redhat-infosec/priority-intelligence-requirements-devQuesta guida descrive un processo per sviluppare i Requisiti Informativi Prioritari della Cyber Threat Intelligence.
Nell'ambiente in rapida evoluzione della cyber threat intelligence (CTI), la formulazione dei Requisiti di Intelligence Prioritari (PIR) rappresenta una componente cruciale del tuo programma di CTI e della fase di pianificazione e direzione del ciclo di intelligence. In qualità di analista di cyber threat intelligence, probabilmente conosci la sfida di bilanciare risorse limitate all'interno di piccoli team di CTI contro il compito colossale di fornire informazioni pertinenti e utilizzabili a decisori e stakeholder. Questo dilemma spesso lascia i team a confrontarsi con una scelta: dovrebbero adottare una posizione reattiva, rispondendo alle minacce emergenti man mano che si presentano, oppure dovrebbero orientarsi verso priorità proattive a lungo termine. L'integrazione dei PIR come principio guida aiuterà il tuo programma a perseguire priorità strategiche proattive con maggiore sicurezza, senza abbandonare le capacità reattive. Questo approccio non solo migliora le funzioni tradizionali come ricerca, indagine, analisi e reporting, ma eleva anche pratiche avanzate come la difesa informata dalle minacce (threat-informed defense), inclusi threat hunting e ingegneria della detection. In questo articolo del blog, approfondiamo questo processo fondamentale mentre sveliamo il significato dei PIR nel plasmare una funzione di CTI più efficace e strategica, consentendo così al tuo team di avere un impatto più sostanziale all'interno della tua organizzazione.
Il processo Red Hat originale era strutturato attorno a due distinti esercizi di valutazione del rischio, uno incentrato sui fattori interni e l'altro su quelli esterni. Questi esercizi venivano poi combinati in un esercizio di mappatura, dal quale derivavamo un insieme coerente di PIR. L'obiettivo era ambizioso: affrontare il 'Cosa', il 'Chi' e il 'Come' del panorama delle minacce. Il 'Cosa' si riferiva ai dati e all'infrastruttura della nostra organizzazione; il 'Chi' comprendeva descrizioni ad alto livello degli attori delle minacce come attori statali, criminalità organizzata o hacktivisti; e il 'Come' includeva in parte i tipi di vettori di accesso iniziale.
Sulla carta, la categorizzazione degli attori delle minacce (TA) e dei vettori di accesso iniziale (IAV) si presentava bene, offrendo una storia apparentemente completa quando si presentavano i PIR agli stakeholder. Tuttavia, man mano che ripetevamo questo esercizio su larga scala in diverse organizzazioni, abbiamo incontrato sfide significative. Il processo era molto laborioso, aggiungendo settimane di lavoro e decine di ore per il team, ma non produceva il valore atteso in termini di operatività. Abbiamo anche scoperto che la categorizzazione generale degli attori delle minacce e dei vettori di accesso iniziale mancava della profondità necessaria per l'operatività. Ciò che mancava era una granularità più fine, come Tattiche, Tecniche e Procedure (TTP) e la relativa categorizzazione MITRE ATT&CK. Riconoscendo questa lacuna, abbiamo spostato la nostra attenzione su aspetti che fornivano input più sostanziali per l'operatività dei PIR.
Questo è un processo in cinque fasi: Fase 1, identificare gli elementi organizzativi chiave dai documenti strategici; Fase 2, mappare questi elementi alle risorse di supporto; Fase 3, collegare gli elementi con i tipi di operazioni avversarie utilizzando una classificazione personalizzata; Fase 4, valutare i rischi utilizzando una matrice probabilità/impatto per determinare l'attrattività degli elementi per gli attaccanti; e infine, Fase 5, personalizzare i PIR in requisiti di intelligence utilizzabili.
La fase iniziale prevede l'identificazione degli elementi chiave della tua organizzazione. Questi elementi non sono direttamente correlati alla sicurezza delle informazioni, ma sono cruciali per definire l'identità della tua organizzazione. Derivano da documenti strategici di alto livello, come relazioni annuali, strategie aziendali, comunicazioni della dirigenza senior e persino la sezione 'Chi siamo' del tuo sito web. Questi documenti contengono parole chiave, argomenti o brevi frasi che racchiudono la strategia, la missione e la visione della tua organizzazione.
Domande che possono aiutarti a definire gli ELEMENTI della tua organizzazione:
Questi elementi dovrebbero descrivere l'essenza della tua organizzazione, inclusi sia gli aspetti evidenti che quelli sottili. Definiscono ciò che rende unica la tua organizzazione, perché i clienti scelgono i tuoi prodotti o servizi e cosa ti distingue dai concorrenti. Questo include anche dati preziosi come informazioni proprietarie, R&S, relazioni con i partner e informazioni aziendali sensibili.
Esempi di elementi per un fittizio produttore di veicoli elettrici, Stellar Electric1:
SOTTO-FASE: FUNZIONE Legata a questi elementi c'è una sotto-fase chiamata 'Funzione'. Essa collega gli elementi alla sicurezza delle informazioni chiarendo cosa deve essere protetto dal punto di vista della sicurezza delle informazioni. Ad esempio, se un elemento è 'capacità di produzione di batterie limitata', la sua funzione potrebbe essere garantire la continuità della produzione di batterie. Questo contesto aiuta a comprendere l'elemento da una prospettiva di sicurezza delle informazioni e guida il successivo esercizio di valutazione del rischio.
Output: Foglio che elenca gli ELEMENTI e la FUNZIONE degli ELEMENTI della tua organizzazione
Una volta definiti gli elementi organizzativi, il passo successivo è mappare la tecnologia, i dati o le informazioni di supporto su questi elementi. Questa fase può essere ad alto livello o dettagliata, a seconda del tuo approccio. Ad esempio, se il tuo elemento è la tecnologia operativa a supporto della produzione di batterie, la risorsa chiave potrebbe essere la Tecnologia Operativa (Operational Technology) e i Sistemi di Controllo Industriale (Industrial Control Systems) che mantengono attiva la produzione. Per le tecnologie proprietarie, la risorsa critica potrebbe essere rappresentata dai documenti che contengono informazioni proprietarie. Questa fase riguarda il collegamento degli elementi astratti della tua organizzazione alle risorse tangibili. È un ponte cruciale tra la comprensione teorica della tua organizzazione e gli aspetti pratici della sua protezione. Durante lo sviluppo dei PIR in Red Hat, abbiamo mantenuto il tutto ad alto livello, evitando dettagli eccessivamente specifici provenienti da Database di Configuration Management o documentazione simile, che possono risultare travolgenti e troppo dettagliati per questo esercizio.
Questi due passaggi costituiscono le fondamenta di un processo di CTI robusto, allineando l'essenza della tua organizzazione con le sue esigenze di sicurezza e preparando il terreno per la mappatura delle operazioni di minaccia avversarie e la valutazione del rischio nei passaggi successivi.
Output: Colonna “RISORSE di supporto” nel foglio che elenca gli ELEMENTI della tua organizzazione
Questa fase prevede il collegamento degli elementi organizzativi precedentemente identificati con specifici tipi di operazioni avversarie. Abbiamo scoperto che le classificazioni esistenti degli attacchi informatici non si adattavano del tutto alle nostre esigenze, il che ci ha portato a sviluppare una nostra classificazione. Questa classificazione si concentra sull'impatto degli attacchi informatici sulle operazioni aziendali e anche sull'applicabilità dei termini utilizzati nella classificazione nelle piattaforme di threat intelligence (TIP), aspetto vitale per l'operatività. Quindi, ad esempio, usiamo il termine relativamente vago “ransomware” invece di varianti più precise, perché è un termine che con maggiore probabilità fornirà risultati di ricerca nelle TIP. I tipi di operazioni nella nostra classificazione includono ransomware, spionaggio, frode finanziaria, denial of service e attacchi “downstream” alla supply chain, in cui la tua organizzazione è il bersaglio, piuttosto che la supply chain come vettore di accesso iniziale.
Se questa classificazione non soddisfa le tue esigenze, puoi utilizzare framework esistenti come MITRE ATT&CK, STRIDE, VERIS Framework, CAPEC o le tassonomie ENISA e FIRST. In alternativa, gli attacchi possono essere categorizzati in base al loro impatto su riservatezza, integrità e disponibilità.
Output: Tipi di operazioni avversarie collegati agli ELEMENTI della tua organizzazione
La quarta fase prevede un esercizio di valutazione del rischio utilizzando una matrice probabilità/impatto. Questa fase mira a promuovere una mentalità specifica nei confronti della valutazione del rischio. Ci riferiamo alla 'probabilità' come 'attrattività', soprattutto quando si comunica con personale non InfoSec, poiché aiuta a comprendere l'esercizio. L'attenzione è quindi rivolta a determinare l'attrattività di un elemento o di una risorsa per gli attaccanti e le potenziali conseguenze di una compromissione.
Output: ELEMENTI, FUNZIONI, RISORSE e Tipi di Operazioni Avversarie valutati e classificati
Alla fine dell'esercizio di valutazione del rischio, avrai un elenco classificato dei primi cinque o primi dieci elementi - a seconda della tua propensione per il numero di PIR - insieme ai tipi di operazioni avversarie mappati. Quest'ultima fase prevede la determinazione del formato dei PIR finali. Saranno brevi dichiarazioni, domande di intelligence, richieste di informazioni o qualcos'altro? In Red Hat abbiamo optato per mantenere le cose semplici e utilizzare gli elementi classificati nella loro forma originale. Occasionalmente, potresti aver bisogno di riformulare i risultati in dichiarazioni più utilizzabili. Ad esempio, un elemento come “Azienda del settore elettrico con sede nell'UE e ricavi superiori a 1 miliardo di EUR” potrebbe essere tradotto in un PIR più comprensibile, come “Minacce a STELLAR basate su ricavi, geografia, settore e posizione di mercato”. Questo processo completo garantisce che i PIR non siano solo adattati alle esigenze e alle caratteristiche specifiche della tua organizzazione, ma anche utilizzabili e pertinenti nel contesto della tua postura di sicurezza.
Output: PIR
Se vuoi garantire l'obiettività e limitare i pregiudizi dei singoli analisti o dei singoli team, preferirai condurre l'esercizio su una scala più ampia. Idealmente, dovresti coinvolgere più stakeholder della CTI, inclusi partecipanti con una buona conoscenza del lato business della tua organizzazione, nella mappatura (FASE 3) e nell'esercizio di valutazione del rischio (FASE 4). Il foglio per lo sviluppo dei PIR è progettato per un singolo partecipante, quindi in caso di più partecipanti è necessario calcolare i punteggi mediani o medi e classificare manualmente i PIR.
Nessuno degli oggetti degli esercizi di valutazione del rischio, come la strategia della tua organizzazione, gli attori delle minacce o i vettori di accesso iniziale, è immutabile. La revisione periodica dei PIR è una parte necessaria del processo. D'altra parte, anche se l'ambiente delle minacce è altamente dinamico e in continuo cambiamento, i tuoi PIR di alto livello dovrebbero essere relativamente stabili, a meno che la tua organizzazione non stia attraversando una transizione importante.
Definire gli ELEMENTI e porre la domanda giusta in modo che possa essere compresa allo stesso modo da più stakeholder non è banale. È piuttosto difficile ottenere un processo PIR perfetto già al primo anno. Potresti preferire considerare il primo tentativo come una prova e cercare input solo da un numero selezionato di stakeholder della tua organizzazione. Assicurati che comprendano le domande e gli esercizi di valutazione del rischio come intendevi tu e cerca di raccogliere il maggior numero possibile di feedback. Usa le lezioni apprese durante l'iterazione successiva e coinvolgi uno spettro più ampio di persone della tua organizzazione per ottenere nuove prospettive ed evitare i pregiudizi che il tuo team potrebbe avere. I PIR ti offriranno non solo uno strumento per il tuo programma di Cyber Threat Intelligence, ma il processo di sviluppo ti fornirà, a te e al tuo team, una grande opportunità di apprendimento per esplorare la tua organizzazione, coinvolgere più team al suo interno e indagare la rilevanza di un'ampia gamma di minacce per la tua superficie d'attacco e il tuo settore.
Puoi crearne una copia e personalizzare il modello del processo PIR Red Hat v1.1
Relazione annuale dell'azienda fittizia Stellar Electric ↩
