redhat-infosec/priority-intelligence-requirements-devDieser Leitfaden beschreibt einen Prozess zur Entwicklung von Cyber Threat Intelligence Priority Intelligence Requirements.
In der sich rasant entwickelnden Landschaft der Cyber Threat Intelligence (CTI) ist die Formulierung von Priority Intelligence Requirements (PIRs) ein entscheidender Bestandteil Ihres CTI-Programms sowie der Planungs- und Ausrichtungsphase des Intelligence-Zyklus. Als Cyber-Threat-Intelligence-Analyst kennen Sie wahrscheinlich die Herausforderung, begrenzte Ressourcen in kleinen CTI-Teams gegen die gewaltige Aufgabe abzuwägen, Entscheidungsträgern und Stakeholdern relevante, umsetzbare Informationen zu liefern. Dieses Dilemma lässt Teams oft mit einer Entscheidung ringen: Sollen sie eine reaktive Haltung einnehmen und auf neu auftretende Bedrohungen reagieren, sobald sie auftauchen, oder sollten sie sich eher auf proaktive langfristige Prioritäten konzentrieren? Die Integration von PIRs als Leitprinzip wird Ihrem Programm helfen, proaktive strategische Prioritäten selbstbewusster zu verfolgen, ohne Ihre reaktiven Fähigkeiten aufzugeben. Dieser Ansatz verbessert nicht nur traditionelle Funktionen wie Forschung, Untersuchung, Analyse und Berichterstattung, sondern bringt auch fortgeschrittene Praktiken wie die bedrohungsinformierte Verteidigung (Threat-Informed Defense), einschließlich Threat Hunting und Detection Engineering, auf ein höheres Niveau. In diesem Blogbeitrag befassen wir uns mit diesem zentralen Prozess, indem wir die Bedeutung von PIRs für eine effektivere und strategischere CTI-Funktion beleuchten und es Ihrem Team dadurch ermöglichen, innerhalb Ihrer Organisation eine substanziellere Wirkung zu erzielen.
Der ursprüngliche Red-Hat-Prozess war um zwei getrennte Risikobewertungsübungen strukturiert, eine mit Fokus auf interne Faktoren und die andere auf externe. Diese Übungen wurden anschließend in einer Mapping-Übung zusammengeführt, aus der wir einen kohärenten Satz von PIRs ableiteten. Das Ziel war ambitioniert: das 'Was', 'Wer' und 'Wie' der Bedrohungslandschaft zu adressieren. 'Was' bezog sich auf die Daten und die Infrastruktur unserer Organisation; 'Wer' umfasste Beschreibungen von Bedrohungsakteuren auf hoher Ebene wie staatliche Akteure, organisierte Kriminalität oder Hacktivisten; und 'Wie' beinhaltete teilweise Arten von Erstzugriffsvektoren.
Auf dem Papier präsentierten sich die Kategorisierung der Bedrohungsakteure (Threat Actors, TA) und die Erstzugriffsvektoren (Initial Access Vectors, IAV) gut und boten bei der Präsentation der PIRs gegenüber Stakeholdern eine scheinbar umfassende Geschichte. Als wir diese Übung jedoch wiederholt über Organisationen hinweg skalierten, stießen wir auf erhebliche Herausforderungen. Der Prozess war arbeitsintensiv, kostete das Team Wochen an Arbeit und Dutzende von Stunden, lieferte jedoch nicht den erwarteten Mehrwert bei der Operationalisierung. Wir stellten außerdem fest, dass der allgemeinen Kategorisierung von Bedrohungsakteuren und Erstzugriffsvektoren die für die Operationalisierung erforderliche Tiefe fehlte. Was fehlte, war eine feinere Granularität, wie Taktiken, Techniken und Verfahren (Tactics, Techniques, and Procedures, TTPs) und die zugehörige MITRE-ATT&CK-Kategorisierung. Da wir diese Lücke erkannten, verlagerten wir unseren Fokus auf Aspekte, die substanziellere Inputs für die Operationalisierung von PIRs lieferten.
Dies ist ein fünfstufiger Prozess: Schritt 1, Identifizierung wichtiger organisatorischer Elemente aus strategischen Dokumenten; Schritt 2, Abbildung dieser Elemente auf unterstützende Assets; Schritt 3, Verknüpfung von Elementen mit Arten gegnerischer Operationen mithilfe einer eigenen Klassifizierung; Schritt 4, Bewertung von Risiken mithilfe einer Wahrscheinlichkeits-/Auswirkungsmatrix, um die Attraktivität von Elementen für Angreifer zu bestimmen; und schließlich Schritt 5, Anpassung von PIRs zu umsetzbaren Intelligence-Anforderungen.
Der erste Schritt besteht darin, die Kernelemente Ihrer Organisation zu identifizieren. Diese Elemente stehen nicht in direktem Zusammenhang mit der Informationssicherheit, sind aber entscheidend für die Definition der Identität Ihrer Organisation. Sie werden aus übergeordneten strategischen Dokumenten abgeleitet, wie Jahresberichten, Geschäftsstrategien, der Kommunikation der Führungsebene und sogar dem 'Über uns'-Abschnitt Ihrer Website. Diese Dokumente enthalten Schlüsselwörter, Themen oder kurze Sätze, die Strategie, Mission und Vision Ihrer Organisation zusammenfassen.
Fragen, die Ihnen helfen können, die ELEMENTE Ihrer Organisation zu definieren:
Diese Elemente sollten das Wesen Ihrer Organisation beschreiben, einschließlich sowohl offensichtlicher als auch subtiler Aspekte. Sie definieren, was Ihre Organisation einzigartig macht, warum Kunden Ihre Produkte oder Dienstleistungen wählen und was Sie von Wettbewerbern unterscheidet. Dies umfasst auch wertvolle Daten wie proprietäre Informationen, Forschung und Entwicklung, Partnerbeziehungen und sensible Unternehmensinformationen.
Beispiele für die Elemente eines fiktiven Elektrofahrzeugherstellers Stellar Electric1:
Unter-Schritt: FUNKTION Mit diesen Elementen ist ein Unter-Schritt namens 'Funktion' verbunden. Er führt die Elemente auf die Informationssicherheit zurück, indem geklärt wird, was aus Sicht der Informationssicherheit geschützt werden muss. Wenn ein Element beispielsweise 'begrenzte Batterieproduktion' ist, könnte seine Funktion darin bestehen, die kontinuierliche Batterieproduktion sicherzustellen. Dieser Kontext hilft, das Element aus einer Informationssicherheitsperspektive zu verstehen, und leitet die anschließende Risikobewertungsübung an.
Ausgabe: Blatt mit den ELEMENTEN und der FUNKTION der ELEMENTE Ihrer Organisation
Sobald Sie Ihre organisatorischen Elemente definiert haben, besteht der nächste Schritt darin, die unterstützende Technologie, Daten oder Informationen auf diese Elemente abzubilden. Dieser Schritt kann je nach Ihrem Ansatz auf hoher Ebene oder detailliert erfolgen. Wenn Ihr Element beispielsweise die Betriebstechnologie ist, die die Batterieproduktion unterstützt, könnte das wichtigste Asset die Betriebstechnologie und die industriellen Steuerungssysteme (Industrial Control Systems) sein, die die Produktion am Laufen halten. Bei proprietären Technologien könnte das kritische Asset aus den Dokumenten bestehen, die proprietäre Informationen enthalten. In diesem Schritt geht es darum, die abstrakten Elemente Ihrer Organisation mit greifbaren Assets zu verknüpfen. Es ist eine entscheidende Brücke zwischen dem theoretischen Verständnis Ihrer Organisation und den praktischen Aspekten ihres Schutzes. Bei der Entwicklung von PIRs bei Red Hat hielten wir dies auf hoher Ebene und vermieden übermäßig spezifische Details aus Configuration-Management-Datenbanken oder ähnlichen Dokumentationen, die für diese Übung überwältigend und zu detailliert sein können.
Diese beiden Schritte bilden die Grundlage eines robusten CTI-Prozesses, der das Wesen Ihrer Organisation mit ihren Sicherheitsanforderungen in Einklang bringt und die Bühne für die Abbildung gegnerischer Bedrohungsoperationen und die Risikobewertung in den nächsten Schritten bereitet.
Ausgabe: Spalte „Unterstützende ASSETS“ im Blatt, das die ELEMENTE Ihrer Organisation auflistet
Dieser Schritt beinhaltet die Verbindung der zuvor identifizierten organisatorischen Elemente mit bestimmten Arten gegnerischer Operationen. Wir stellten fest, dass bestehende Klassifizierungen von Cyberangriffen nicht ganz unseren Anforderungen entsprachen, was uns dazu veranlasste, unsere eigene Klassifizierung zu entwickeln. Diese Klassifizierung konzentriert sich auf die Auswirkungen von Cyberangriffen auf Geschäftsabläufe sowie auf die Anwendbarkeit der in der Klassifizierung verwendeten Begriffe in Threat-Intelligence-Plattformen (TIPs), was für die Operationalisierung entscheidend ist. So verwenden wir beispielsweise den relativ vagen Begriff „Ransomware“ anstelle präziserer Varianten, weil dies ein Begriff ist, der in TIPs mit größerer Wahrscheinlichkeit Suchergebnisse liefert. Zu den Arten von Operationen in unserer Klassifizierung gehören Ransomware, Spionage, Finanzbetrug, Denial of Service und „nachgelagerte“ Lieferkettenangriffe, bei denen Ihre Organisation das Ziel ist und nicht die Lieferkette als Erstzugriffsvektor dient.
Falls diese Klassifizierung nicht Ihren Anforderungen entspricht, können vorhandene Frameworks wie MITRE ATT&CK, STRIDE, das VERIS-Framework, CAPEC oder die Taxonomien von ENISA und FIRST genutzt werden. Alternativ können Angriffe anhand ihrer Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit kategorisiert werden.
Ausgabe: Arten gegnerischer Operationen, verknüpft mit den ELEMENTEN Ihrer Organisation
Der vierte Schritt beinhaltet eine Risikobewertungsübung mithilfe einer Wahrscheinlichkeits-/Auswirkungsmatrix. Dieser Schritt zielt darauf ab, eine bestimmte Denkweise in Bezug auf die Risikobewertung zu fördern. Wir bezeichnen 'Wahrscheinlichkeit' als 'Attraktivität', insbesondere bei der Kommunikation mit Nicht-InfoSec-Personal, da dies das Verständnis der Übung fördert. Der Fokus liegt daher darauf, die Attraktivität eines Elements oder Assets für Angreifer sowie die potenziellen Folgen einer Kompromittierung zu bestimmen.
Ausgabe: Bewertete und eingestufte ELEMENTE, FUNKTIONEN, ASSETS und Arten gegnerischer Operationen
Am Ende der Risikobewertungsübung verfügen Sie über eine Rangliste der Top-Fünf- oder Top-Zehn-Elemente - je nachdem, wie viele PIRs Sie anstreben - zusammen mit den zugeordneten Arten gegnerischer Operationen. Dieser letzte Schritt beinhaltet die Festlegung des Formats der endgültigen PIRs. Werden es kurze Aussagen, Intelligence-Fragen, Informationsanfragen oder etwas anderes sein? Wir haben uns bei Red Hat dafür entschieden, es unkompliziert zu halten und die eingestuften Elemente in ihrer ursprünglichen Form zu verwenden. Gelegentlich müssen Sie Ergebnisse möglicherweise in umsetzbarere Aussagen umformulieren. Beispielsweise könnte ein Element wie „In der EU ansässiges Unternehmen der Elektrobranche mit einem Umsatz von über 1 Milliarde EUR“ in eine verständlichere PIR übersetzt werden, wie etwa „Bedrohungen für STELLAR auf der Grundlage von Umsatz, Geografie, Branche und Marktposition“. Dieser umfassende Prozess stellt sicher, dass PIRs nicht nur auf die spezifischen Bedürfnisse und Merkmale Ihrer Organisation zugeschnitten sind, sondern auch im Kontext Ihrer Sicherheitslage umsetzbar und relevant sind.
Ausgabe: PIRs
Wenn Sie Objektivität sicherstellen und Verzerrungen durch einzelne Analysten oder einzelne Teams begrenzen möchten, werden Sie die Übung vorzugsweise in größerem Maßstab durchführen. Idealerweise sollten Sie mehrere CTI-Stakeholder in das Mapping (SCHRITT 3) und die Risikobewertungsübung (SCHRITT 4) einbeziehen, einschließlich Befragter mit guten Kenntnissen der geschäftlichen Seite Ihrer Organisation. Das Blatt für die PIR-Entwicklung ist für einen einzelnen Befragten ausgelegt. Bei mehreren Befragten ist es daher erforderlich, Median- oder Durchschnittswerte zu berechnen und die PIRs manuell einzustufen. Keiner der Gegenstände der Risikobewertungsübungen, wie die Strategie Ihrer Organisation, die Bedrohungsakteure oder die Erstzugriffsvektoren, ist unveränderlich. Die regelmäßige Überprüfung der PIRs ist ein notwendiger Teil des Prozesses. Andererseits sollten Ihre PIRs auf hoher Ebene - obwohl die Bedrohungsumgebung äußerst dynamisch und sich ständig verändernd ist - relativ stabil bleiben, es sei denn, Ihre Organisation durchläuft einen größeren Übergang.
Die ELEMENTE zu definieren und die richtige Frage zu stellen, die von mehreren Stakeholdern auf dieselbe Weise verstanden werden kann, ist nicht trivial. Es ist ziemlich schwierig, den perfekten PIRs-Prozess im ersten Jahr zu erreichen. Möglicherweise ziehen Sie es vor, den ersten Versuch als Testlauf zu betrachten und nur von einer ausgewählten Anzahl von Stakeholdern in Ihrer gesamten Organisation Input zu erbitten. Stellen Sie sicher, dass sie die Fragen und die Risikobewertungsübungen so verstehen, wie Sie es beabsichtigt haben, und versuchen Sie, so viel Feedback wie möglich zu sammeln. Nutzen Sie die gewonnenen Erkenntnisse bei der nächsten Iteration und beziehen Sie ein breiteres Spektrum an Personen aus Ihrer Organisation ein, um neue Perspektiven zu gewinnen und Verzerrungen zu vermeiden, die Ihr Team haben könnte. PIRs bieten Ihnen nicht nur ein Werkzeug für Ihr Cyber-Threat-Intelligence-Programm, sondern der Prozess ihrer Entwicklung bietet Ihnen und Ihrem Team auch eine großartige Lernmöglichkeit, Ihre Organisation zu erkunden, mit mehreren Teams in der gesamten Organisation zusammenzuarbeiten und die Relevanz eines breiten Spektrums von Bedrohungen für Ihre Angriffsfläche und Ihre Branche zu untersuchen.
Sie können eine Kopie erstellen und die Vorlage für den Red Hat PIRs-Prozess v1.1 anpassen.
Jahresbericht des Musterunternehmens Stellar Electric ↩
