In dit artikel8
Wat is threat intelligence?
NIST maakt onderscheid tussen dreigingsinformatie en threat intelligence. Dreigingsinformatie is elke informatie over een dreiging die een organisatie kan helpen zichzelf te beschermen of de activiteiten van een aanvaller te zien. Threat intelligence is dreigingsinformatie die is geaggregeerd, omgezet, geanalyseerd, geïnterpreteerd of verrijkt, zodat er genoeg context is voor besluiten.
Die definitie komt uit NIST SP 800-150, "Guide to Cyber Threat Information Sharing". Het document is in oktober 2016 definitief gepubliceerd door NIST, met onder meer auteurs van MITRE. Het legt uit hoe organisaties dreigingsinformatie delen en gebruiken. Op de NIST-pagina staan geen opvolger en geen conceptrevisie.
In gewone taal is een IP-adres in een lijst informatie. De zin "deze groep gebruikt dit adres om phishing-sites te hosten voor sector X" is intelligence, omdat er duiding bij zit: wie het gebruikt, waarvoor, en wat dat betekent voor jouw omgeving.
Welke soorten dreigingsinformatie bestaan er?
NIST onderscheidt vijf hoofdtypen. De tabel zet ze naast elkaar.
Soort | Wat het is | Voorbeeld |
|---|---|---|
Indicators | Technische artefacten of waarneembare gebeurtenissen die wijzen op een aanval die bezig is of al heeft plaatsgevonden. | Het IP-adres van een verdachte command-and-controlserver, een verdachte DNS-domeinnaam, een URL naar kwaadaardige inhoud, de hash van een kwaadaardig bestand of de onderwerpregel van een kwaadaardige e-mail. |
TTP's | Beschrijvingen van het gedrag van een aanvaller. Tactics zijn op hoog niveau, techniques zijn gedetailleerder en procedures nog specifieker. | De voorkeur voor een bepaalde malwarevariant, de volgorde van handelingen, een aanvalstool of een afleveringsmethode zoals phishing. |
Security alerts | Korte, meestal voor mensen leesbare meldingen over actuele kwetsbaarheden, exploits en andere beveiligingsproblemen. Ook advisories, bulletins of vulnerability notes genoemd. | NIST noemt als bronnen onder meer ISAC's, de National Vulnerability Database (NVD), PSIRT's en beveiligingsonderzoekers. |
Threat intelligence reports | Meestal tekstdocumenten die TTP's, actoren en doelwitten beschrijven. | Een tekstdocument over de werkwijze en de doelwitten van een aanvaller. |
Tool configurations | Aanbevelingen voor het instellen van tools die dreigingsinformatie verzamelen of gebruiken. | Hoe je detectiesignaturen of firewallregels aanmaakt. |
Een enkele indicator zegt doorgaans weinig, omdat een aanvaller een IP-adres makkelijk vervangt. Een TTP beschrijft gedrag en blijft doorgaans langer bruikbaar, omdat een werkwijze minder snel verandert dan de infrastructuur. Daarom bouwen detectieteams vaak naast regels op indicatoren ook regels op technieken uit MITRE ATT&CK.
Strategisch, operationeel en tactisch: de gangbare indeling
In het vak wordt threat intelligence vaak ingedeeld in drie niveaus. Dit is een gangbare indeling en geen vaste norm uit de NIST-bron.
- Strategisch is gericht op bestuurders en managers: welke dreigingen zijn relevant voor onze sector en onze keuzes? Het wordt bijvoorbeeld gebruikt voor investeringsbesluiten en risicoanalyse. Het Cybersecuritybeeld Nederland is een voorbeeld van een bron op dit niveau.
- Operationeel is gericht op de SOC-leiding en incident response: welke campagne loopt er, welke groep zit erachter en welke technieken gebruikt die? Groepen en TTP's uit ATT&CK passen op dit niveau.
- Tactisch is gericht op analisten en tools: concrete indicatoren en detectieregels die je vandaag in logs en beveiligingstools kunt gebruiken.
Hoe gebruikt een SOC threat intelligence?
Een SOC gebruikt dreigingsinformatie bij security monitoring om een melding in te schatten en te bepalen wat er moet gebeuren. Het volgende scenario is een voorbeeld. De volgorde verschilt per organisatie.
Stel dat het NCSC een Security Advisory publiceert met prioriteit urgent over een kwetsbaarheid in een apparaat aan de rand van het netwerk, zoals een VPN-gateway. De SOC-analist doorloopt dan deze stappen:
- Bron en toepasselijkheid. Het advies komt van het NCSC, een betrouwbare bron. Staat dit product in onze omgeving? Een actuele asset-inventaris maakt dat snel te beantwoorden.
- Impact. Hoeveel apparaten zijn geraakt, welke bedrijfsprocessen hangen eraan en wat kost het om te patchen? NIST noemt hierbij de ernst van de melding, het aantal getroffen systemen, het effect op bedrijfskritische functies en de operationele gevolgen van de maatregelen.
- Acties. Patch of pas een workaround toe. Zoek de indicatoren uit het advies, zoals adressen en hashes, in de logs van de afgelopen periode in het SIEM. Op endpoints kan een EDR-tool daarbij helpen. Voeg een detectieregel toe en meld treffers aan het incidentteam.
- Context. Koppel de beschreven technieken aan ATT&CK, zodat het team ook gedrag kan opsporen dat niet in het advies staat.
- Terugkoppelen. Leg vast wat is gevonden, wat is aangepast en wat je de volgende keer anders doet.
Indicatoren uit een externe feed verwerk je volgens NIST vaak in meerdere stappen: validatie van echtheid en herkomst, decryptie en decompressie, het eruit halen van de indicatoren, en daarna prioritering en categorisering, zodat duidelijk is welke afhandelingseisen gelden. NIST noemt vijf eigenschappen van een goede indicator: tijdig, relevant, juist, specifiek en bruikbaar om op te reageren. Een losse indicator kan dubbelzinnig zijn en wordt pas bruikbaar in combinatie met andere dreigingsinformatie.
Welke bronnen gebruikt een team?
Het NCSC publiceert Security Advisories. Een advisory biedt een duiding van een of meer recent gevonden kwetsbaarheden, met een van twee prioriteiten. Urgent betekent een hoge kans op uitbuiting in combinatie met hoge schade, waarbij directe actie is vereist. Normaal betekent een gemiddelde kans op uitbuiting met hoge potentiële schade, die je binnen de reguliere patchcyclus plant. Meer over die afhandeling lees je bij vulnerability management.
Het NCSC wijst daarnaast op vulnerabilities.ncsc.nl als algemene bron om zelf een beeld te vormen van relevante kwetsbaarheden, ook voor kwetsbaarheden zonder advisory. Het Cybersecuritybeeld Nederland schetst volgens het NCSC een digitaal dreigingslandschap dat steeds complexer en onvoorspelbaarder wordt. De NCTV publiceert het, en het NCSC hostte de pagina met de editie 2025.
MITRE beschrijft ATT&CK als een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen uit de praktijk. Volgens MITRE is het openbaar en gratis te gebruiken, en gebruiken bedrijven, overheden en leveranciers het om dreigingsmodellen en methodieken op te stellen. De tactieken staan niet in een vaste volgorde, en niet alle tactieken hoeven in één inbraak voor te komen. In ATT&CK zijn Groups activiteitenclusters die in de beveiligingsgemeenschap onder een gemeenschappelijke naam worden gevolgd. Het is de overkoepelende term voor begrippen als threat groups, activity groups en threat actors.
Voor de security alerts noemt NIST onder meer ISAC's, de NVD, PSIRT's en beveiligingsonderzoekers. Een team combineert deze bronnen en kiest ze op relevantie voor de eigen omgeving, niet op volume.
Hoe deel je threat intelligence veilig? Het Traffic Light Protocol
Het Traffic Light Protocol (TLP) van FIRST staat in versie TLP 2.0. Die versie is gezaghebbend sinds augustus 2022 en vervangt TLP 1.0. De TLP Special Interest Group van FIRST onderhoudt het protocol. Het kent vijf labels:
Label | Betekenis |
|---|---|
TLP:RED | Alleen voor de individuele ontvangers, geen verdere verspreiding. In een bijeenkomst blijft het bij de aanwezigen. |
TLP:AMBER | Beperkt tot wie het moet weten binnen de eigen organisatie en bij klanten. |
TLP:AMBER+STRICT | Beperkt tot de eigen organisatie, dus niet naar klanten. |
TLP:GREEN | Te delen binnen de gemeenschap, met collega's en partners, maar niet via publiek toegankelijke kanalen. |
TLP:CLEAR | Geen beperking voor openbaarmaking, onder voorbehoud van auteursrecht. |
Wie informatie breder wil delen dan het label toestaat, heeft daar eerst expliciete toestemming van de bron voor nodig.
Wie werkt met threat intelligence?
Het werk hoort bij security operations en raakt ook de verdedigers aan de kant van het blue team. Bij sommige organisaties heeft elke rol een eigen team, bij andere doet één persoon meerdere taken.
- Threat hunter zoekt actief naar sporen van aanvallers die detectie hebben omzeild en gebruikt TTP's en groepsbeschrijvingen als uitgangspunt voor hypothesen. Meer over dit werk staat in de rolgids.
- SOC-analist beoordeelt meldingen en gebruikt dreigingsinformatie om een alarm in te schatten.
- Detection engineer vertaalt dreigingsinformatie naar detectieregels.
- Incident responder gebruikt kennis over de werkwijze van een aanvaller om de omvang van een incident vast te stellen.
- Malware-analist analyseert kwaadaardige software en levert indicatoren en gedragsbeschrijvingen op.
- Security architect gebruikt strategische dreigingsinformatie bij ontwerpkeuzes.
Waar gaat het mis met threat intelligence?
Een lange lijst indicatoren zonder selectie kan ervoor zorgen dat analisten bedolven raken onder meldingen die voor de eigen omgeving niet relevant zijn. Indicatoren kunnen bovendien verouderen, omdat aanvallers hun infrastructuur wisselen. Wie informatie gebruikt zonder de betrouwbaarheid van de bron te beoordelen, slaat de eerste stap over die NIST noemt.
Intelligence verzamelen zonder dat iemand er een besluit mee neemt, levert een archief op en geen verbetering. Handmatig verwerken van indicatoren kan bovendien tijdrovend, saai en foutgevoelig zijn, schrijft NIST. Over automatisering van die verwerking lees je meer bij SOAR. Wie een TLP-label negeert bij het doorsturen, deelt meer dan de bron heeft toegestaan.
Wat is het verschil tussen threat intelligence en een lijst met indicatoren?
Een lijst met indicatoren bevat losse technische artefacten, zoals adressen of hashes. Threat intelligence is dreigingsinformatie die is geanalyseerd en van context voorzien, zodat je er een besluit op kunt nemen. De indicator is dus een onderdeel, en de intelligence zit in de duiding eromheen.
Wat betekent TLP:AMBER?
TLP:AMBER is beperkt tot wie het moet weten binnen de eigen organisatie en bij klanten. TLP:AMBER+STRICT is strikter: dat label sluit klanten uit en blijft binnen de eigen organisatie. Controleer bij het doorsturen altijd of de ontvanger binnen die grens valt.
Waar vind ik dreigingsinformatie voor Nederlandse organisaties?
Het NCSC publiceert Security Advisories met een duiding van recente kwetsbaarheden. Op vulnerabilities.ncsc.nl vorm je zelf een beeld van relevante kwetsbaarheden, ook zonder advisory. Voor het dreigingslandschap is er het Cybersecuritybeeld Nederland, en voor de werkwijze van aanvallers is er ATT&CK.
Wat is een TTP?
Een TTP beschrijft het gedrag van een aanvaller. Tactics zijn beschrijvingen op hoog niveau, techniques zijn gedetailleerder binnen een tactic, en procedures zijn nog specifieker binnen een technique. Een TTP kan bijvoorbeeld de voorkeur voor een malwarevariant of de afleveringsmethode via phishing beschrijven.
Heb ik als SOC-analist threat intelligence nodig?
In het werk van een SOC-analist helpt dreigingsinformatie om een melding in te schatten. Is een advies van het NCSC van toepassing op de eigen omgeving, dan bepaal je daarmee wat je eerst doet. Het scenario hierboven laat de stappen zien, en de vacatures voor SOC-analisten laten zien waar dit werk voorkomt.