Casos de uso e exemplos de inteligência contra ameaças

Exemplos comuns de inteligência contra ameaças incluem:

• Indicadores de comprometimento (IOCs)
• Táticas, técnicas e procedimentos (TTPs)
• Atribuição do invasor
• Informações sobre vulnerabilidades
• Feeds de inteligência contra ameaças

Quando usados separadamente ou em conjunto, eles servem como uma abordagem preventiva e proativa para proteger sistemas e dados sensíveis.

IOCs são artefatos forenses que indicam possíveis incidentes de segurança no seu ambiente. Eles incluem endereços IP mal-intencionados, hashes de arquivos, nomes de domínio e URLs que ajudam a detectar quando invasores estão presentes nos seus sistemas. Quando suas ferramentas de segurança identificam um IOC de uma campanha de ataque recente, você pode investigar imediatamente se esse indicador aparece em algum lugar no seu ambiente.

As TTPs descrevem como os agentes de ameaças operam e os métodos que usam para conseguir acesso, se mover lateralmente e alcançar os objetivos. Entender esses padrões ajuda a reconhecer comportamentos de ataque mesmo quando IOCs específicos mudam. Quando você sabe que um grupo de ameaças específico normalmente usa spearphishing para obter acesso inicial, é possível configurar regras de detecção em torno desses comportamentos.

A inteligência de atribuição identifica quais grupos de ameaças estão por trás dos ataques e revela os alvos, as motivações e as capacidades típicas deles. Esse contexto ajuda você a avaliar se sua organização se enquadra no escopo de segmentação de um grupo específico. A atribuição também ajuda a entender os objetivos dos invasores, seja roubar propriedade intelectual, implantar ransomware ou manter acesso persistente.

A inteligência contra vulnerabilidades fornece detalhes sobre as fraquezas de software que os invasores podem explorar. Isso inclui dados de CVE, disponibilidade de exploits e informações sobre quais vulnerabilidades os agentes de ameaças visam ativamente na natureza. A inteligência contra vulnerabilidades ajuda a separar riscos teóricos de ameaças ativas mostrando quais falhas os invasores usam em campanhas.

Os feeds fornecem fluxos contínuos de dados de ameaças de várias fontes, incluindo fornecedores de segurança, agências governamentais e comunidades de compartilhamento de informações. Esses feeds mantêm suas defesas atualizadas contra ameaças emergentes sem exigir pesquisa manual. Os feeds variam em foco: alguns oferecem ampla cobertura de muitos tipos de ameaças, enquanto outros se especializam em áreas específicas, como domínios de phishing ou infraestrutura de ransomware.

Adotar uma abordagem centrada em casos de uso torna a inteligência contra ameaças prática em vez de abstrata. Ao mapear dados de ameaças para funções de segurança específicas, como resposta a incidentes e gestão de vulnerabilidades, você pode medir o impacto nos resultados de segurança e tomar decisões melhores sobre onde investir recursos.

A inteligência contra ameaças permite identificar e bloquear ameaças antes que elas cheguem ao seu ambiente. Ao entender a infraestrutura e os métodos dos invasores com antecedência, você pode configurar suas defesas para impedir ataques no perímetro. Por exemplo, quando a inteligência revela que um grupo de ameaças está registrando domínios seguindo padrões de nomenclatura específicos, você pode bloquear esses padrões na filtragem de DNS.

Quando ocorrem incidentes, a inteligência contra ameaças fornece contexto sobre o que você está enfrentando. Você pode determinar rapidamente o escopo do ataque, identificar indicadores relacionados e entender os objetivos do invasor para conter ameaças com mais rapidez. Por exemplo, se você detectar uma execução suspeita do PowerShell em um endpoint, a inteligência sobre ataques semelhantes vai indicar o que procurar em seguida: se um invasor normalmente tenta fazer movimentação lateral, exfiltração de dados ou roubo de credenciais.

A inteligência orienta sua busca por ameaças ocultas que já estão presentes no seu ambiente. Ao se concentrar em TTPs e IOCs conhecidos e relevantes para seu setor, você pode descobrir ataques sofisticados que evadem a detecção automatizada. Por exemplo, se grupos de ameaças que visam seu setor costumam usar técnicas de "living-off-the-land" com ferramentas administrativas, você pode procurar usos anômalos dessas ferramentas.

A inteligência contra ameaças aplicada no Google Security Operations vai além do armazenamento de indicadores de comprometimento e comportamentos de adversários. Ela usa o conhecimento do Google sobre o cenário de ameaças, incluindo a inteligência contra ameaças emergentes da Mandiant, e aplica esse conhecimento ao seu ambiente específico. O sistema correlaciona automaticamente os dados de ameaças com sua telemetria de segurança para identificar ameaças relevantes sem análise manual. Você recebe resultados priorizados e úteis que conectam eventos, alertas, recursos e usuários em uma história coerente para que você possa ficar à frente das ameaças mais recentes.

A abordagem orientada por requisitos estrutura a coleta e o uso de inteligência contra ameaças com base nas necessidades reais da organização. Esse processo atende explicitamente às necessidades especificadas de todas as partes interessadas relevantes durante o ciclo de vida da inteligência contra ameaças. Ele começa com um perfil de ameaças que fornece contexto sobre as ameaças mais relevantes no seu setor, indústria e região. A análise das partes interessadas produz requisitos de inteligência e casos de uso, que informam seu planejamento de coleta e desenvolvimento de ativos de coleta. Esses elementos se combinam para formar linhas de serviço que geram saídas que atendem aos requisitos, formatos e frequência de relatórios das partes interessadas.

Essa abordagem inclui vários componentes que trabalham juntos. O planejamento e a direção estabelecem qual inteligência você precisa e por quê. A coleta reúne dados brutos de fontes relevantes. O processamento converte esses dados em formatos estruturados. A análise transforma dados processados em insights úteis. A disseminação entrega esses insights para as equipes de segurança e os responsáveis pelas decisões, que podem agir com base neles. Você pode aplicar esse framework em vários casos de uso, desde a gestão de vulnerabilidades até a detecção de ameaças e o planejamento da arquitetura de segurança.

A inteligência contra ameaças é mais valiosa quando você a aplica ao seu ambiente específico e aos desafios de segurança. O Google Threat Intelligence combina insights do monitoramento de mais de 500 agentes de ameaças com recursos de detecção automatizada, oferecendo inteligência priorizada relevante para seu setor e região. Ao integrar esses recursos às suas operações de segurança, você pode passar da coleta de dados de ameaças para a prevenção de ataques.

Conheça nossas soluções de inteligência contra ameaças