Hvad er CTI?

CTI står for Cyber Threat Intelligence og betegner indsamling, analyse og vurdering af information om cybertrusler. Formålet med CTI er at omsætte data om blandt andet trusselsaktører, sårbarheder og angrebsmetoder til viden, der understøtter konkrete sikkerhedsbeslutninger.

Hvordan fungerer CTI?

Cyber Threat Intelligence bygger på information fra en række forskellige kilder. Det kan være tekniske data om mistænkelige IP-adresser, domæner, malware og sårbarheder, men også oplysninger om trusselsaktører, aktuelle cyberangreb samt politiske og geopolitiske udviklinger.

Informationerne har begrænset værdi, hvis de står alene. CTI-processen handler derfor om at indsamle relevante data, kontrollere og analysere dem, sætte dem i kontekst og vurdere, hvilken betydning de har for en bestemt organisation.

Et CTI-team kan eksempelvis undersøge en ny sårbarhed og vurdere, om den allerede bliver udnyttet af angribere, hvilke systemer der er berørt, og hvor stor risikoen er for organisationen. Resultatet kan bruges til at prioritere opdateringer, ændre sikkerhedsforanstaltninger eller øge overvågningen af bestemte aktiviteter.

Hvad bruges CTI til?

CTI bruges til at skabe et mere præcist billede af det aktuelle trusselslandskab og gøre cybersikkerhedsarbejdet mere risikobaseret.

Arbejdet kan blandt andet understøtte:

• prioritering af sårbarheder og sikkerhedsopdateringer
• identificering af relevante trusselsaktører og angrebsmetoder
• overvågning af indikatorer på kompromittering
• vurdering af cyberrisici for bestemte brancher, teknologier eller organisationer
• incident response og efterforskning af sikkerhedshændelser
• strategiske beslutninger om sikkerhed og beredskab

CTI kan eksempelvis kombineres med information fra Microsoft 365, sikkerhedsplatforme, SIEM- og XDR-løsninger eller organisationens egne hændelsesdata. Det gør det muligt at vurdere eksterne trusler i forhold til den konkrete tekniske situation.

Forskellige niveauer af Cyber Threat Intelligence

Cyber Threat Intelligence opdeles ofte i strategisk, taktisk, operationel og teknisk threat intelligence.

Strategisk CTI fokuserer på overordnede risici og udviklinger, eksempelvis ændringer i det geopolitiske trusselsbillede eller bestemte branchers eksponering.

Taktisk CTI beskriver angribernes fremgangsmåder, teknikker og procedurer. Her anvendes blandt andet begrebet TTP’er – tactics, techniques and procedures – til at forstå, hvordan trusselsaktører gennemfører angreb.

Operationel CTI omhandler konkrete kampagner, trusselsaktører og igangværende eller forventede aktiviteter.

Teknisk CTI omfatter blandt andet indikatorer på kompromittering, også kaldet Indicators of Compromise eller IoC’er. Det kan være IP-adresser, domæner, filhashes og andre tekniske spor, der bruges til at identificere skadelig aktivitet.

Hvorfor er CTI vigtigt?

CTI hjælper organisationer med at skelne mellem den store mængde sikkerhedsinformation og de trusler, der reelt kræver handling. En ny sårbarhed er eksempelvis ikke nødvendigvis lige kritisk for alle organisationer. Risikoen afhænger blandt andet af, om den berørte teknologi anvendes, om sårbarheden bliver aktivt udnyttet, og hvilke konsekvenser et angreb kan få.

Cyber Threat Intelligence er derfor ikke en metode til at forudsige præcist, hvor eller hvornår det næste cyberangreb sker. Det er en disciplin, der skaber beslutningsstøtte ved systematisk at forbinde tekniske observationer, trusselsdata og omverdensforhold. På den måde kan sikkerhedsressourcer prioriteres ud fra et mere kvalificeret billede af den aktuelle risiko.