54:45Cet enregistrement n'est pas encore disponible.
An intelligence-powered approach to threat intelligence investigations
Télécharger les ressourcesCatégories
À propos de cette session
David Ahn de Centripetal présente les résultats d'une étude qu'il décrit comme académique et révisée par les pairs, portant sur plus de 300 fournisseurs de renseignement sur les menaces (CTI) commerciaux, open source et gouvernementaux. Son équipe a suivi environ 10 milliards d'indicateurs actifs et constaté un chevauchement entre fournisseurs de seulement 2 à 5%, que 66% du renseignement commercial est fermé à toute utilisation externe, et que 16% des indicateurs présentent un contexte de menace contradictoire selon la source. Une analyse des CVE de 2023 montre que la couverture maximale du renseignement sur une nouvelle vulnérabilité prend généralement une quinzaine de jours à se former, alors qu'environ 75% des indicateurs finalement attribués à un exploit étaient déjà connus jusqu'à 90 jours plus tôt, sous une attribution différente ou absente : la plupart des brèches impliquent une information qui existait, mais n'était ni accessible ni reliée à temps. Ahn soutient que cette fragmentation, causée par la différenciation commerciale plutôt que par des limites techniques, explique pourquoi la chasse aux menaces réactive rate autant de signaux. Il propose de déplacer l'usage du renseignement plus tôt dans la chaîne d'attaque MITRE ATT&CK, d'accepter des indicateurs à confiance plus faible pour réduire le volume de journaux en amont, et d'ajuster la qualité exigée au risque d'affaires réel plutôt que d'exiger une attribution complète pour chaque alerte.
An exploration of how an intelligence-powered approach to threat intelligence investigations, analyzing over 300 sources, can reveal statistics and insights that hint at measuring effectiveness in stopping and preventing attacks at the source.
À retenir
- Ne pas se fier à un seul fournisseur de renseignement sur les menaces; le chevauchement moyen entre fournisseurs n'est que de 2 à 5%, donc un petit ensemble de fournisseurs n'offre qu'une couverture partielle.
- S'attendre à un délai de deux à quinze jours après la divulgation d'un nouveau CVE avant que les fournisseurs de renseignement rattrapent le retard; prévoir des contrôles compensatoires pour cette fenêtre.
- Ajuster la confiance et le contexte exigés d'un indicateur au risque d'affaires réel plutôt qu'à une norme fixe; les actifs à faible risque tolèrent des blocages à confiance plus faible.
- Déplacer l'usage du renseignement plus tôt dans la chaîne d'attaque MITRE ATT&CK (vers la reconnaissance et la livraison) pour réduire le volume de journaux en amont plutôt que de ne chasser qu'après coup.
- Boucler la démarche des rapports d'investigation vers les règles de blocage et de détection; un rapport qui ne retourne pas vers le SIEM ou la posture de protection est du travail perdu.
Conférenciers
David Ahn
Currently the Chief Architect and VP at Centripetal, Ahn is a technology innovator in informatics, security and privacy. He has been awarded patents in both cybersecurity and healthcare which served as foundations for the growth of his endeavors… Lire la suiteRéduire
Currently the Chief Architect and VP at Centripetal, Ahn is a technology innovator in informatics, security and privacy. He has been awarded patents in both cybersecurity and healthcare which served as foundations for the growth of his endeavors. Prior to joining Centripetal, he held leadership roles at two technology-transfer startups that commercialized breakthrough research into successful outcomes.
