תמונת איום לדירקטוריון
מסמך שמסביר להנהלה מי עלול לתקוף ארגון כשלכם, למה, ומה זה אומר על תקציב ההגנה — בשפה עסקית ולא טכנית.
אסטרטגי · הנהלה · תקציבשירות CTI מונחה-אנליסט: הערכת איום ממוקדת לשאלה שהוגדרה, שמחברת מקורות גלויים, שיח בזירות עוינות ומידע טכני לתמונת סיכון מתועדפת. השירות אינו מחליף את פלטפורמת המודיעין שלכם — הוא מוסיף את שכבת הפרשנות שהיא אינה מספקת.
Cyber Threat Intelligence (CTI, מודיעין איומי סייבר) הוא איסוף, אימות וניתוח של מידע על גורמי איום ועל שיטות פעולתם, שמעובד לתובנה שמאפשרת החלטת הגנה. מה שמבדיל מודיעין ממידע הוא שלב הפרשנות: נתון גולמי הופך למודיעין רק כשמוסבר למי הוא רלוונטי, מה רמת הוודאות שלו, ומה צריך לעשות בעקבותיו. בתחום מקובל להבחין בין שלוש רמות, וכל אחת נצרכת על ידי קהל אחר בארגון.
מי עלול לתקוף ארגון כשלכם ולמה, אילו מגמות רלוונטיות לענף, ומה משמעות התמונה לתקציב, לסיכון ולרגולציה. ללא ז'רגון טכני.
התאמה גבוההמי השחקנים הרלוונטיים בפועל, מה המוטיבציה שלהם, באילו שיטות ונתיבים הם פועלים, ומה זה אומר על סדר העדיפויות שלכם.
התאמה גבוההאינדיקטורים טכניים, כתובות, חתימות וכללי זיהוי — לרוב בזרימה אוטומטית ומתמשכת מפלטפורמה או פיד.
משלים, לא מחליףהשירות מתמקד ברמה האסטרטגית והמבצעית — שם נדרשת קריאה אנושית של כוונה, שפה והקשר. ברמה הטקטית, פלטפורמה או פיד אוטומטי עושים את העבודה טוב יותר, והשירות משלים אותם ולא מתחרה בהם.
פלטפורמות מודיעין מצוינות בזיהוי דפוסים ידועים. הן חלשות בדיוק במקום שבו שחקן איום משקיע מאמץ כדי לא להיות מובן: בשפה, בסלנג, בסמלים ובהקשר התרבותי שבו הוא פועל. שם נדרש אנליסט אנושי שיודע לקרוא שיח.
הצהרה בפורום אינה בהכרח יכולת מבצעית, ויכולת אינה בהכרח כוונה. ההבחנה הזו קובעת אם מדובר ברעש או באיום, והיא דורשת קריאה של ההקשר סביב האמירה.
קהילות עוינות מפתחות אוצר מילים פנימי, קיצורים וסמלים שמשתנים תדיר. תרגום מכונה מפספס אותם, ולעיתים הופך אזהרה ממשית לטקסט חסר משמעות.
לא כל מי שמצהיר על גישה או על נתונים אכן מחזיק בהם. מוניטין בתוך הקהילה, היסטוריית פרסומים ותגובות אחרים הם אינדיקציה שכלי אוטומטי אינו שוקל.
ההבדל בין איום כללי לענף לבין עניין ממוקד בארגון מסוים נמצא בניסוח, בעיתוי ובהקשר — ולא במספר האזכורים.
עבודת הדוקטורט של ד"ר יען יעקב סופר באוניברסיטת בר-אילן עסקה בניתוח שיח של ארגוני טרור אסלאמיים בפלטפורמת טלגרם — מחקר שיטתי של זירה עוינת סגורה. לפרסומים ולמחקר
מסמך שמסביר להנהלה מי עלול לתקוף ארגון כשלכם, למה, ומה זה אומר על תקציב ההגנה — בשפה עסקית ולא טכנית.
אסטרטגי · הנהלה · תקציבהפלטפורמה סימנה אזכור או אירוע, והשאלה היא אם זה רעש, איום ממשי, או משהו שכבר טופל. אימות והכרעה במקום ניחוש.
התראה · אימות · הכרעהקבוצה שפעלה נגד ארגונים דומים לכם: מי הם, מה המוטיבציה, אילו שיטות ונתיבים מאפיינים אותם, ומה זה אומר על החשיפה שלכם.
שחקן · שיטות · חשיפהספק, שותף או חברת בת שנפרצה: מה המשמעות עבורכם, מה עלול לזלוג דרך החיבור, ומה נדרש לבדוק אצלכם.
ספקים · שרשרת · חשיפה עקיפהשינוי במצב הביטחוני, ברגולציה או בזירה הבינלאומית שמעלה את פרופיל האיום לענף שלכם, ומחייב עדכון סדרי עדיפויות.
גיאופוליטי · ענף · מגמהמחקר שחקנים, קמפיינים, תעמולה ודפוסי פעולה, עם מתודולוגיה שניתן לתעד, לשחזר ולהציג בביקורת עמיתים.
מחקר · מתודולוגיה · מדיניותהעבודה מתחילה בשאלה שהוגדרה ולא באיסוף. מודיעין שנאסף בלי שאלה מייצר נפח, לא החלטה — וזו הסיבה שדוחות CTI רבים נקראים פעם אחת ולא משנים דבר.
מה בדיוק צריך להכריע, מי יקרא את התוצר, אילו נכסים קריטיים, איזו החלטה תלויה בממצא, ומה גבולות העבודה המשפטיים והאתיים.
מקורות גלויים, שיח בזירות רלוונטיות, מקורות טכניים פומביים ומאגרי חולשות — רק מה שנוגע לשאלה שהוגדרה.
הפרדה בין ממצא מאומת, אינדיקציה, מידע ממוחזר ומידע מטעה, כולל בחינת מוניטין המקור בתוך הזירה שבה פורסם.
חיבור בין מה שנאמר, מה שניתן לבצע, ומה שפתוח אצלכם בפועל. שילוב שלושתם הוא מה שהופך אזכור להערכת סיכון.
ממצאים עם רמת ודאות, תרחישים, סדר עדיפויות לטיפול, פערים פתוחים והצעדים המומלצים — בשתי רמות קריאה: הנהלה ואבטחת מידע.
מסמך אחד בשתי רמות קריאה: עמוד ראשון להנהלה, והשאר לצוות אבטחת המידע. הסיבה פשוטה — דוח שדורש תרגום פנימי לפני שהוא מוצג לא מגיע לדירקטוריון.
מודיעין איומים הוא הערכה בתנאי אי-ודאות, לא תחזית. ספק שמציג ודאות בתחום הזה מוכר ביטחון מדומה.
כל פנייה נבחנת מראש מול מטרתה, ההקשר שלה וגבולות החוק והאתיקה המקצועית. פנייה שאינה עומדת בהם אינה מטופלת.
הפלטפורמה מספקת נפח, כיסוי רחב וזרימה מתמשכת — יתרונות שאדם אחד לא יכול לספק. מה שהיא לא מספקת הוא הכרעה: האם ההתראה הזו רלוונטית לכם, האם מי שמצהיר על יכולת אכן מחזיק בה, ובמה לטפל קודם. השירות מתחיל בדיוק שם, ולכן הוא משלים ולא מחליף.
לא. השירות ניתן כפרויקט מוגדר בזמן עם שאלה מוגדרת, ואינו כולל ניטור 24/7, התראות שוטפות או תגובה לאירוע חי. ארגון שנמצא באירוע פעיל זקוק לצוות תגובה, ולא להערכת איום — וזה נאמר מראש כדי לא לבזבז זמן לשני הצדדים.
ייחוס ודאי לגורם מסוים כמעט לעולם אינו אפשרי ממקורות גלויים. מה שכן אפשרי הוא הערכה מנומקת: התאמה לדפוסי פעולה מוכרים, למוטיבציה, לשפה ולעיתוי — עם רמת ביטחון מוצהרת. כל הערכה מוצגת כהערכה, ולא כקביעה.
מודיעין דארק ווב עונה על השאלה "מה נחשף עלינו ומה היקפו". CTI עונה על "מי מאיים, באילו שיטות ומה סדר העדיפויות". חשיפה שאותרה בבדיקת דארק ווב היא לעיתים קרובות נקודת הפתיחה של הערכת CTI.
לרוב לא כשירות מתמשך, ולעיתים כן כבדיקה חד-פעמית — לפני עסקה, אחרי אירוע אצל ספק, או כשמתעורר חשד ממוקד. ארגון קטן שאין לו צוות אבטחה ייעודי ירוויח בדרך כלל יותר מהיגיינת אבטחה בסיסית מאשר מדוח מודיעין, וזה ייאמר בשיחת האפיון.
הדוח נכתב בשתי רמות קריאה במסמך אחד: תמצית בשפה עסקית להנהלה ולדירקטוריון, וגוף מפורט עם הנמקה, מקורות ותעדוף לצוות אבטחת המידע. נספח טכני עם אינדיקטורים מצורף כשהוא רלוונטי.