Tout renseignement ne sert pas le même public ni la même décision. Les niveaux de renseignement décrivent comment les produits de renseignement sur les cybermenaces varient en portée, en horizon temporel et en détail selon qui les utilisera. Un membre du conseil qui évalue un investissement en sécurité a besoin d'un produit très différent de celui d'un analyste qui ajuste une règle de détection, même lorsque les deux remontent à la même activité sous-jacente. Raisonner en termes de niveaux aide un programme à adapter chaque constat au bon consommateur, à caler son reporting à une altitude utile et à éviter de noyer les dirigeants sous le détail technique ou de priver les intervenants des spécificités dont ils ont besoin.
Les niveaux de renseignement décrits dans ce domaine comprennent les suivants.
- Le renseignement stratégique : une analyse de haut niveau des tendances de la menace, des motivations des acteurs et du risque, rédigée pour les dirigeants et les membres du conseil qui fixent le cap et allouent les ressources.
- Le renseignement opérationnel : un éclairage sur des campagnes précises, le comportement des acteurs et l'activité future probable, consommé par les responsables de la sécurité et les planificateurs de la réponse à incident.
- Le renseignement tactique : le détail des tactiques, techniques et procédures adverses, utilisé par les défenseurs pour façonner la détection, la chasse et la réponse.
- Le renseignement technique : des indicateurs granulaires, souvent éphémères, tels que les adresses, les empreintes et les domaines, consommés par les analystes et l'outillage automatisé.
Références#
- MITRE ATT&CK, attack.mitre.org
- SANS, The Sliding Scale of Cyber Security