Request for Information (RFI) - Cyber ​​Threat Intelligence

Il processo RFI include qualsiasi requisito ad hoc sensibile al tempo per informazioni o prodotti di intelligence a supporto di un evento o incidente in corso non necessariamente correlato a requisiti permanenti o produzione di intelligence programmata.

Quando il Cyber ​​Threat Intelligence Center (CTIC) invia una RFI a gruppi interni, esiste una serie di requisiti standard per il contesto e la qualità dei dati richiesti.

Ulteriori informazioni sulla knowledgebase online completa di Cyber ​​Threat Intelligence - CyberIntellipedia

• I dati dovrebbero essere curati.
• La cura dei dati è l'organizzazione e l'integrazione dei dati raccolti da varie fonti. Implica l'annotazione, la pubblicazione e la presentazione dei dati in modo tale che il valore dei dati venga mantenuto nel tempo e i dati rimangano disponibili per il riutilizzo e la conservazione
• I dati dovrebbero essere stati esaminati e convalidati.
• I dati devono essere citati fornendo fonti ai dati (formato APA per Microsoft Word).
• I dati dovrebbero essere valutati per la credibilità delle fonti e la convalida dei dati (vedi Appendice A)
• I dati seguono ogni volta il formato seguente per accelerare il tempo di ciclo. Questo formato dovrebbe essere congruente con la piattaforma di risposta agli incidenti in uso.
• Gli standard devono essere utilizzati come quelli associati al NIST o altri standard accettati concordati per l'uso all'interno dell'organizzazione.
• I dati devono essere formattati per adattarsi ai processi e alle procedure interne. Potresti considerare come applicare i modelli Diamond, Kill chain e ATT & CK utilizzando campi dati standard.
• I dati dovrebbero essere facili da estrarre, ripetibili e, se applicabile, quantificabili (numero cardinale).
• I dati dovrebbero avere un record storico in modo da poter analizzare modelli, tendenze e tendenze mese per mese.
• Le date e gli orari in cui sono stati creati i dati (non creati dall'organizzazione rispetto all'evento o all'importazione dell'incidente, ma le date e gli orari dell'azione dell'evento o delle attività dell'incidente.
• I dati dovrebbero essere classificati con livelli di classificazione interna standard e designatori TLP.

Quando e dove applicabile, i dati devono rispondere alle seguenti domande:

• Qual è esattamente o era il problema o il problema?
• Perché sta accadendo ora, chi lo sta facendo, qual è il loro intento / motivazione?
  • Allora, perché ci preoccupiamo e cosa significa per noi e per i nostri clienti?
• Impatto finora, se del caso, sui nostri dati e sistemi o sui dati e sistemi dei nostri clienti?
• Cosa ci aspettiamo che accada dopo? Qual è la prospettiva prevista per eventuali azioni continue?
• Azione di vigilanza (azioni da intraprendere o che sono state intraprese sulla base di dati / informazioni / analisi)
• Quali raccomandazioni sono state fatte e quali raccomandazioni sono state eseguite?
  • Qual era / sono stati i corsi di azione?
  • Qual è stato il risultato delle raccomandazioni implementate?
• Ci sono state implicazioni impreviste per le raccomandazioni?
• Quali opportunità ci sono per la tua organizzazione in futuro?
  • Abbiamo trovato punti deboli?
  • Abbiamo individuato dei punti di forza?
• Quali lacune sono state trovate nel nostro ambiente (persone, processi, tecnologia)?

Se i dati che invii non vengono curati, revisionati e convalidati con citazioni appropriate nel formato richiesto, potrebbe non essere inviato al rapporto.

Credibilità della fonte

Dobbiamo trattare ogni report del fornitore e feed di dati come nient'altro che un'altra fonte di dati. Dati che devono essere valutati per credibilità, affidabilità e pertinenza. A tal fine, possiamo utilizzare il NATO Admiralty Code per aiutare le organizzazioni a valutare le fonti di dati e la credibilità delle informazioni fornite da quella fonte. Valuta il report di ciascun fornitore utilizzando questo metodo di codifica documentando la facilità di estrazione dei dati, la pertinenza per i problemi dell'organizzazione, il tipo di intelligence (strategica, operativa, tattica e tecnica) e il valore nella risoluzione dei problemi di sicurezza. La maggior parte delle pubblicazioni fornisce il modello di punteggio di primo livello. Forniamo il modello completo per il calcolo automatico integrato nel PDF. 

Trova il modulo qui