هوش تهدید سایبری (Cyber Threat Intelligence یا به اختصار CTI) مفهومی حیاتی برای امنیت شبکه‌های سازمانی است. با این حال، درک دقیق مفاهیم پشت این حوزه و نحوه پیاده‌سازی آن در ساختارهای IT و امنیتی می‌تواند چالش‌برانگیز باشد. این مقاله به بررسی ماهیت CTI، چرخه تولید آن و معرفی ابزارهای کاربردی می‌پردازد.
تفاوت داده، اطلاعات و هوش
بسیاری از افراد تصور می‌کنند CTI صرفاً دریافت گزارش‌ها و فیدهای داده (Data Feeds) است، اما واقعیت فراتر از این است. طبق تعریف NIST، هوش تهدید شامل اطلاعاتی است که تجمیع، تبدیل، تحلیل و تفسیر شده‌اند تا بافت (Context) لازم را برای فرآیندهای تصمیم‌گیری فراهم کنند. در واقع، داده‌ها و اطلاعات به تنهایی «هوش» نیستند؛ بلکه فرآیند همبستگی (Correlation) و تحلیل آن‌هاست که به هوش واقعی تبدیل می‌شود.
چرخه هوش تهدید (Intelligence Cycle)
فرآیند تولید هوش از یک چرخه منظم پیروی می‌کند که شامل مراحل زیر است:
- برنامه‌ریزی و هدایت (Planning and Direction): تعیین سوالات کلیدی و منابع مورد نیاز.
- جمع‌آوری (Collection): گردآوری داده‌ها از منابع مختلف مانند منابع باز (Open Source)، منابع داخلی یا تجاری.
- پردازش (Processing): تبدیل داده‌های خام به فرمت‌های قابل استفاده (مانند رمزگشایی یا ترجمه).
- تحلیل (Analysis): مرحله‌ای که در آن تحلیلگران با استفاده از تجربه خود، داده‌ها را تحلیل کرده و به سوالات پاسخ می‌دهند.
- انتشار (Dissemination): ارائه نتایج به ذینفعان (مانند ارائه گزارش‌های PDF به CISO یا داده‌های JSON به تیم‌های فنی).
- بازخورد (Feedback): بررسی میزان پاسخگویی هوش تولید شده به نیازهای سازمان.
انواع هوش تهدید
برای مدیریت بهتر، CTI به دسته‌های زیر تقسیم می‌شود:
- هوش استراتژیک (Strategic CTI): مناسب برای مدیران ارشد و تصمیم‌گیرندگان؛ شامل گزارش‌های سطح بالا و تحلیل‌های روند.
- هوش عملیاتی (Operational CTI): مربوط به تهدیدات خاص و قریب‌الوقوع که توسط تیم‌های امنیتی سطح بالا مصرف می‌شود.
- هوش تاکتیکی (Tactical CTI): شامل اطلاعات فنی مانند آدرس‌های IP یا دامنه های مخرب که معمولاً کوتاه‌مدت هستند.
- هوش فنی (Technical CTI): تمرکز بر تاکتیک‌ها، تکنیک‌ها و روش‌ها (TTPs) که عاملان تهدید (Threat Actors) استفاده می‌کنند.
مدل‌های تحلیل و چارچوب‌ها
برای درک بهتر رفتار مهاجمان، از مدل‌های استاندارد زیر استفاده می‌شود:
- هرم درد (Pyramid of Pain): مدلی که نشان می‌دهد شناسایی شاخص‌های سطح بالا (مانند TTPs) چقدر برای مهاجم هزینه‌بر و دشوار است.
- زنجیره کشت سایبری (Cyber Kill Chain): چارچوبی برای شکستن مراحل یک حمله (از شناسایی تا اجرای هدف) جهت مقابله در هر مرحله.
- ماتریس MITRE ATT&CK: یک پایگاه دانش جهانی از TTPهای عاملان تهدید که بر اساس مشاهدات واقعی تدوین شده است.
اهمیت اشتراک‌گذاری و پروتکل TLP
اشتراک‌گذاری اطلاعات با جوامع امنیتی، قدرت CTI را دوچندان می‌کند. برای مدیریت حساسیت اطلاعات، از پروتکل چراغ راهنمایی (Traffic Light Protocol یا TLP) استفاده می‌شود که شامل چهار سطح (Red, Amber, Green, White) برای تعیین میزان اجازه انتشار اطلاعات است.
معرفی ابزارهای کاربردی CTI
برای پیاده‌سازی این فرآیندها، ابزارهای زیر پیشنهاد می‌شوند:
- OpenCTI: یک پلتفرم متن‌باز و قدرتمند برای سازماندهی، تحلیل و اشتراک‌گذاری داده‌های مربوط به تهدیدات.
- MISP (Malware Information Sharing Platform): یک پلتفرم متن‌باز برای ذخیره و اشتراک‌گذاری شاخص‌های آلودگی (IOCs) و اطلاعات بدافزارها.
- Maltego: ابزاری قدرتمند برای تحلیل گرافیکی و پیدا کردن ارتباطات بین داده‌های مختلف.
- Yeti: پلتفرمی برای سازماندهی IOCها و غنی‌سازی خودکار مشاهدات (Observables).
