Le renseignement d'origine électromagnétique (SIGINT) est le renseignement tiré des signaux : trafic réseau, communications et télémétrie que les systèmes émettent lorsqu'ils fonctionnent. Dans un contexte de renseignement sur les cybermenaces, le SIGINT est interprété au sens large pour inclure l'analyse des enregistrements de flux, des métadonnées de protocole, des sorties de capteurs et d'autres signaux générés par les machines qui révèlent comment les systèmes et les adversaires se comportent. Il décrit l'activité à travers les traces que laisse le mouvement sur les réseaux.
En tant que discipline de collecte, le SIGINT se définit par le type de source sur lequel il s'appuie plutôt que par la question à laquelle il répond. Les analystes l'utilisent pour observer des schémas dans le trafic, détecter des anomalies et corroborer des indicateurs vus ailleurs. Dans la plupart des environnements d'entreprise, cela signifie travailler avec la télémétrie qu'une organisation est légalement en droit de collecter dans son propre environnement, où les données de réseau et de postes de travail fournissent un enregistrement détaillé de l'activité. L'interception des communications de tiers est fortement encadrée par la loi et relève des organismes gouvernementaux autorisés.
Le SIGINT est important parce que les signaux sont continus, opportuns et difficiles à supprimer entièrement pour les adversaires. Il soutient la détection, la corrélation et la connaissance de la situation. Ses entrées typiques comprennent les données de flux réseau, les métadonnées de protocole et la télémétrie de sécurité. Ses limites comprennent le chiffrement, le volume élevé de données et les frontières légales et de confidentialité qui régissent la collecte, lesquelles façonnent toutes ce que les analystes peuvent observer et la manière dont ils l'interprètent.
Références#
- Ressources SANS sur la surveillance réseau et le Cyber Threat Intelligence
- Documentation de MITRE ATT&CK sur les sources de données et la détection