اجمع بيانات التهديدات من اثنين من أكبر مزودي استخبارات التهديدات ، وسيكون مشهد المخاطر الذي يصوره مختلفًا تمامًا – مما يثير تساؤلات حول فائدة تغذية استخبارات التهديدات للمؤسسات ، حسبما قالت مجموعة من الباحثين هذا الأسبوع.
قارن الباحثون ، من جامعات في هولندا وألمانيا ، مؤشرات التهديد من أربعة موجزات استخباراتية للتهديدات مفتوحة المصدر وخلاصتين تجاريتين – لم يتمكن الباحثون من تسميتها – ووجدوا القليل جدًا من البيانات المتداخلة بين الخدمات. على الجانب التجاري ، كان لدى Vendor 2 الأكبر 13٪ من البيانات التي يغطيها Vendor 1 ، بينما Vendor 1 كرر فقط 1.3٪ من المؤشرات من Vendor 2 ، كما قال Xander Bouwman ، مرشح دكتوراه في جامعة Delft للتكنولوجيا ومؤلف أساسي من الورقة ، في عرض الأربعاء.
وقال: “إذا قام اثنان من بائعي استخبارات التهديدات بوصف نفس التهديدات ، فقد تتوقع أنهما يتوصلان إلى نفس البيانات”. “وجدنا أن الأمر ليس كذلك”.
حتى في تتبع نفس مجموعات التهديد المستمر المتقدم (APT) ، لا يبدو أن بائعي استخبارات التهديدات يجمعون نفس البيانات. بالتركيز على 22 مجموعة تهديد ادعى كلا البائعين أنها تتبعها ، وجد الباحثون ، على الأكثر ، تداخلًا بنسبة 4٪ في مؤشرات التهديد ، حسب بومان.
وقال “هذا يثير بعض التساؤلات حول التغطية التي يقدمها هؤلاء البائعون”. “إذا لم يكن هناك الكثير من التداخل ، فماذا يقول ذلك عن الرؤية التي يقدمها هؤلاء البائعون لمشهد التهديد ككل؟”
تتضمن معلومات التهديد معلومات التهديدات مفتوحة المصدر والمعلومات المشتركة بين المؤسسات في نفس الصناعة وخدمات استخبارات التهديدات التجارية. غالبًا ما تتضمن معلومات التهديدات مفتوحة المصدر بيانات من قوائم حظر DNS وموجزات إساءة الاستخدام وتجزئة البرامج الضارة وإغراءات التصيد الاحتيالي. لا تتوفر المعلومات المشتركة عادةً ما لم تنضم المنظمة إلى مجموعة صناعية معينة.
غالبًا ما يتم بيع استخبارات التهديدات التجارية كمجموعة من التقارير لإبلاغ فرق الأمن والمحللين ومؤشرات الاختراق التي يمكن قراءتها آليًا (IOCs) التي تُستخدم لاكتشاف التهديدات. يمكن أن تحتوي الخلاصة التجارية النموذجية ، على سبيل المثال ، على العشرات من تقارير التهديد ومئات من بطاقات IOC كل شهر.
لسوء الحظ بالنسبة للعملاء المحتملين ، تعني التغطية غير المتكافئة أن مجموعة بيانات كل مزود استخبارات تهديدات ستكون مختلفة ، وهناك القليل من الضمان – أو الاحتمال – بأن التهديدات سوف تتطابق مع ما سيراه العميل. وقال بومان إنه بدون مزيد من المعلومات يصعب تقييم الخدمات.
وقال “هذا ما نشير إليه بسوق ذات معلومات غير متكافئة”. “البائعون يعرفون ماذا يبيعون ، لكن المشترين لا يعرفون ماذا يشترون.”
قارن الباحثون الخلاصتين التجاريتين بأربع خلاصات استخباراتية للتهديد المفتوح (OTI) من Alienvault و Blocklist.de و CINScore و EmergingThreats. في حين أن عددًا قليلاً من موجزات OTI كان لها تداخل كبير مع مصادر OTI الأخرى ، كان لدى البائعين التجاريين أقل من 1 ٪ تداخل مع أي تغذية استخباراتية مفتوحة للتهديد.
وقال بومان إن عدم وجود تداخل يثير تساؤلات حول التغطية وما إذا كانت الخدمات تقدم صورة واقعية لمشهد التهديد.
ووجد الباحثون أن العملاء عادةً ما يستخدمون ذكاء التهديدات لاكتشاف الشبكة والوعي بالأوضاع وتحديد أولويات أنشطة مراكز العمليات الأمنية (SOCs). تعد الخلاصات التجارية أفضل في توفير السياق للمستخدمين ، وفقًا لمسح شمل 14 مستخدمًا لذكاء التهديدات. علاوة على ذلك ، لا يبدو أن المعلومات الاستخباراتية الخاصة بالتهديدات محدودة بالتكلفة ، حيث أشار واحد فقط من كل خمسة أشخاص في المسح إلى التكلفة كعامل.
وقال بومان لسوء الحظ ، فإن العملاء ليسوا ناضجين للغاية من حيث معرفتهم ومهاراتهم في استخدام معلومات التهديد. على سبيل المثال ، قام اثنان من المجيبين بإلغاء موجز معلومات التهديدات لأنهم كانوا يغطون قطاعًا لا علاقة له بأعمال المنظمة.
وقال: “لا يبدو أن العملاء يهتمون بالتغطية ، فهم لا يتحسنون للكشف ، ولا يتحدثون عن المقاييس”. “إذا ذكروا المقاييس ، فغالباً ما يتحدثون عن إيجابيات خاطئة.”
بشكل عام ، يبدو أن استخبارات التهديدات أقل اهتمامًا بالحصول على نظرة ثاقبة لمعظم التهديدات وأكثر حول استخدام التقارير و IOCs كطريقة لفهم مشهد التهديد ، وكذلك في بعض الأحيان للبحث عن التهديدات. قد يكون العامل الأكثر أهمية هو ما إذا كانت خدمة استخبارات التهديدات تساعد في توفير وقت المحلل ، حسبما ذكر الباحثون.
قال بومان إنه يجب على البائعين التجاريين مساعدة العملاء في الحصول على أكبر قدر من الإنتاجية من خلاصاتهم لتبرير التكلفة المرتفعة ، بينما يحتاج العملاء إلى مطالبة البائعين بتقديم مزيد من المعلومات حول التغطية التي توفرها الأعلاف.
وقال “في سوق به معلومات غير متكافئة ، قد تنخفض رغبة المستهلكين في الدفع في النهاية لأنهم لا يستطيعون التمييز بين الجيد والسيئ”.
محتوى ذو صلة:
صحفي تقني مخضرم لأكثر من 20 عامًا. مهندس بحث سابق. كتب لأكثر من عشرين منشورًا ، بما في ذلك CNET News.com و Dark Reading و MIT’s Technology Review و Popular Science و Wired News. خمس جوائز للصحافة ، بما في ذلك أفضل موعد نهائي … عرض السيرة الذاتية الكاملة
اقتراحات للقراءة:
المزيد من الأفكار
