Le renseignement n'a de valeur que lorsqu'il atteint les personnes et les systèmes capables d'agir. La diffusion est la pratique consistant à conditionner le renseignement finalisé pour son public cible et à le livrer sous une forme utilisable, qu'il s'agisse d'une évaluation écrite pour la direction ou d'un flux lisible par machine destiné à une plateforme de détection. Le partage étend cela au-delà d'une seule organisation, permettant aux défenseurs d'échanger indicateurs et contexte afin que l'expérience d'une victime devienne l'alerte précoce d'une autre. Un partage efficace repose sur des formats communs, des relations de confiance et des règles de traitement claires qui indiquent aux destinataires jusqu'où un rapport donné peut être retransmis.
Les éléments de la diffusion et du partage décrits dans ce domaine comprennent les suivants.
- Les formats de rapport et les publics : adapter la structure, la longueur et le langage d'un produit au lecteur stratégique, opérationnel ou technique qui le consommera.
- Les standards de partage : STIX pour exprimer l'information sur les menaces sous une forme structurée et TAXII pour la transporter entre les systèmes.
- Les ISAC et communautés de confiance : les centres sectoriels de partage et d'analyse de l'information et d'autres groupes de confiance qui font circuler les données de menace entre leurs membres.
- Le protocole Traffic Light : un schéma d'étiquetage simple qui signale jusqu'où une information partagée peut être redistribuée.
Références#
- OASIS, spécifications STIX et TAXII
- FIRST, standard Traffic Light Protocol