تعتبر المعلومات المتعلقة بالتهديدات مهمة نظرًا لأن المؤسسات لا تملك دائمًا ما يكفي من الوقت أو الميزانية أو الموظفين للتعامل مع كل تنبيه أو ثغرة أمنية أو حدث مريب على نفس القدر من الأهمية. تحتاج فرق الأمان إلى معرفة التهديدات ذات الصلة بقطاعها ومنطقتها ومكدسها التكنولوجي وملف تعريف التعرض لها.
وهذا مهم بشكل خاص حيث يصبح نشاط التهديد أكثر تنسيقًا ويصعب فصله عن المخاطر الجيوسياسية والإجرامية وسلسلة التوريد. يشير مشهد التهديدات في ENISA لعام 2025 إلى أن مجموعات التهديد تعيد استخدام الأدوات والتقنيات ، وتقدم نماذج هجوم جديدة ، وتستغل الثغرات الأمنية وتتعاون لاستهداف مرونة البنية التحتية الرقمية للاتحاد الأوروبي.
بالنسبة لقادة أمن المؤسسات ، تعتبر قيمة معلومات التهديد عملية. فهي تساعد في الإجابة عن أسئلة مثل: من الذي من المحتمل أن يستهدفنا؟ ما هي التقنيات التي يستخدمونها؟ ما هي نقاط الضعف التي يتم استغلالها؟ ما هي المؤشرات التي ينبغي مراقبتها؟ ما هي الحوادث التي تحتاج إلى تصعيد؟ وما هي الضوابط التي ينبغي علينا تحسينها أولاً؟
ما هو استخبارات التهديد؟
يتم تحليل المعلومات المتعلقة بالتهديدات حول التهديدات السيبرانية الموجودة أو المحتملة التي تساعد المؤسسة على فهم الهجمات أو اكتشافها أو منعها أو الرد عليها.
المعلومات المتعلقة بالتهديدات هي أكثر من مجرد بيانات تهديد خام. تصبح المؤشرات مثل عناوين IP ، والمجالات ، والتجزئة ، و CVEs معلومات استخباراتية عندما يتم التحقق من صحتها وإثرائها وتحديد أولوياتها وربطها بقرارات الأمان.
على سبيل المثال ، قد يُظهر المؤشر الأولي أن المجال قد تم ربطه بنشاط التصيد الاحتيالي. توضح معلومات التهديد ما إذا كان هذا المجال جزءًا من حملة حالية ، والصناعات المستهدفة ، وما هي البرامج الضارة أو أساليب سرقة بيانات الاعتماد المتضمنة ، وما إذا كانت البنية التحتية لا تزال نشطة ، وكيف يمكن أن يتطور النشاط ، وما هي الأنظمة أو عناصر التحكم التي قد تتأثر ، وحيث قد يحتاج المدافعون إلى تركيز الاكتشاف أو المراقبة أو التخفيف.
تعتبر المعلومات الاستخبارية الجيدة عن التهديدات وثيقة الصلة بالموضوع وفي الوقت المناسب ودقيقة وقابلة للتنفيذ. يجب أن تساعد فرق الأمان على اتخاذ القرارات أو اتخاذ الإجراءات ، وليس مجرد إضافة المزيد من المعلومات إلى بيئة صاخبة بالفعل.
لماذا تعتبر معلومات التهديد مهمة بالنسبة للمؤسسات؟
معلومات التهديد مهمة لأن فرق أمان المؤسسة تحتاج إلى سياق. وبدون ذلك ، قد تكتشف فرقهم نشاطًا دون فهم أهميته ، أو تصحيح الثغرات الأمنية دون معرفة أيها من المرجح أن يتم استغلاله ، أو التحقيق في التنبيهات دون معرفة ما إذا كانت تتطابق مع حملة معروفة أم لا.
تعمل المؤسسات الحديثة عبر الخدمات السحابية ومنصات الهوية ونقاط النهاية والبريد الإلكتروني والتكنولوجيا التشغيلية وموفري الجهات الخارجية والشبكات الموزعة. يؤدي هذا التنوع إلى إنشاء سطح هجوم واسع ويساعد ذكاء التهديدات فرق الأمان على فهم أي أجزاء من سطح الهجوم تكون أكثر جاذبية للمهاجمين وأيها أكثر صلة بالتهديدات الآن.
كما تدعم المعلومات المتعلقة بالتهديدات الحوكمة والمرونة من خلال تزويد قادة الأمن بالأدلة التي يمكنهم استخدامها في مناقشات المخاطر والتحضير للحوادث وقرارات الاستثمار الأمني. بالنسبة للمؤسسات التي تعمل عبر مناطق أو قطاعات أو أنظمة بيئية متعددة للموردين ، يساعد هذا السياق فرق الأمان على فهم كيفية تأثير نشاط التهديد الخارجي على الأولويات التشغيلية.
ما هي المشكلة التي تحلها ذكاء التهديد؟
تساعد المعلومات المتعلقة بالتهديدات المؤسسات على تحديد أولويات موارد الأمان المحدودة بشكل أكثر فعالية.
بدون معلومات استخبارية ، قد تحدد فرق الأمان الأولويات بناءً على درجات الخطورة أو حجم التنبيه أو ضغط الامتثال فقط. وقد يؤدي ذلك إلى بذل جهد في القضايا التي تبدو خطيرة ولكن من غير المحتمل أن يتم استغلالها ، في حين يتم التغاضي عن المزيد من المخاطر ذات الصلة أو استمرار معالجتها بأقل من اللازم.
تضيف معلومات التهديد سياق المهاجم ، مما يساعد الفرق على فهم الأصول ونقاط الضعف والأساليب الأكثر صلة بهجمات العالم الحقيقي.
لماذا هذا مهم؟ لأن الخطورة الفنية ليست هي نفسها المخاطر في العالم الحقيقي. قد تكون الثغرة الحرجة في نظام داخلي منعزل أقل إلحاحًا من الثغرة الأمنية منخفضة الدرجات على الأصل المواجه للإنترنت الذي يتم استغلاله بشكل فعال من قبل مجموعات برامج الفدية.
لا تلغي المعلومات المتعلقة بالتهديدات الحاجة إلى إدارة الأصول أو فحص الثغرات الأمنية أو هندسة الاكتشاف أو الاستجابة للحوادث. ما يفعله هو جعل هذه الوظائف أكثر تركيزًا.
ما هي الأنواع الرئيسية لذكاء التهديد؟
الأنواع الرئيسية لذكاء التهديد هي الاستخبارات الإستراتيجية والتشغيلية والتكتيكية والتقنية. هذه الفئات مهمة لأن الفرق المختلفة تتطلب مستويات مختلفة من التفاصيل الفنية والتشغيلية. ومع ذلك ، غالبًا ما تتداخل هذه الفئات. قد يتضمن التقرير الاستراتيجي مؤشرات فنية أو قواعد YARA أو قواعد Sigma أو محتوى اكتشاف آخر ، بينما تصبح المعلومات الاستخبارية الفنية أكثر قيمة عندما تكون مرتبطة بالسياق الاستراتيجي أو التشغيلي أو التكتيكي.
|
الأنواع الرئيسية لذكاء التهديدات |
|||
|
استخبارات التهديدات الإستراتيجية |
ذكاء التهديدات التشغيلية |
ذكاء التهديدات التكتيكية |
استخبارات التهديدات الفنية |
|
تدعم كبار القادة ومسؤولي أمن المعلومات وفرق ومجالس إدارة المخاطر. ويشرح اتجاهات التهديد والمخاطر الجيوسياسية والاستهداف على مستوى القطاع وتأثير الأعمال. وعادة ما تكون أقل تقنية وأكثر تركيزًا على قرارات مثل الاستثمار وقبول المخاطر وتخطيط المرونة. |
يدعم مديري الأمن وقادة SOC والمستجيبين للحوادث والباحثين عن التهديدات. وهو يشرح الحملات وأهداف المهاجمين والبنية التحتية وعائلات البرامج الضارة والقطاعات المستهدفة ومسارات الهجوم المحتملة. |
يدعم مهندسي الكشف ومحللي SOC والفرق الزرقاء. وهو يركز على تكتيكات وتقنيات وإجراءات المهاجم ، والتي يتم تعيينها غالبًا لأطر مثل MITER ATT & CK. |
يدعم أدوات الأمان والمحللين من خلال مؤشرات مثل عناوين IP الضارة والمجالات وعناوين URL وتجزئة الملفات وعناصر البريد الإلكتروني والشهادات والبنية التحتية للقيادة والتحكم. |
يحتاج برنامج ذكاء التهديدات الناضج عادةً إلى جميع الأنواع الأربعة ، ولكن لا يحتاجها كل فريق بنفس التنسيق.
ما هي استخبارات التهديد الاستراتيجي؟
تشرح معلومات التهديد الاستراتيجي المخاطر الإلكترونية عالية المستوى في الأعمال أو القطاع أو المصطلحات الإقليمية أو الجيوسياسية. فهو يساعد القادة على فهم سبب أهمية بعض التهديدات ، مما يمنح مدراء المعلومات وفرق المخاطر السياق الذي يحتاجون إليه لتقييم الآثار المحتملة على العمليات والمرونة والسلامة وأولويات الاستثمار والسمعة.
على سبيل المثال ، قد تشرح المعلومات الإستراتيجية كيف تستهدف مجموعات برامج الفدية أنظمة الرعاية الصحية ، وكيف تؤثر التوترات الجيوسياسية على البنية التحتية الحيوية ، أو كيف تعمل خدمات المجرمين الإلكترونيين على خفض حاجز الدخول للمهاجمين الأقل مهارة.
يعتبر هذا النوع من المعلومات مفيدًا لرؤساء أمن المعلومات ، ومجالس الإدارة ، ولجان المخاطر ، والفرق القانونية ، والمديرين التنفيذيين الذين يحتاجون إلى اتخاذ قرارات الاستثمار والحوكمة. يمكنه دعم استراتيجية الأمان أو تخطيط الميزانية أو الاستعداد للأزمات أو مناقشات التأمين الإلكتروني أو إعداد التقارير التنظيمية.
يجب أن تتجنب المعلومات الإستراتيجية العبء الفني الزائد - وظيفتها ليست سرد كل مؤشر أو متغير للبرامج الضارة ولكن لتوضيح ما يتم تغييره ، ولماذا هو مهم وما الذي يجب على المنظمة التفكير في القيام به.
بشكل أساسي ، تكمن القيمة التجارية لذكاء التهديد في أنه يربط نشاط التهديد الفني بمخاطر المؤسسة.
ما هو استخبارات التهديد العملياتي؟
تشرح معلومات التهديد التشغيلي حملات محددة وأهداف المهاجمين وأنماط الهجوم. وهي تقع بين التقارير الإستراتيجية عالية المستوى والمؤشرات الفنية العملية.
على سبيل المثال ، قد تصف المعلومات التشغيلية حملة فدية تستهدف الشركات المصنعة في أوروبا ، وطرق الوصول الأولية المستخدمة ، والبرمجيات الخبيثة المعنية ، والقطاعات المتأثرة ، والدافع المحتمل للمهاجم ، والإجراءات الدفاعية الموصى بها.
هذا النوع من المعلومات الاستخباراتية مفيد لقادة مركز عمليات SOC) ، وفرق الاستجابة للحوادث ، ومطاردي التهديدات ، ومهندسي الأمن. يساعدهم على الاستعداد للتهديدات التي من المرجح أن تؤثر على بيئتهم.
يمكن أن تساعد المعلومات الاستخبارية التشغيلية الفرق أيضًا على تحديد ما إذا كانت الحادثة معزولة أو جزءًا من حملة أوسع. إذا كان هناك مجال مشكوك فيه أو عينة من البرامج الضارة أو إغراء احتيالي يتطابق مع البنية التحتية لجهة فاعلة معروفة ، فيمكن أن يتحرك التحقيق بسرعة أكبر مع سياق أفضل.
تكون المعلومات التشغيلية أكثر قيمة عندما تكون حديثة. قد تظل معلومات الحملة القديمة مفيدة للتحليل التاريخي ، ولكن يحتاج المدافعون إلى معرفة ما إذا كانت البنية التحتية والأدوات والتقنيات لا تزال نشطة في الوقت الحالي.
ما هو استخبارات التهديد التكتيكي؟
تشرح معلومات التهديد التكتيكية كيف يتصرف المهاجمون. ويركز على التكتيكات والتقنيات والإجراءات (غالبًا ما يتم اختصارها إلى TTPs). التكتيك هو هدف المهاجم ، مثل الوصول الأولي أو تصعيد الامتياز أو الحركة الجانبية. التقنية هي الطريقة المستخدمة لتحقيق هذا الهدف. الإجراء هو الطريقة المحددة التي يستخدم بها ممثل أو حملة معينة التقنية.
يتم استخدام MITER ATT & CK على نطاق واسع هنا لأنه يوفر قاعدة معرفة يمكن الوصول إليها عالميًا لتكتيكات وتقنيات الخصم القائمة على الملاحظات في العالم الحقيقي. يصف MITER ATT & CK كأساس لنماذج التهديد والمنهجيات المستخدمة في القطاع الخاص والحكومة ومجتمع منتجات الأمن السيبراني.
يساعد الذكاء التكتيكي المدافعين على إنشاء اكتشافات أفضل. وبدلاً من منع المؤشرات المعروفة فقط ، يمكن للفرق البحث عن سلوكيات المهاجم التي قد تستمر حتى عند تغيير البنية التحتية.
على سبيل المثال ، قد يختفي مجال التصيد الاحتيالي بسرعة ، لكن سلوك المهاجم بعد الاختراق قد يكون دائمًا. يساعد الذكاء التكتيكي فرق الأمن على اكتشاف ذلك في وقت مبكر.
ما هو استخبارات التهديد الفني؟
تتكون المعلومات الفنية عن التهديدات من مؤشرات يمكن قراءتها آليًا أو قابلة للقراءة بواسطة المحلل والتي تساعد في تحديد النشاط الخبيث أو المشكوك فيه. تتضمن الأمثلة عناوين IP والمجالات وعناوين URL وتجزئة الملفات وبيانات مرسل البريد الإلكتروني وتوقيعات البرامج الضارة وشهادات SSL ومفاتيح التسجيل والبنية الأساسية للقيادة والتحكم وقواعد YARA و Sigma أو الاكتشاف.
يمكن استخدام الذكاء الفني عبر SIEM و EDR و XDR والأمان السحابي وجدران الحماية وعناصر التحكم في أمان البريد الإلكتروني وأنظمة الحماية ومنصات استخبارات التهديدات. غالبًا ما تُستخدم تلميحات المعلومات لتجميع المعلومات الاستخباراتية وإثرائها وإدارتها وتوزيعها على الأدوات والفرق التي تحتاجها.
ومع ذلك ، فإن الذكاء الفني له حدود. تقدم المؤشرات العمر بمعدلات مختلفة ، ويمكن أن تؤدي المؤشرات القديمة إلى نتائج إيجابية زائفة أو ضوضاء تشغيلية أو حتى منع الوصول إلى البنية التحتية التي لم تعد خبيثة. غالبًا ما تنتهي صلاحية عناوين IP بشكل أسرع لأنها تتغير بشكل متكرر ، وقد تظل عناوين URL مفيدة لفترة أطول ، ولكن يمكن نقل المحتوى الضار بسرعة ، وقد تظل تجزئة الملفات مرتبطة بالملفات الضارة إلى أجل غير مسمى ، ولكن تنخفض صلتها التشغيلية بمجرد توقف المهاجمين عن استخدام هذه الملفات
ذكاء؟
تساعد معلومات الثغرات المؤسسات على فهم عيوب البرامج الأكثر صلة ببيئتها والتي من المرجح أن يتم استغلالها.
غالبًا ما تبدأ إدارة الثغرات الأمنية التقليدية بتسجيل درجات الشدة. يوفر CVSS - نظام تسجيل نقاط الضعف الشائعة - الذي يتم صيانته بواسطة FIRST ، طريقة لالتقاط خصائص الثغرة الأمنية وإنتاج درجة رقمية يمكن أن تساعد المؤسسات على تقييم العلاج وتحديد أولوياته.
إن الخطورة مفيدة ، لكنها لا تظهر دائمًا احتمالية الاستغلال. هذا هو المكان الذي يمكن أن يساعد فيه ذكاء الاستغلال والأنظمة مثل EPSS (نظام توقع الاستغلال). EPSS عبارة عن نموذج للتعلم الآلي يعتمد على البيانات ويقدر احتمالية استغلال CVE المنشور - وهو معرف التعرض للثغرات الأمنية - في البرية في غضون الثلاثين يومًا القادمة.
بالنسبة لفرق المؤسسة ، تجمع معلومات الثغرات الأمنية بين الخطورة وقابلية الاستغلال والتعرض للأصول وضرورة العمل ونشاط التهديد النشط. يساعد هذا الفرق على تصحيح ما يهم أولاً.
إن السؤال العملي ليس مجرد "هل هذه الثغرة الأمنية حرجة؟" ولكن "هل هذه الثغرة الأمنية قابلة للاستغلال ومكشوفة وذات صلة ببيئتنا وجاذبة حاليًا للمهاجمين؟"
ما هو استخبارات التهديدات الخاصة بالصناعة؟
تركز معلومات التهديدات الخاصة بالصناعة على التهديدات الأكثر صلة بقطاع معين ، مثل التمويل والرعاية الصحية والطاقة والتصنيع والحكومة والاتصالات والبيع بالتجزئة.
غالبًا ما يتخصص المهاجمون. قد تستهدف مجموعة برامج الفدية مقدمي الرعاية الصحية لأن وقت التوقف عن العمل يشكل ضغوطًا ، وقد تستهدف الجهات الفاعلة التي ترعاها الدولة الطاقة أو الاتصالات أو الإدارة العامة للوصول الاستراتيجي ، بينما قد تستهدف مجموعة الاحتيال البنوك أو معالجات الدفع أو تجار التجزئة لأن مسار تحقيق الدخل أكثر وضوحًا.
تساعد المعلومات الاستخبارية الخاصة بالصناعة الفرق على فهم مسارات الهجوم المحتملة وأهداف المهاجم المحتملة ، ويمكنها أيضًا دعم التعاون على مستوى القطاع ومشاركة المعلومات والإعداد التنظيمي.
لا يزال للذكاء العام قيمة ، لكن سياق القطاع يجعله أكثر قابلية للتنفيذ بشكل ملحوظ.
من يمكنه الاستفادة من معلومات التهديد؟
تفيد المعلومات المتعلقة بالتهديدات العديد من الفرق عبر المؤسسة ، وليس فقط
|
مديري أمن المعلومات (SOC) وقادة الأمن |
فرق SOC |
المستجيبين للحوادث |
صيادي التهديدات |
فرق إدارة الثغرات |
الاحتيال وحماية العلامة التجارية وفرق المخاطر الرقمية |
فرق المخاطر والامتثال والقانون |
|
تستخدم فرق المخاطر والامتثال والقانون معلومات التهديد لفهم المخاطر الاستراتيجية والمديرين التنفيذيين الموجزين ، وتبرير الاستثمار ومواءمة الأولويات الأمنية مع تعرض الأعمال. |
استخدام المعلومات الاستخبارية لإثراء التنبيهات وفرز الحوادث وضبط الاكتشافات وتحديد ما إذا كان النشاط يتطابق مع الحملات المعروفة أم لا. |
استخدام الذكاء لتسوية النطاق وفهم سلوك المهاجم وتحديد البنية التحتية ذات الصلة واختيار إجراءات الاحتواء. |
استخدام الذكاء لتشكيل الفرضيات والبحث عن علامات نشاط الخصم التي قد تفوتها الأدوات الآلية. |
استخدام الذكاء لتحديد أولويات العلاج بناءً على الاستغلال النشط واهتمام المهاجم في العالم الحقيقي. |
استخدام الذكاء لمراقبة التصيد الاحتيالي وانتحال الهوية وبيانات الاعتماد المسربة والمجالات المزيفة والتعرض الخارجي. |
استخدام المعلومات الاستخبارية لدعم الحوكمة وإعداد التقارير واتخاذ القرارات المتعلقة بالحوادث. |
تصبح المعلومات المتعلقة بالتهديدات أكثر قيمة عند مشاركتها عبر هذه الوظائف بدلاً من الاحتفاظ بها داخل أداة أو فريق واحد.
كيف تساعد معلومات التهديد CISO وقادة الأمن؟
بالنسبة إلى CISO ، تساعد معلومات التهديدات على ترجمة نشاط التهديد الفني إلى مخاطر تجارية. وهو يدعم قرارات أوضح بشأن الميزانية وقابلية المخاطرة والمرونة والأولويات الأمنية.
لا يحتاج CISO إلى كل مؤشر للتسوية من كل حملة. إنهم بحاجة إلى معرفة التهديدات الأكثر صلة بالمؤسسة ، ووحدات العمل أو المناطق المعرضة للخطر ، والضوابط الضعيفة ، والتأثير الذي يمكن أن يحدثه هجوم ناجح.
يساعد الذكاء الاستراتيجي أيضًا القادة على إحاطة المجالس والتنفيذيين بطريقة يمكن الدفاع عنها. وبدلاً من قول "مشهد التهديد آخذ في التغير" ، يستطيع مسؤول أمن المعلومات (CISO) شرح الجهات الفاعلة أو القطاعات أو الأساليب أو نقاط الضعف المهمة الآن ، ولماذا.
هذا مهم لأنه يتم الحكم على الأمن السيبراني للمؤسسات غالبًا بعد وقوع أي حادث. تساعد المعلومات المتعلقة بالتهديدات على إظهار أن القرارات استندت إلى الأدلة وليس التخمين.
ويمكن أن يساعد أيضًا في تحديد أولويات تدابير الصمود. إذا أظهرت المعلومات الاستخبارية أن قطاعًا ما يتم استهدافه من خلال تسوية الهوية والوصول عن بُعد المكشوف والوصول إلى المورد ، فيمكن أن يتحول الاستثمار نحو أمان الهوية وإدارة التعرض الخارجي والمراقبة الخارجية.
كيف تساعد معلومات التهديد فرق SOC ؟
تساعد المعلومات المتعلقة بالتهديدات فرق SOC على تقليل الضوضاء وإثراء التنبيهات واكتشاف سلوك المهاجم ذي الصلة.
قد تتلقى SOC الآلاف من التنبيهات من نقاط النهاية والأنظمة الأساسية السحابية وأنظمة الهوية وبوابات البريد الإلكتروني والجدران النارية وقواعد SIEM . لا يستحق كل تنبيه نفس الإلحاح. تساعد المعلومات المتعلقة بالتهديدات المحللين على فهم ما إذا كان التنبيه مرتبطًا بالبنية التحتية الخبيثة المعروفة أو الحملات النشطة أو الثغرات الأمنية المستغلة أو سلوكيات الجهات الفاعلة.
يساعد MITER ATT & CK أيضًا فرق SOC على بناء اكتشافات حول سلوك الخصم بدلاً من المؤشرات المعروفة فقط. إنه يوفر للمحللين لغة مشتركة لهيكلة ومقارنة وتحليل ذكاء التهديد ، مما يساعدهم على ربط التنبيهات بسلوك المهاجم بطريقة أكثر تكرارًا.
تساعد المعلومات المتعلقة بالتهديدات أيضًا على تحسين هندسة الاكتشاف. وبدلاً من كتابة القواعد للمؤشرات المعروفة فقط ، يمكن للفرق إنشاء اكتشافات حول سلوكيات مثل الوصول إلى بيانات الاعتماد المشكوك فيها أو استخدام PowerShell غير الطبيعي أو تنفيذ الخدمة عن بُعد غير المعتاد أو أنماط القيادة والتحكم.
كيف تساعد معلومات التهديد في الاستجابة للحادث؟
تساعد المعلومات المتعلقة بالتهديدات فرق الاستجابة للحوادث على فهم ما حدث ، وما قد يحدث بعد ذلك ، وأين تبحث.
أثناء أي حادث ، يحتاج المستجيبون إلى إجابات سريعة. هل هذه البرمجيات الخبيثة معروفة؟ هل البنية التحتية نشطة؟ ما هو الفاعل أو الحملة التي قد تشارك؟ ما هي الأنظمة التي عادة ما يتم استهدافها بعد ذلك؟ هل هناك طرق مثابرة معروفة؟ هل هناك مؤشرات ذات صلة للبحث عنها عبر البيئة؟
يمكن لذكاء التهديد أن يسرع من فحص النطاق والاحتواء. إذا كان بإمكان المستجيبين ربط النشاط الملحوظ بكتيب قواعد اللعبة المعروف ، فيمكنهم البحث عن إجراءات المتابعة المحتملة. على سبيل المثال ، إلقاء بيانات الاعتماد أو الحركة الجانبية أو توزيع البيانات المرحلية أو نشر برامج الفدية.
كما أنه يدعم تحسين ما بعد الحادث. وبعد الاحتواء ، يمكن للذكاء أن يساعد الفرق على تحديد عناصر التحكم التي فشلت ، والاكتشافات المفقودة ، وتقنيات الهجوم التي ينبغي تغطيتها في التدريبات المستقبلية.
نادرًا ما تكون الاستجابة للحادث مشكلة فنية فقط. قد تحتاج الفرق القانونية والتواصلية والمسؤولة عن إدارة المخاطر والتنفيذية إلى فهم ما إذا كان الحادث جزءًا من حملة أوسع أو نشاطًا مستهدفًا. يمنح الذكاء الخاص بالتهديدات تلك القرارات سياقًا أقوى.
كيف تساعد معلومات التهديد في إدارة الثغرات الأمنية؟
تساعد المعلومات المتعلقة بالتهديدات فرق إدارة الثغرات الأمنية على إعطاء الأولوية للمعالجة بناءً على نشاط استغلال الثغرات واهتمام المهاجم وتعرض الأصول.
العديد من الشركات لديها الآلاف من نقاط الضعف المعروفة. عادةً ما يكون تصحيحها جميعًا على الفور غير واقعي ، خاصة في البيئات المعقدة ذات الأنظمة القديمة والتكنولوجيا التشغيلية وأعباء العمل السحابية والتطبيقات المهمة للأعمال.
يساعد استخبارات التهديد على فصل الخطورة النظرية عن الإلحاح العملي. قد لا تكون الثغرة الأمنية ذات الدرجة العالية من الخطورة هي الأولوية القصوى إذا لم يتم الكشف عنها أو استخدامها في الحملات النشطة أو عدم وجودها على الأصول الهامة. قد تكون المشكلة الأقل خطورة ملحة إذا كانت تواجه الإنترنت ويسهل استغلالها ويتم استخدامها بواسطة مشغلي برامج الفدية.
هذا هو المكان الذي تحتاج فيه معلومات الثغرات الأمنية وذكاء الاستغلال وسياق الأصول وضرورة العمل معًا. يمكن أن يساعد EPSS في تقدير احتمالية الاستغلال ، بينما يساعد CVSS في التعبير عن الخطورة الفنية.
لا تسأل أقوى برامج الثغرات الأمنية فقط "ما هو الضعف؟" ويسألون "ما هي الأشياء المعرضة للخطر والمكشوفة والقابلة للاستغلال وذات الصلة بسلوك المهاجم الحالي؟"
كيف تدعم معلومات التهديد مخاطر الأطراف الثالثة وسلسلة التوريد؟
تساعد المعلومات الاستخبارية الخاصة بالتهديدات المنظمات على مراقبة المخاطر خارج نطاقها. يتضمن ذلك الموردين وموفري الخدمات المدارة وموفري الخدمات السحابية وبائعي البرامج والمقاولين وبيانات الاعتماد المكشوفة والبيانات المسربة ومجالات الاحتيال والبنية التحتية الخارجية المعرضة للخطر.
تعتبر مخاطر سلسلة التوريد صعبة لأن الشركات تعتمد على المنظمات التي لا تتحكم فيها بشكل كامل. يجوز للمورد الاحتفاظ ببيانات حساسة أو إدارة الوصول عن بُعد أو توفير تحديثات البرامج أو تشغيل الخدمات الهامة.
يمكن أن تساعد المعلومات المتعلقة بالتهديدات في تحديد ما إذا كان يتم انتحال صفة مجال المورد ، وما إذا كانت بيانات الاعتماد المرتبطة ببائع قد ظهرت في الأسواق الإجرامية ، أو ما إذا كان مزود التكنولوجيا متأثرًا بثغرة أمنية مستغلة ، أو ما إذا كان يتم استهداف نظام أساسي تابع لجهة خارجية بواسطة حملة.
هذا لا يحل محل إدارة المخاطر أو العقود أو عمليات التدقيق الخاصة بطرف ثالث. ويضيف سياق التهديد الحالي لهم.
بالنسبة للمؤسسات في القطاعات التي يغطيها NIS2 ، تعتبر مخاطر الموردين والنظام البيئي ذات صلة بشكل خاص لأن الأمن السيبراني يتم التعامل معه بشكل متزايد على أنه مشكلة مرونة عبر القطاعات ، وليس فقط مشكلة داخلية للتحكم في تكنولوجيا المعلومات.
ما هي دورة حياة ذكاء التهديد؟
إن دورة حياة ذكاء التهديدات هي العملية المستخدمة لتحديد احتياجات الذكاء ، وجمع البيانات ، وتحليلها ، وتوزيع النتائج ، وتحسين عمل الاستخبارات في المستقبل.
تتضمن دورة حياة مشتركة ست مراحل:
- الاتجاه 2. التجميع 3. المعالجة 4. التحليل 5. النشر 6. الملاحظات
ينبغي أن تبدأ استخبارات التهديد بمتطلبات تشغيلية أو تجارية محددة. على سبيل المثال ، قد يسأل أحد قادة SOC : "ما هي تقنيات فيروسات الفدية التي يجب أن نكتشفها في بيئة التصنيع لدينا؟" قد يسأل CISO: "ما التهديدات الجيوسياسية التي يمكن أن تؤثر على عملياتنا الأوروبية؟" قد يسأل مدير الثغرات الأمنية: "ما هي الثغرات الأمنية المكشوفة التي ينبغي علينا تصحيحها هذا الأسبوع؟"
يتطلب كل سؤال مصادر وتحليلات ومخرجات مختلفة. تحافظ دورة الحياة على تركيز الذكاء على القرارات بدلاً من الحجم.
ماذا يحدث خلال مرحلة الاتجاه؟
في برنامج المؤسسة ، تحدد مرحلة الاتجاه ما تحتاجه المنظمة لفهمه وكيف سيتم استخدام الذكاء. بالنسبة لبائعي خدمات الأمان ، تتشكل العملية أيضًا من خلال البيانات التي يمكنهم جمعها والقدرات البحثية التي يمتلكونها والجماهير التي تم تصميم منتجات الاستخبارات الخاصة بهم لدعمها.
هذه هي أهم مرحلة لأنها تحدد ما إذا كان الذكاء سيكون مفيدًا. عادةً ما ينتج عن المتطلبات الغامضة مثل "إرسال معلومات عن التهديد إلينا" ضوضاء. ويؤدي وجود شرط واضح مثل "تحديد مجموعات برامج الفدية النشطة التي تستهدف الشركات المصنعة الأوروبية باستخدام الوصول المكشوف عن بُعد" إلى التركيز.
يجب أن يشمل التوجيه الفرق التي ستستخدم الذكاء. يحتاج مجلس الإدارة إلى معلومات استخبارية مختلفة من محلل SOC . يحتاج فريق الثغرات الأمنية إلى معلومات استخباراتية مختلفة من فريق الاحتيال.
ترتبط متطلبات الذكاء الجيد بالقرارات. وقد يدعمون تحديد أولويات التصحيح أو هندسة الاكتشاف أو الاستعداد للحوادث أو مراقبة الموردين أو إعداد التقارير التنفيذية أو التخطيط للمخاطر الخاصة بقطاع معين.
في هذه المرحلة ، قد تحدد الفرق الجمهور والقرار والإطار الزمني والجغرافيا والقطاع والمكدس التكنولوجي وتنسيق الإخراج المطلوب.
ماذا يحدث أثناء الجمع والمعالجة؟
جمع المعلومات ذات الصلة من مصادر داخلية وخارجية. تحول المعالجة هذه المعلومات إلى تنسيق قابل للاستخدام.
قد تتضمن المصادر الخارجية معلومات عن التهديدات التجارية ، وتقارير مفتوحة المصدر ، ومجتمعات مشاركة القطاع ، وإرشادات CERT و CSIRT ، ومراقبة الويب المظلمة ، ومستودعات البرامج الضارة ، وقواعد بيانات الثغرات الأمنية ، وموجزات التصيد الاحتيالي ، والأطر العامة.
قد تتضمن المصادر الداخلية سجلات SIEM وقياس EDR عن بُعد وأحداث جدار الحماية وبيانات أمان البريد الإلكتروني وتقارير الحوادث ومسح الثغرات الأمنية وقوائم الأصول والسجلات السحابية.
قد تتضمن المعالجة إلغاء المكررة ، والتطبيع ، والإثراء ، والترجمة ، ووضع العلامات ، والتسجيل ، والتحويل إلى تنسيقات قياسية.
المعايير مهمة لأن ذكاء التهديد يحتاج غالبًا إلى التنقل بين الأدوات والمنظمات. تقوم OASIS بتطوير STIX و TAXII في إطار اللجنة الفنية للاستخبارات الخاصة بالتهديدات السيبرانية لدعم النمذجة المنظمة والتحليل وتبادل المعلومات الاستخبارية للتهديدات السيبرانية. تعد MISP منصة أخرى مفتوحة المصدر مستخدمة على نطاق واسع لجمع وتخزين وتوزيع ومشاركة مؤشرات الأمن السيبراني ومعلومات التهديد.
بدون معالجة ، يمكن أن تصبح المعلومات الاستخباراتية مجزأة أو مزدوجة أو مستحيلة التشغيل.
ماذا يحدث أثناء التحليل؟
يحول التحليل البيانات المعالجة إلى ذكاء. هذا هو المكان الذي يقوم فيه المحللون بتقييم الملاءمة والموثوقية والثقة والتأثير والإجراء الموصى به.
قد يجيب التحليل على أسئلة مثل:
- هل ما زال هذا المؤشر فعالاً؟
- هل هذه الحملة ذات صلة بقطاعنا أو منطقتنا؟
- ما هو الفاعل أو عائلة البرامج الضارة أو الأسلوب الذي يشبه هذا النشاط؟
- ما هي الأصول التي يمكن أن تتأثر؟
- ما الذي يجب أن تكتشفه SOC ؟
- ما الذي يجب على فريق الثغرات الأمنية تصحيحه أولاً؟
- ما الذي يجب أن يعرفه التنفيذيون؟
يتضمن التحليل الجيد مستويات الثقة ، وليس كل استنتاج مؤكد. قد يحكم المحللون على أن حملة ما من المحتمل أن تكون مرتبطة بجهة فاعلة معروفة ، أو أن البنية التحتية ربما تكون مرتبطة بعائلة برامج ضارة ، أو أن قطاعًا ما قد يكون مستهدفًا.
تتضمن القرارات الأمنية بشكل أساسي عدم اليقين ، ويجب أن تقلل معلومات التهديد من حالة عدم اليقين ، وليس التظاهر بعدم وجودها.
التحليل أيضًا هو المكان الذي تظل فيه الخبرة البشرية مهمة. يمكن للأتمتة إثراء البيانات وربطها على نطاق واسع ، لكن المحللين يوفرون الحكم والسياق والتفسير التشغيلي.
ماذا يحدث أثناء النشر والتغذية الراجعة؟
يوفر النشر معلومات استخباراتية إلى الأشخاص المناسبين أو الأدوات أو مهام سير العمل ، كما تُظهر الملاحظات ما إذا كانت مفيدة أم لا.
تتطلب الفرق التنفيذية ومحللو SOC ومديرو الثغرات الأمنية والمهندسون المعماريون ذكاءً في أشكال مختلفة ومستويات مختلفة من التفاصيل.
ينبغي تسليم معلومات التهديد أينما يحدث العمل . يمكن أن يشمل ذلك SIEM و XDR و EDR و SOAR وأنظمة التذاكر وأدوات إدارة الثغرات الأمنية وعناصر التحكم في أمان البريد الإلكتروني أو لوحات المعلومات أو التقارير أو الملخصات التنفيذية.
تغلق الملاحظات الحلقة. إذا قدم المحللون معلومات استخباراتية واسعة جدًا أو متأخرة جدًا أو يصعب استخدامها ، فيجب تعديل البرنامج. إذا كانت الخلاصة تخلق نتائج إيجابية زائفة ، فإنها تحتاج إلى ضبط. إذا كان هناك تقرير يساعد في منع وقوع حادث أو اكتشافه ، فيجب تسجيل هذه القيمة.
ما هو الفرق بين ذكاء التهديد ومطاردة التهديد؟
إن استخبارات التهديد والبحث عن التهديدات مترابطان ولكنهما ليسا متشابهين.
تشرح معلومات التهديد ما هو معروف أو مشكوك فيه بشأن التهديدات والجهات الفاعلة والبنية التحتية ونقاط الضعف وسلوك الهجوم. البحث عن التهديدات هو البحث الاستباقي عن علامات على وجود حل وسط أو نشاط مهاجم داخل بيئة ما.
يمكن لذكاء التهديد أن يوجه عملية البحث عن التهديدات - على سبيل المثال ، قد تظهر المعلومات الاستخباراتية أن مجموعة برامج فدية تستخدم طريقة وصول أولية محددة أو تقنية استمرار أو نمط سطر أوامر. ويمكن لصائدي التهديدات عندئذٍ البحث في القياس الداخلي عن بُعد بحثًا عن علامات تدل على هذا السلوك.
يمكن أن يؤدي صيد التهديد أيضًا إلى إنشاء ذكاء جديد. إذا اكتشف الصيادون نمطًا غير معروف سابقًا أو بنية تحتية مشبوهة أو سلوك مهاجم ، فيمكن تحليل هذا الاكتشاف وتوثيقه ومشاركته مع فرق الاكتشاف أو مجتمعات الاستخبارات الأوسع.
الفرق البسيط هو: يساعد ذكاء التهديد الفرق على فهم ما يجب البحث عنه ، بينما يبحث مطاردة التهديدات عن دليل على حدوثه أو حدوثه في بيئتهم.
ما الفرق بين معلومات التهديد وبيانات التهديد؟
بيانات التهديد هي معلومات أولية ، بينما تضيف معلومات التهديد السياق والتحليل وقيمة صنع القرار.
يمكن أن تتضمن بيانات التهديد عناوين IP أو المجالات أو تجزئة الملفات أو عينات البرامج الضارة أو معرفات الثغرات الأمنية أو عناصر البريد الإلكتروني أو أحداث السجل. يمكن أن تكون هذه البيانات مفيدة ، لكنها لا تخبر الفريق تلقائيًا بما يحتاج إلى القيام به.
تضيف معلومات التهديد سياقًا تشغيليًا من خلال ربط المؤشرات بالحملات والجهات الفاعلة والقطاعات والمناطق والتقنيات والإجراءات الموصى بها.
يعد هذا فرقًا مهمًا لأن المؤسسات يمكن أن تغرق في بيانات التهديد ، ولا يعني المزيد من الخلاصات دائمًا أمانًا أفضل. في بعض الحالات ، تزيد من الضوضاء والإيجابيات الزائفة وأعباء عمل المحلل.
إليك اختبار عملي بسيط: هل يمكن للمعلومات تحسين قرار الأمان أو سير العمل؟ إذا لم يكن بإمكانه مساعدة شخص ما على اكتشاف التهديد أو منعه أو التحقيق فيه أو تحديد أولوياته أو شرحه ، فقد يكون ذلك تهديدًا بالبيانات وليس الذكاء.
ما هو الفرق بين استخبارات التهديد و OSINT؟
الاستخبارات مفتوحة المصدر ، أو OSINT ، هي معلومات استخباراتية مشتقة من المصادر المتاحة للجمهور. يمكن أن تتضمن معلومات التهديد استخبارات المصادر المفتوحة ، لكنها أوسع نطاقاً.
قد تتضمن مصادر OSINT التقارير العامة ، والمدونات ، والإرشادات ، ومستودعات الرموز ، وسجلات المجال ، وتحليل البرمجيات الخبيثة ، ووسائل التواصل الاجتماعي ، والمنتديات ، والكشف عن الثغرات الأمنية ، ومجموعات البيانات العامة. يمكن أن تكون هذه المصادر ذات قيمة ، خاصةً عند دمجها مع القياس الداخلي عن بُعد وتحليل الخبراء.
وقد تتضمن معلومات التهديد أيضًا البيانات التجارية ، والبحوث الخاصة ، والقياس عن بُعد للبرامج الضارة ، وشبكات الاستشعار ، والمشاركة المجتمعية المغلقة ، ونتائج الاستجابة للحوادث ، ومراقبة الويب المظلمة ، وبيانات البصمة الرقمية الخاصة بالعميل.
ويكمن الاختلاف الرئيسي في أن OSINT تصف نوع المصدر ، بينما تصف المعلومات الاستخبارية الخاصة بالتهديدات الغرض والمخرجات. يمكن أن تصبح المعلومات العامة معلومات استخبارية عن التهديد عندما يتم تحليلها وتطبيقها على قرار أمني.
بالنسبة للعديد من المؤسسات ، لا يتعلق النهج الأفضل بالمسألة العامة في مقابل الخاصة - إنه يتعلق بدمج مصادر متعددة والتحقق من صحتها واستخدامها في مهام سير العمل الصحيحة.
ما الذي يجعل معلومات التهديد قابلة للتنفيذ؟
تكون معلومات التهديد قابلة للتنفيذ عندما تدعم قرارًا معينًا أو سير عمل أمان.
عادةً ما يكون للذكاء القابل للتنفيذ خمس صفات:
- الملاءمة: ينطبق على قطاع المؤسسة أو إقليمها أو أصولها أو ملف تعريف المخاطر الخاص بها
- حسن التوقيت: يصل بينما لا يزال الإجراء مفيدًا
- الدقة: يتم التحقق من صحته وتحديد مصادره بوضوح
- السياق: فهو يشرح المعنى ، وليس فقط المؤشرات
- قابلية الاستخدام: يمكن تطبيقه بواسطة الأشخاص أو الأدوات.
على سبيل المثال ، فإن العبارة "مجموعة برامج الفدية نشطة" غامضة للغاية. "تستهدف مجموعة برامج الفدية هذه الشركات اللوجيستية الأوروبية من خلال أجهزة VPN المكشوفة وقد تمت ملاحظتها وهي تستغل ثغرات أمنية معينة" وهي أكثر قابلية للتنفيذ. فهو يخبر الفرق بما يجب التحقق منه ، والمكان الذي يجب أن تبحث فيه ، والمخاطر التي قد تتطلب اهتمامًا عاجلاً.
تعتمد القابلية للتنفيذ أيضًا على التنسيق. يحتاج CISO إلى ناتج مختلف عن SIEM، ويحتاج محلل SOC إلى سياق كافٍ للتحقيق بسرعة ، ويحتاج جدار الحماية إلى مؤشرات منظمة ، ويحتاج المجلس إلى آثار وخيارات.
يتم تفعيل استخبارات التهديدات الفعالة في مهام سير العمل والقرارات.
كيف ينبغي على الشركات تقييم مصادر معلومات التهديد؟
يجب على الشركات تقييم مصادر المعلومات الاستخبارية الخاصة بالتهديدات بناءً على الملاءمة ، والتغطية ، والدقة ، والحداثة ، والشفافية ، والتكامل ، والملاءمة التشغيلية.
تستخدم العديد من المؤسسات المعلومات الاستخبارية من مصادر متعددة ، خاصةً للخلاصات ، لأنه لا يوجد مورد واحد لديه تغطية كاملة عبر كل جهة فاعلة ومنطقة وقطاع وعائلة البرامج الضارة وثغرات أمنية ومجموعة بنية تحتية. والهدف ليس الاعتماد على مصدر واحد في كل شيء ، ولكن الهدف هو الجمع بين المصادر بطريقة تعمل على تحسين التغطية دون إرباك المحللين. الملاءمة تأتي أولاً. سيكون للخلاصة التي تركز على التهديدات التي لا تؤثر على جغرافية المؤسسة أو قطاعها أو مكدسها التكنولوجي قيمة محدودة. يجب أن تتضمن التغطية مجالات التهديد التي تهتم بها المؤسسة ، مثل APTs أو برامج الفدية أو التصيد الاحتيالي أو ICS أو التهديدات السحابية أو البرامج الضارة أو الثغرات الأمنية أو التعرض للبصمة الرقمية.
تعد الدقة والحداثة أمرًا بالغ الأهمية ، حيث إن المؤشرات التي لا معنى لها أو التي تم التحقق من صحتها بشكل سيئ يمكن أن تخلق نتائج إيجابية زائفة وتضيع وقت المحلل. تساعد الشفافية في تحديد المصادر ومستويات الثقة الفرق على فهم مقدار الأهمية التي يجب أن تمنحها للذكاء.
التكامل هو أيضا أمر بالغ الأهمية. قد تظل المعلومات الذكية التي لا يمكن استخدامها في SIEM أو XDR أو EDR أو SOAR أو إدارة الثغرات الأمنية أو تدفقات عمل الاستجابة للحوادث خاملة.
أخيرًا ، يجب على الفرق تقييم الخبرة البشرية. تُعد الخلاصات التلقائية مفيدة ، ولكن الأسئلة المعقدة غالبًا تتطلب تفسيرًا من المحلل ، خاصةً للهجمات المستهدفة والمخاطر الجيوسياسية والبيئات الصناعية ودعم الحوادث.
ما هي الأخطاء الشائعة التي تضعف برامج الاستخبارات الخاصة بالتهديدات؟
غالبًا ما تفشل برامج الاستخبارات الخاصة بالتهديدات عندما تركز على الحجم بدلاً من القرارات.
- يتمثل الخطأ الأول في إضافة موجزات دون تحديد متطلبات الاستخبارات أو عمليات التحقق من الصحة أو تدفقات العمل التشغيلية. قد تحتاج المنظمات إلى خلاصات متعددة ، ولكن يجب أن يكون لكل مصدر هدف واضح وقيمة قابلة للقياس وطريق محدد للاكتشاف أو التحقيق أو تحديد الأولويات.
- الخطأ الثاني هو التعامل مع المؤشرات باعتبارها البرنامج بأكمله . المؤشرات مفيدة ، لكنها ليست سوى طبقة واحدة من الذكاء. تحتاج الفرق أيضًا إلى سياق الحملة ، و TTPs ، وذكاء الثغرات الأمنية ، والتقارير الاستراتيجية والرؤية القطاعية.
- الخطأ الثالث هو الفشل في دمج الذكاء في تدفقات العمل . قد يكون تقرير PDF مفيدًا للقادة ، لكن فرق SOC تحتاج إلى معلومات استخباراتية داخل الأدوات والعمليات.
- الخطأ الرابع ليس قياس القيمة . يجب على الفرق تتبع ما إذا كان الذكاء يحسن الاكتشاف ، أو يقلل من وقت التحقيق ، أو يحسن ترتيب أولويات التصحيح ، أو يدعم الاستجابة للحوادث أو يُعلم القرارات التنفيذية.
- الخطأ الخامس هو تجاهل الملاحظات . يجب أن تتطور معلومات التهديد مع تغير مخاطر المنظمة وأصولها وأولوياتها.
ما الذي ينبغي أن يتضمنه برنامج استخبارات التهديدات الناضج؟
يجب أن يتضمن برنامج معلومات التهديدات الناضج متطلبات واضحة ومصادر موثوقة وتحليل ماهر وتكامل سير العمل ونتائج قابلة للقياس.
على الأقل ، يجب على الشركات تحديد من يستخدم معلومات التهديد ولأي غرض. يشمل المستهلكون العاديون CISO وفرق SOC والمستجيبين للحوادث وفرق الثغرات الأمنية والباحثين عن التهديدات ومهندسي الأمن وفرق الاحتيال وقادة المخاطر.
تجمع البرامج الناضجة بين القياس الداخلي عن بُعد ورؤية التهديدات الخارجية. يوفر القياس الداخلي عن بُعد رؤية بيئية ، بينما يوفر الذكاء الخارجي سياقًا للمهاجم. هذا المزيج أقوى من أي مصدر بمفرده.
تستخدم البرامج الناضجة أيضًا أطرًا ومعايير منظمة عند الاقتضاء. يمكن لـ MITER ATT & CK المساعدة في تنظيم السلوك المعادي ، ويمكن أن تدعم STIX و TAXII التبادل المنظم ، ويمكن لمجموعة خدمات MISP دعم المشاركة وتدفقات عمل المجتمع.
لا يتمثل الهدف في جمع كل شيء ، بل يتمثل في تقديم المعلومات الذكية المناسبة لسير العمل المناسب في الوقت المناسب.
كيف يؤثر الذكاء الاصطناعي على معلومات التهديد؟
يؤثر الذكاء الاصطناعي على ذكاء التهديدات بطريقتين: فهو يساعد المدافعين على معالجة المزيد من البيانات ، ويساعد المهاجمين على قياس النشاط الخبيث.
- بالنسبة للمدافعين ، يمكن للذكاء الاصطناعي تسريع التخصيب والارتباط والتلخيص وتحليل التهديدات على نطاق واسع. يمكن أن يساعد المحللين على تحديد الأنماط عبر مجموعات البيانات الكبيرة التي يصعب مراجعتها يدويًا. ومع ذلك ، لا يحل الذكاء الاصطناعي محل محللي التهديدات أو الحكم البشري.
- بالنسبة للمهاجمين ، يمكن أن يدعم الذكاء الاصطناعي الاحتيال والترجمة والاستطلاع وانتحال الهوية والأتمتة. وحذر اليوروبول من أن الذكاء الاصطناعي يمكن أن يساعد الجماعات الإجرامية في إنشاء رسائل متعددة اللغات وانتحال واقعي للهوية وعمليات تلقائية تعقد عملية الاكتشاف.
لا يلغي الذكاء الاصطناعي الحاجة إلى التحليل البشري والحكم التشغيلي. لا تزال المعلومات المتعلقة بالتهديدات تعتمد على تقييم المصدر وتقييم الثقة والسياق والحكم. يمكن للذكاء الاصطناعي تسريع التحليل ، ولكن تظل الخبرة البشرية ضرورية لتحديد معنى الذكاء وكيفية استخدامه.
تكمن القيمة العملية للذكاء الاصطناعي في استخبارات التهديدات في السرعة والنطاق. يتمثل الخطر في الثقة المفرطة في الاستنتاجات الآلية دون التحقق الكافي من الصحة.
ما الذي ينبغي على الشركات فعله أولاً بذكاء التهديدات؟
يجب أن تبدأ الشركات بمتطلبات الذكاء وليس بالأدوات. تتمثل نقطة البداية العملية في تحديد خمسة أسئلة:
- ما هي الجهات الفاعلة أو الحملات التي تهدد التهديدات ذات الصلة بقطاعنا ومنطقتنا؟
- ما هي نقاط الضعف في بيئتنا التي يتم استغلالها في البرية؟
- ما هي تقنيات المهاجم التي ينبغي على SOC الخاص بنا اكتشافها؟
- ما هي التعرضات الخارجية التي تزيد من مخاطرنا؟
- ما هي اتجاهات التهديد التي ينبغي على القيادة فهمها؟
بمجرد أن تصبح هذه الأسئلة واضحة ، يمكن للفرق تعيين المصادر المطلوبة ومهام سير العمل والمخرجات. وهذا يمنع البرنامج من أن يصبح مجموعة من الموجزات والتقارير غير المتصلة.
يجب على المنظمات أيضًا تحديد الأماكن التي سيتم استخدام المعلومات الاستخبارية فيها. على سبيل المثال ، إثراء التنبيهات في SIEM، وهندسة الكشف في XDR ، وتحديد أولويات التصحيح في إدارة الثغرات الأمنية ، وإعداد التقارير التنفيذية لـ CISO ، أو مراقبة الموردين لفرق المخاطر.
البدء صغيرًا أمر جيد. إن سير العمل الاستخباري المركز الذي يحسن قرارًا واحدًا هو أكثر قيمة من برنامج كبير لا يستخدمه أي شخص.
الوجبات الجاهزة الرئيسية
تساعد المعلومات المتعلقة بالتهديدات المؤسسات على فهم التهديدات المهمة وسبب أهميتها وماذا تفعل حيالها. ولا تكمن قيمته في جمع المزيد من البيانات ولكن في تحويل بيانات التهديد إلى قرارات.
بالنسبة لـ CISO ، فهي تدعم التخطيط القائم على المخاطر والتواصل التنفيذي. بالنسبة لفرق SOC ، فإنه يحسن فرز التنبيهات واكتشافها والاستجابة لها. بالنسبة لفرق الثغرات الأمنية ، فهي تساعد في تحديد أولويات المعالجة. بالنسبة للمستجيبين للحوادث ، فإنه يسرع من التحقيق والاحتواء. بالنسبة لفرق المخاطر ، فإنه يضيف سياق التهديد الحالي للمورد والقطاع والمخاوف التنظيمية.
وأكثر البرامج فاعلية هي برامج مركزة وحديثة وعاملة. إنهم يحددون متطلبات الذكاء ، ويجمعون بين المصادر الداخلية والخارجية ، ويستخدمون أطر عمل منظمة عندما يكون ذلك مفيدًا ويقدمون معلومات استخبارية إلى تدفقات العمل حيث يتم اتخاذ القرارات.
إن استخبارات التهديدات ليست أداة تحكم قائمة بذاتها - إنها قدرة على دعم القرار التي تجعل وظائف الأمان الأخرى أكثر دقة.
CTA استكشف Kaspersky Threat Intelligence لدعم اكتشاف التهديدات والتحقيق فيها وتحديد أولويات الثغرات الأمنية وقرارات مخاطر المؤسسة.
دعم المصادر وقراءة المزيد
- ENISA Threat Landscape 2025: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
- المفوضية الأوروبية: توجيه NIS2: https://digital-strategy.ec.europa.eu/en/policies/ nis2-التوجيهي
- MITER ATT & CK ، بما في ذلك. حالات الاستخدام لاكتشاف التهديدات والمعلومات الاستخبارية: https://attack.mitre.org/
- اللجنة الفنية لمخابرات التهديد السيبراني في OASIS: STIX و TAXII. ( OASIS Open )
- منصة استخبارات التهديدات من مجموعة خدمات MISP مفتوحة المصدر: https://www.misp-project.org/
- نظام توقع نتائج الاستغلال الأول: https://www.first.org/epss/
- Kaspersky Threat Intelligence: kaspersky.com
أسئلة متداولة
ما المقصود بذكاء التهديد بعبارات بسيطة؟
معلومات التهديد هي معلومات حول التهديدات الإلكترونية التي تم تحليلها وجعلها مفيدة لقرارات الأمان. إنه يساعد المنظمات على فهم من قد يهاجمهم ، وكيف تعمل الهجمات ، وأي المؤشرات يجب مراقبتها والمخاطر التي يجب تحديد أولوياتها.
ما هي الأنواع الأربعة لذكاء التهديد؟
الأنواع الأربعة الرئيسية هي استخبارات التهديدات الاستراتيجية والتشغيلية والتكتيكية والفنية ، وكل منها مصمم لوظائف أمنية وعمل مختلفة.
هل معلومات التهديد مفيدة فقط للمؤسسات الكبيرة؟
لا. تستطيع المؤسسات الصغيرة أيضًا استخدام المعلومات الاستخبارية عن التهديدات ، خاصة من خلال الخدمات المدارة ومجموعات المشاركة في الصناعة وأدوات الأمان والاستشارات الموثوقة. المفتاح هو الصلة. يعتبر مقدار صغير من الذكاء المركّز أكثر فائدة بشكل ملحوظ من كمية كبيرة من البيانات العامة.
هل التهديد يغذي نفس معلومات التهديد؟
لا. توفر خلاصات التهديد مؤشرات أولية أو بيانات تهديد ، بينما تضيف معلومات التهديد السياق والتحليل والأهمية.
كيف تساعد معلومات التهديدات على الحماية من فيروسات الفدية؟
يمكن لذكاء التهديدات تحديد مجموعات برامج الفدية وطرق الوصول الأولية والثغرات الأمنية المستغلة وقطاعات الضحايا والبنية التحتية للبرامج الضارة والسلوك الشائع بعد الاختراق ، مما يساعد الفرق على تحسين الاكتشاف وتحديد أولويات التصحيح وإعداد إجراءات الاستجابة للحوادث.
كيف تساعد معلومات التهديد في تحديد أولويات الثغرات الأمنية؟
تساعد المعلومات المتعلقة بالتهديدات الفرق على تحديد أولويات الثغرات الأمنية بناءً على الاستغلال النشط والتعرض واهتمام المهاجم ، وليس الشدة وحدها.
ما هو MITER ATT & CK؟ وما هي العلاقة بين معلومات التهديد و MITER ATT & CK؟
يوفر MITER ATT & CK قاعدة معرفية منظمة لتكتيكات وتقنيات الخصم. تستخدمه فرق الاستخبارات الخاصة بالتهديدات لوصف سلوك المهاجم بشكل متسق ، ولتحديد الحملات ، ودعم هندسة الاكتشاف.
ما هو الفرق بين ذكاء التهديد ومطاردة التهديد؟
تشرح المعلومات المتعلقة بالتهديدات التهديدات ذات الصلة وسلوك المهاجم ، بينما تقوم عملية مطاردة التهديدات بشكل استباقي بالبحث عن علامات التسوية داخل البيئة.
من يمتلك معلومات التهديد داخل المؤسسة؟
الملكية تختلف. في بعض المنظمات ، يكون موجودًا في SOC؛ وفي حالات أخرى ، يعمل مع فريق استخبارات تهديدات مخصص أو الاستجابة للحوادث أو العمليات الأمنية أو مكتب CISO. ما يهم هو أن الذكاء مرتبط بالفرق التي تستخدمها.
كيف ينبغي قياس معلومات التهديد؟
وتشمل التدابير المفيدة تقليل وقت التحقيق ، وتحسين تغطية الاكتشاف ، وتحديد أولويات نقاط الضعف بشكل أفضل ، وتحديد نطاق الحوادث بشكل أسرع ، وتقليل الإيجابيات الكاذبة ، وتحسين التقارير التنفيذية ، والأدلة على أن المعلومات الاستخبارية قد غيرت القرارات الأمنية.
