Threat intelligence: definizione
La threat intelligence è l'insieme di informazioni sulle minacce informatiche (chi attacca, con quali mezzi, contro chi) raccolte, analizzate e messe in relazione con il contesto di un'organizzazione, per aiutarla a prendere decisioni di difesa.
In breve
Un elenco di indirizzi IP malevoli è un dato. Sapere che un gruppo criminale sta colpendo aziende del tuo settore sfruttando una VPN che anche tu usi è intelligence: un'informazione pertinente, tempestiva e su cui puoi agire. La differenza sta tutta nella rilevanza.
Come funziona
La threat intelligence segue un ciclo: si stabilisce cosa serve sapere, si raccolgono le fonti, si elaborano e analizzano i dati, si distribuiscono i risultati a chi deve usarli, e si raccoglie il riscontro per migliorare. Di solito si distinguono quattro livelli:
- strategica: tendenze e rischi per la direzione (quali minacce crescono nel tuo settore);
- operativa: campagne in corso e gruppi attivi, utili a chi gestisce la sicurezza;
- tattica: tecniche e procedure degli attaccanti, spesso descritte con MITRE ATT&CK;
- tecnica: indicatori di compromissione da cercare nei sistemi.
Le fonti vanno dagli avvisi dei produttori e dei CSIRT nazionali, come il CSIRT Italia, ai blog dei ricercatori, ai gruppi di condivisione di settore, fino al monitoraggio del dark web.
Perché è importante
Nessuna azienda può leggere tutto ciò che si pubblica sulla sicurezza. Senza un filtro, le notizie importanti si perdono fra quelle irrilevanti. Una buona threat intelligence ti dice presto ciò che riguarda i tuoi prodotti, i tuoi fornitori e il tuo settore, così puoi aggiornare, mitigare o cercare tracce prima che sia tardi. La direttiva NIS2 incoraggia esplicitamente la condivisione di queste informazioni fra organizzazioni.
Esempio
Un'azienda di logistica imposta l'avviso su tre parole chiave: il nome del firewall che usa, il gestionale di magazzino e il suo principale fornitore IT. Un martedì mattina riceve un digest: un avviso del produttore del firewall segnala una vulnerabilità sfruttata attivamente, con una mitigazione temporanea in attesa della patch. Il referente IT applica la mitigazione in giornata, invece di scoprirlo settimane dopo da una notizia di cronaca. È lo scenario tipico di uno zero-day.
Il valore non sta nel numero di fonti seguite, ma nella pertinenza: dieci notizie al giorno su prodotti che non usi diventano rumore, e il rumore fa perdere l'unica che conta.
Termini collegati
Dove lo trovi in Dottor Box
Il modulo Threat Intelligence legge fonti di sicurezza predefinite e i feed che aggiungi tu, e ti invia un digest via email quando un articolo corrisponde alle tue parole chiave, senza mai notificare due volte la stessa notizia. Il Dark Web Monitoring aggiunge le credenziali esposte e le citazioni sui siti di leak.
Threat Intelligence
Le notizie e le minacce che riguardano il tuo settore e i tuoi fornitori, raccolte in un digest.
Scopri di più VedereDark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di più