threat intelligence

Threat intelligence (CTI, cyber threat intelligence) to wiedza o napastnikach, ich metodach i infrastrukturze, przygotowana tak, aby można było na jej podstawie podejmować decyzje obronne. NIST definiuje ją jako informacje o zagrożeniach, które zostały zebrane, przekształcone, przeanalizowane, zinterpretowane lub wzbogacone, aby dostarczyć kontekstu potrzebnego do podejmowania decyzji ^[1]. Różnica między surowymi danymi a threat intelligence polega więc na analizie i kontekście: sam adres IP to dana, adres IP przypisany do znanej kampanii i opatrzony zaleceniem to już wywiad.

Jak działa

NIST w publikacji SP 800-150 z października 2016 roku opisuje informację o cyberzagrożeniach jako każdą informację, która pomaga organizacji rozpoznać, ocenić, monitorować zagrożenia i na nie reagować ^[2]. Zalicza do niej wskaźniki kompromitacji, taktyki i techniki przeciwników, strategie wykrywania i wyniki analizy incydentów ^[2]. Ta sama publikacja zajmuje się zasadami wymiany: wyznaczaniem celów, doborem wiarygodnych źródeł, kontrolą dystrybucji i współpracą w społecznościach wymiany ^[2].

Według podręcznika CISA threat intelligence obejmuje zarówno obraz ogólny, jak i szczegóły techniczne: raporty o krajobrazie zagrożeń, profile i zamiary sprawców, cele i kampanie, a także konkretne wskaźniki i zalecane działania ^[3]. CISA zaleca aktywne monitorowanie kanałów z ostrzeżeniami od instytucji rządowych, zaufanych partnerów, źródeł otwartych i firm komercyjnych oraz wprowadzanie wskaźników do systemu SIEM (Security Information and Event Management) i innych narzędzi, które mają rozpoznawać i blokować znane złośliwe działania ^[3].

Automatyczne wykorzystanie takiego kanału pokazuje schemat poniżej, oparty na scenariuszu z dokumentacji systemu Wazuh ^[8].

RYS. 1Lista reputacji IP w obronie serwera WWW

W tym scenariuszu Wazuh pobiera bazę reputacji adresów IP AlienVault, zamienia ją na listę CDB i przy dopasowaniu uruchamia polecenie firewall-drop, które odrzuca połączenia z adresu atakującego przez lokalną zaporę sieciową ^[8].

Rodzaje

Treść threat intelligence różni się poziomem szczegółu i odbiorcą. Podział poniżej opiera się na kategoriach, które wymienia CISA ^[3].

Osią wspólnego języka są taktyki, techniki i procedury (TTP). MITRE ATT&CK to ogólnodostępna baza wiedzy o taktykach i technikach przeciwników, oparta na obserwacjach z rzeczywistych ataków ^[4]. CISA zauważa, że opisy TTP mówią więcej o zamiarach i metodach przeciwnika niż pojedyncze wskaźniki atomowe ^[3]. Do przekazywania danych między systemami służą formaty STIX/TAXII.

W WordPressie

Właściciel strony na WordPressie korzysta z threat intelligence zwykle pośrednio, przez wtyczkę bezpieczeństwa albo zaporę na serwerze. Opis wtyczki Wordfence w katalogu WordPress.org mówi, że jej Threat Defense Feed dostarcza najnowsze reguły zapory, sygnatury złośliwego oprogramowania i złośliwe adresy IP ^[7]. W wersji bezpłatnej aktualizacje reguł zapory i sygnatur przychodzą z 30-dniowym opóźnieniem, a blokowanie adresów z listy w czasie rzeczywistym jest funkcją płatną ^[7]. Wtyczka sprawdza też witrynę pod kątem znanych podatności i ostrzega, gdy wtyczka została zamknięta lub porzucona ^[7].

Na poziomie serwera ten sam mechanizm realizuje system taki jak Wazuh: lista reputacji porównywana z logami serwera WWW prowadzi do automatycznej blokady adresu ^[8]. W dokumentacji Wazuh blokada trwa 60 sekund ^[8], co pokazuje, że wskaźniki atomowe traktuje się jako tymczasowe.

Drugim zastosowaniem jest priorytetyzacja aktualizacji. Informacja, że konkretna podatność we wtyczce jest wykorzystywana w atakach, jest przykładem threat intelligence, który zmienia kolejność prac w zarządzaniu podatnościami; zob. też KEV.

Znaczenie

Threat intelligence ma wartość tylko wtedy, gdy trafia do decyzji. CISA wymienia wykorzystanie CTI do wczesnego rozpoznawania złośliwej aktywności wśród elementów fazy przygotowania do reagowania na incydenty ^[3]. Ta sama publikacja nazywa wymianę informacji o zagrożeniach, w tym wskaźników, TTP i środków obronnych, krytycznym elementem przygotowania ^[3].

Wymiana wymaga zasad, kto może zobaczyć informację. Służy do tego Traffic Light Protocol, stworzony, aby ułatwić dzielenie się informacjami potencjalnie wrażliwymi ^[6]. Wersja 2.0 z sierpnia 2022 roku ma etykiety TLP:RED, TLP:AMBER+STRICT, TLP:AMBER, TLP:GREEN i TLP:CLEAR, od przekazu tylko dla konkretnych odbiorców po informację bez ograniczeń ^[6].

Dobre praktyki

• Oceniać wiarygodność źródeł i dopasować ich zakres do własnej infrastruktury; NIST wymienia to wśród pierwszych kroków udziału w wymianie ^[2].
• Traktować listy adresów i domen jako krótkotrwałe, a przy wykrywaniu opierać się tam, gdzie to możliwe, na TTP ^[3].
• Respektować etykiety TLP przy przekazywaniu raportów dalej ^[6].
• Łączyć źródła zewnętrzne z OSINT i z danymi z własnych logów, bo kontekst organizacji decyduje o tym, co jest istotne.

Historia i przykłady

W Polsce publiczne produkty threat intelligence tworzy m.in. CERT Polska. W styczniu 2024 roku zespół opisał projekt FETTA (Federated European Team for Threat Analysis), finansowany przez UE i prowadzony przez CERT Polska wraz z luksemburskim CIRCL ^[5]. Jego celem jest utworzenie wirtualnego zespołu CTI złożonego z krajowych zespołów CSIRT, które dzielą się wiedzą, narzędziami i danymi ^[5]. Projekt ma ograniczyć zależność Europy od danych spoza UE i powielanie tych samych analiz przez różne zespoły krajowe ^[5]. Obie organizacje wnoszą do niego otwarte narzędzia, takie jak MISP, MWDB i n6 ^[5].