Threat intelligence
Insamlad och analyserad kunskap om hot — vilka angripare som finns, deras metoder (TTP), pågående kampanjer, och konkreta indikatorer (IoC) — som hjälper en organisation att proaktivt försvara sig i stället för att bara reagera. Att veta vem som kan attackera och hur, innan de gör det.
Nivåer: strategisk (högnivå — vilka hotaktörer riktar in sig på vår bransch, trender, för beslutsfattare), operativ (specifika kampanjer och aktörers TTP:er, för försvarsplanering), och taktisk/teknisk (konkreta IoC:er och signaturer att mata in i verktyg). Källor: kommersiella flöden, öppna källor (OSINT), branschdelning (ISAC:er), och egna observationer. Standarder för att dela maskinläsbart: STIX (format) och TAXII (transport). Vinst: prioritera försvar mot de hot som faktiskt är relevanta, känna igen en pågående attack tidigare, och berika incidenter med kontext (vem, varför, vad händer härnäst). Fälla: drunkna i IoC-flöden utan kontext → bra TI handlar om relevans, inte volym. Ryggraden i ett moget SOC. Hör ihop med indikator på kompromettering och MITRE ATT&CK-taktik.