Kasus penggunaan dan contoh Threat Intelligence

Contoh umum threat intelligence meliputi:

• Indikator penyusupan (IOC)
• Taktik, teknik, dan prosedur (TTP)
• Atribusi penyerang
• Informasi kerentanan
• Feed threat intelligence

Jika digunakan secara terpisah atau bersamaan, keduanya berfungsi sebagai pendekatan preventif dan proaktif untuk mengamankan sistem dan data sensitif.

IOC adalah artefak forensik yang menandakan potensi insiden keamanan di lingkungan Anda. Hal ini mencakup alamat IP berbahaya, hash file, nama domain, dan URL yang membantu Anda mendeteksi keberadaan penyerang di sistem Anda. Saat alat keamanan Anda mengidentifikasi IOC dari kampanye serangan terbaru, Anda dapat segera menyelidiki apakah indikator tersebut muncul di mana pun di lingkungan Anda.

TTP menggambarkan cara kerja pelaku ancaman dan metode yang mereka gunakan untuk mendapatkan akses, bergerak secara lateral, dan mencapai tujuan mereka. Memahami pola ini membantu Anda mengenali perilaku serangan meskipun IOC tertentu berubah. Jika Anda mengetahui bahwa kelompok ancaman tertentu biasanya menggunakan spearphishing untuk mendapatkan akses awal, Anda dapat mengonfigurasi aturan deteksi terkait perilaku ini.

Kecerdasan atribusi mengidentifikasi kelompok ancaman mana yang berada di balik serangan dan mengungkapkan target, motivasi, dan kemampuan mereka yang khas. Konteks ini membantu Anda menilai apakah organisasi Anda termasuk dalam cakupan penargetan kelompok tertentu atau tidak. Atribusi juga membantu Anda memahami tujuan penyerang—apakah mereka mencoba mencuri kekayaan intelektual, men-deploy ransomware, atau mempertahankan akses persisten.

Kecerdasan kerentanan memberikan detail tentang kelemahan software yang dapat dieksploitasi oleh penyerang. Hal ini mencakup data CVE, ketersediaan eksploitasi, dan informasi tentang kerentanan mana yang menjadi target aktif pelaku ancaman di dunia nyata. Kecerdasan kerentanan membantu Anda memisahkan risiko teoretis dari ancaman aktif dengan menunjukkan kelemahan mana yang digunakan penyerang dalam kampanye.

Feed memberikan aliran data ancaman berkelanjutan dari berbagai sumber, termasuk vendor keamanan, lembaga pemerintah, dan komunitas berbagi informasi. Feed ini menjaga pertahanan Anda tetap diperbarui terhadap ancaman yang muncul tanpa memerlukan riset manual. Fokus feed bervariasi: beberapa feed memberikan cakupan luas untuk berbagai jenis ancaman, sementara yang lain mengkhususkan diri pada area tertentu seperti domain phishing atau infrastruktur ransomware.

Mengambil pendekatan yang berpusat pada kasus penggunaan membuat threat intelligence dapat ditindaklanjuti, bukan abstrak. Saat Anda memetakan data ancaman ke fungsi keamanan tertentu seperti respons insiden dan manajemen kerentanan, Anda dapat mengukur dampaknya terhadap hasil keamanan Anda dan membuat keputusan yang lebih baik tentang tempat menginvestasikan sumber daya.

Threat intelligence memungkinkan Anda mengidentifikasi dan memblokir ancaman sebelum mencapai lingkungan Anda. Dengan memahami infrastruktur dan metode penyerang sebelumnya, Anda dapat mengonfigurasi pertahanan untuk menghentikan serangan di perimeter. Misalnya, saat kecerdasan mengungkapkan bahwa kelompok ancaman mendaftarkan domain mengikuti pola penamaan tertentu, Anda dapat memblokir pola tersebut dalam pemfilteran DNS.

Saat insiden terjadi, threat intelligence memberikan konteks tentang hal yang Anda hadapi. Anda dapat dengan cepat menentukan cakupan serangan, mengidentifikasi indikator terkait, dan memahami tujuan penyerang untuk menahan ancaman lebih cepat. Misalnya, jika Anda mendeteksi eksekusi PowerShell yang mencurigakan di sebuah endpoint, kecerdasan tentang serangan serupa akan memberi tahu Anda apa yang harus dicari selanjutnya, apakah penyerang biasanya mencoba pergerakan lateral, pemindahan data yang tidak sah, atau pencurian kredensial.

Kecerdasan memandu Anda menelusuri ancaman tersembunyi yang sudah ada di lingkungan Anda. Dengan berfokus pada TTP dan IOC yang diketahui dan relevan dengan industri, Anda dapat mengungkap serangan canggih yang menghindari deteksi otomatis. Misalnya, jika kelompok ancaman yang menargetkan sektor Anda biasanya menggunakan teknik living-off-the-land dengan alat administratif, Anda dapat mencari penggunaan yang tidak wajar dari alat tersebut.

Praktik Threat Intelligence di Google Security Operations tidak hanya menyimpan indikator penyusupan dan perilaku penyerang. Gemini menggunakan pemahaman Google tentang lanskap ancaman, termasuk threat intelligence yang muncul dari Mandiant, dan menerapkan pengetahuan ini ke lingkungan spesifik Anda. Sistem secara otomatis mengaitkan data ancaman dengan telemetri keamanan Anda untuk mengidentifikasi ancaman yang relevan tanpa analisis manual. Anda mendapatkan hasil yang diprioritaskan dan dapat ditindaklanjuti yang menghubungkan peristiwa, pemberitahuan, aset, dan pengguna ke dalam cerita yang koheren sehingga Anda dapat mengantisipasi ancaman terbaru.

Pendekatan berbasis persyaratan mengatur cara Anda mengumpulkan dan menggunakan threat intelligence berdasarkan kebutuhan aktual organisasi Anda. Proses ini secara eksplisit memenuhi kebutuhan yang ditentukan dari semua pemangku kepentingan yang relevan di seluruh siklus proses threat intelligence. Layanan ini dimulai dengan profil ancaman yang memberikan konteks tentang ancaman paling relevan di sektor, industri, dan region Anda. Analisis pemangku kepentingan menghasilkan persyaratan kecerdasan dan kasus penggunaan, yang menginformasikan perencanaan pengumpulan dan pengembangan aset pengumpulan Anda. Elemen-elemen ini digabungkan untuk membentuk lini layanan yang menghasilkan output yang memenuhi persyaratan pemangku kepentingan, format, dan frekuensi pelaporan.

Pendekatan ini mencakup beberapa komponen yang bekerja sama. Perencanaan dan arahan menentukan kecerdasan apa yang Anda butuhkan beserta alasannya. Pengumpulan mengumpulkan data mentah dari sumber yang relevan. Pemrosesan mengonversi data tersebut menjadi format terstruktur. Analisis mengubah data yang diproses menjadi insight yang dapat ditindaklanjuti. Penyebaran memberikan insight tersebut kepada para pengambil keputusan dan tim keamanan yang dapat menindaklanjutinya. Anda dapat menerapkan framework ini di berbagai kasus penggunaan, mulai dari manajemen kerentanan, perburuan ancaman, hingga perencanaan arsitektur keamanan.

Threat intelligence menjadi paling berharga saat Anda menerapkannya ke lingkungan dan tantangan keamanan spesifik Anda. Google Threat Intelligence menggabungkan insight dari pemantauan lebih dari 500 pelaku ancaman dengan kemampuan deteksi otomatis, sehingga memberi Anda kecerdasan yang diprioritaskan dan relevan dengan industri dan region Anda. Dengan mengintegrasikan kemampuan ini ke dalam operasi keamanan, Anda dapat beralih dari mengumpulkan data ancaman ke mencegah serangan.

Pelajari solusi Threat Intelligence kami