Un renseignement qui reste dans un rapport n'apporte que peu de valeur. L'opérationnalisation est le travail consistant à injecter le renseignement finalisé dans les fonctions qui défendent réellement une organisation, de sorte que ce que les analystes apprennent sur les adversaires change la façon dont l'organisation détecte, répond, chasse et décide. L'intégration consiste à construire les connexions, les flux de travail et les boucles de rétroaction qui laissent le renseignement circuler en continu vers les opérations de sécurité, plutôt que par rapports ponctuels et occasionnels. Bien menée, elle boucle la boucle : les équipes opérationnelles consomment le renseignement, génèrent de nouvelles observations en agissant dessus et renvoient ces observations à la fonction de renseignement pour affiner le cycle suivant.
Les façons dont le renseignement est opérationnalisé et intégré, décrites dans ce domaine, comprennent les suivantes.
- L'ingénierie de détection : traduire les techniques et indicateurs adverses en logique de détection, signatures et analyses qui font remonter l'activité malveillante.
- La réponse à incident : donner aux intervenants du contexte sur l'acteur, l'outillage et les objectifs probables afin qu'ils cadrent et confinent une intrusion plus vite.
- La chasse aux menaces : utiliser le renseignement sur le comportement adverse pour former des hypothèses et rechercher de façon proactive l'activité qui a échappé aux contrôles existants.
- La décision au niveau du risque et de la direction : éclairer l'investissement, la priorisation et la stratégie par une vue fondée des menaces qui comptent le plus.
Références#
- MITRE ATT&CK, attack.mitre.org
- SANS, Intelligence Driven Incident Response