Przejdź do głównej zawartości

5.7 Analiza zagrożeń (threat intelligence) ★

W skrócie: organizacja zbiera informacje o zagrożeniach, analizuje je pod kątem siebie i zamienia w konkretne działania ochronne.

Cel: świadomość środowiska zagrożeń organizacji, tak by móc podejmować właściwe działania zapobiegawcze i ograniczające skutki.

★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne), #Detective (wykrywające), #Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Identify (identyfikacja), #Detect (wykrywanie), #Respond (reagowanie)
Zdolności operacyjne#Threat_and_vulnerability_management (zarządzanie zagrożeniami i podatnościami)
Domeny bezpieczeństwa#Defence (obrona), #Resilience (odporność)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Chodzi o informacje o istniejących lub pojawiających się zagrożeniach. Zmiany przepisów prawa nie należą do tego zabezpieczenia — dotyczą ich 5.5 i 5.31.
  • Norma wyróżnia trzy warstwy. Strategiczna: ogólny obraz krajobrazu zagrożeń, rodzaje napastników i ataków. Taktyczna: metody, narzędzia i techniki napastników (TTP). Operacyjna: szczegóły konkretnych ataków, w tym wskaźniki techniczne (IoC).
  • Dobra informacja o zagrożeniach powinna być istotna dla organizacji, dawać wgląd, uwzględniać kontekst (czas, miejsce, branżę) i dawać się przełożyć na działanie.
  • Proces obejmuje: ustalenie celów, wybór wewnętrznych i zewnętrznych źródeł, zbieranie, przetwarzanie (ujednolicenie, tłumaczenie, kontekst), analizę pod kątem organizacji oraz przekazanie wyników właściwym osobom w zrozumiałej formie.
  • Wyniki wykorzystuje się w zarządzaniu ryzykiem, jako dane wejściowe do zabezpieczeń technicznych (np. zapory, systemy wykrywania włamań, ochrona przed malware) oraz do testów bezpieczeństwa.
  • Organizacja może wymieniać się informacjami o zagrożeniach z innymi organizacjami, aby wspólnie podnosić poziom ochrony.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Źródła: CERT Polska, biuletyny CISA, raporty dostawców, kanały wskaźników IoC (format STIX/TAXII), platformy wymiany typu MISP.
  • Lista CISA KEV (Known Exploited Vulnerabilities) jako sygnał, które podatności łatać w pierwszej kolejności.
  • Mapowanie technik napastników na MITRE ATT&CK, by sprawdzić, czy posiadane zabezpieczenia je wykrywają.
  • Automatyczne zasilanie SIEM, EDR i filtrów DNS świeżymi wskaźnikami (zob. 8.16, 8.23).

Powiązania​