Os Papéis · Quem defende
Analista de inteligência de ameaças
Escrito a partir de fontes publicadas
O analista que estuda adversários em vez de sistemas. O framework descreve coletar, processar, analisar e disseminar avaliações de ameaça — e a última dessas palavras é a que decide o valor: inteligência que não chega a quem age a tempo é um relatório, não uma defesa.
De quem recebe
- Feeds externos, fabricantes e comunidades de compartilhamento
- Indicadores, relatórios e, de vez em quando, algo que chega antes de ser público.
- A telemetria da própria organização
- O que está sendo tentado aqui — que vale mais que qualquer fonte externa em relevância.
- A resposta a incidentes
- O que um adversário de fato fez depois de entrar — a fonte de maior qualidade que existe.
A quem serve
- A operação de segurança
- Prioridades, e as detecções que valem construir.
- A resposta a incidentes
- Contexto sobre quem isso aparenta ser e o que costuma fazer em seguida.
- A liderança de segurança
- O quadro de ameaças que orienta onde o programa gasta.
Do que o trabalho depende
A inteligência merece o nome quando muda uma decisão. Um relatório que chega, é lido, e deixa a defesa exatamente como estava custou à organização a semana de um analista e entregou notícia. Os analistas que importam trabalham de trás para frente, a partir da decisão — qual detecção, qual prioridade, qual caçada (hunt) — e escrevem em direção a ela, o que também torna o trabalho mensurável de um jeito que o relatório genérico nunca alcança.