Threat Intelligence — מודיעין איומים בפשטות

Threat Intelligence (CTI) הוא ידע על איומים — מי התוקפים, מה הם רוצים, ואיך הם פועלים — שמאפשר להתכונן לפני המתקפה.

למה זה משנה?

הגנה רגילה היא תגובתית (מחכים שמשהו יקרה). מודיעין הופך אותה ליזומה: "הקבוצה הזו תוקפת את הסקטור שלנו בשיטה X — בואו נחסום אותה מראש".

רמות מודיעין

• טקטי — אינדיקטורים טכניים (IOCs): כתובות IP זדוניות, hashes של נוזקות, דומיינים.
• אופרטיבי — טכניקות וקמפיינים (מתחבר ל-MITRE ATT&CK).
• אסטרטגי — מגמות רחבות להנהלה (סיכונים גיאופוליטיים, סקטורים מותקפים).

IOCs — Indicators of Compromise

"סימני פריצה" — עקבות שתוקף משאיר: hash של קובץ, IP של שרת C2, דומיין פישינג. מזינים אותם ל-SIEM/EDR כדי לזהות אם נפגעתם.

מקורות

• פידים ציבוריים (CISA, abuse.ch, AlienVault OTX).
• דוחות ספקים, ISACs (שיתוף בין-ארגוני בסקטור).

⚠️ זהירות

IOCs "מתיישנים" מהר (תוקף משנה IP). מודיעין על התנהגות (TTPs) עמיד יותר מאשר על אינדיקטורים בודדים.

הלקח: מודיעין טוב = לדעת את האויב לפני שהוא דופק בדלת.