfego da Web, feeds do setor e monitoramento superficial e profundo da Web.

3. Processamento. Grande parte dos dados coletados no segundo estágio não é filtrada nem formatada; antes de ser utilizável, ela precisa ser processada e organizada. Dado o grande volume de dados coletados até mesmo por um programa modesto de inteligência contra ameaças, raramente é viável fazer isso manualmente.

4. Análise. A equipe humana examina os dados processados, aplicando seu conhecimento, intuição e experiência para contextualizar ainda mais as informações. Em seguida, determinam a melhor forma de aproveitar os insights obtidos dos dados sobre ameaças.

5. Disseminação. Depois de definir os principais insights e itens de ação a partir dos dados coletados sobre ameaças, a equipe de inteligência contra ameaças distribui essas informações para os principais participantes da organização, que as utilizam para orientar a tomada de decisões.

6. Feedback. Depois de receber os relatórios de ameaças finalizados da equipe de inteligência, as partes interessadas voltam a colaborar com os ajustes que acharem necessário. 

Os casos de uso da inteligência sobre ameaças cibernéticas são bastante amplos e incluem o seguinte:

• Busca ativa e atenuação de ameaças
• Enriquecimento e categorização de alertas de segurança
• Desenvolvimento de um roteiro de segurança de longo prazo
• Avaliar o nível de ameaça, a postura de segurança e a tolerância a riscos de uma organização
• Implantação e configuração de novos controles de segurança
• Análise forense cibernética pós-incidente
• Compreender os agentes de ameaças emergentes e as ameaças persistentes avançadas e tomar medidas preventivas contra elas