Robert Freeman, Senior Director para América Latina de
FireEye, considera que los proveedores de seguridad están haciendo un gran
ruido sobre inteligencia de amenazas, bombardeando el mercado con un diluvio de
fuentes y paquetes que prometen dar sentido al panorama de las amenazas. Elegir
el correcto requiere de algo de su propia inteligencia.
Freeman
sugiere hacerse estas preguntas al momento de evaluar opciones:
- ¿Cuáles son todas estas fuentes?
- ¿Cuál puede darme el mayor valor en entender mis amenazas?
- ¿Cómo debería elegir entre las distintas fuentes de inteligencia de amenazas?
- ¿Cómo me aseguro de obtener la mejor cobertura para mis necesidades y maximizar mi retorno de inversión?
“Pero la primera y más importante pregunta es ¿qué
significa exactamente “inteligencia de amenazas”?”, plantea Freeman y prosigue:
“Se trata de la información que ha sido analizada para descubrir conocimientos
informativos. Inteligencia de amenazas procesable es una visión sobre la cual
usted puede actuar – permite la toma de decisiones informada que se traduce en
mejores resultados”.
Los expertos en seguridad dividen la inteligencia de
amenazas en cinco clases diferentes:
- Inteligencia interna. Es la inteligencia sobre los activos y comportamientos propios de su organización, basado en el análisis de las actividades de su organización.
- Inteligencia de Red. Esta es obtenida del análisis de tráfico de red en los límites de la red de su organización y en las redes que lo conectan con el mundo exterior.
- Inteligencia de borde. Es la comprensión de lo que diferentes hosts de Internet están haciendo en el borde de la red. Esto en información proviene de lo que gobiernos, ISPs, Telcoms y CDN tienen.
- Inteligencia de código abierto. Proviene de la gran cantidad de información disponible en los sitios web, blogs, feeds de Twitter, canales de chat y canales de noticias. Está disponible para todo el que quiera recoger y extraerlo para inteligencia útil. Numerosas empresas ofrecen inteligencia de código abierto, en su mayoría diferenciada por el número de fuentes, conocimientos de idiomas y soporte de la herramienta analítica.
- Inteligencia de código cerrado. Es la más difícil de adquirir – un grupo cerrado de usuarios compartiendo (por ejemplo, FS-ISAC), autentica sitios subterráneos y canales de chat, información obtenida por las operaciones de inteligencia y de aplicación de la ley, y la inteligencia humana. Una serie de compañías ofrecen algo de inteligencia de código cerrado, aunque la cobertura es a menudo específica a una amenaza o la geografía particular.
- Aprovechar la inteligencia interna como su fuente más directamente procesable.
- Aumentar esto con inteligencia de red que se relaciona con sus activos (como las puertas de enlace de la red y las redes externas).
- Utilice la inteligencia de código abierto que cubre sus activos, la marca, la geografía y el tipo de su negocio.
- Invierta en inteligencia de código cerrado sólo si tiene un perfil de riesgo que exige este nivel de conocimiento, o si una fuente es especial para su industria específica (por ejemplo, uno de los Centros de intercambio y de análisis de información, o ISACs, en los EE.UU.)
- Busque proveedores de inteligencia procesable pertinentes que le permitan tomar decisiones informadas sobre la postura y respuesta ante la amenaza.