OIS-05 Threat Intelligence

Interne Quellen, die zur Sammlung von Informationen genutzt werden können, umfassen beispielsweise die interne Sicherheitsüberwachung des Cloud-Anbieters. Externe Quellen, die zur Sammlung von Informationen genutzt werden können, umfassen beispielsweise Threat Intelligence-Feeds von Regierungsstellen, kommerziellen Threat Intelligence-Anbietern oder Branchenkonsortien.

Threat Intelligence umfasst im Allgemeinen verschiedene Bereiche wie das Gewinnen von Informationen über Cybersicherheitsrisiken (z. B. durch Überwachung relevanter interner oder externer Quellen), Modellieren von Bedrohungen und Risikomanagement.

Dieser Prozess kann beispielsweise die Korrelation von Threat Intelligence mit organisatorischen Vermögenswerten, Schwachstellen und Geschäftsprozessen umfassen, um relevante und umsetzbare Bedrohungen zu identifizieren. Die Ergebnisse können genutzt werden, um der Geschäftsleitung des Cloud-Anbieters und den Sicherheitsteams regelmäßige Bedrohungsbriefings bereitzustellen.

Wenn für diesen Prozess ein Bedrohungsmodell verwendet wird, kann der Cloud-Anbieter beispielsweise:

1. Strukturierte Methodiken (z. B. STRIDE, PASTA, LINDDUN) verwenden, die für die Architektur des Cloud-Dienstes geeignet sind;
2. Erkenntnisse über die aktuelle Bedrohungslandschaft spezifischen Systemkomponenten, Datenflüssen und Trust Boundaries zuordnen;
3. Threat Intelligence in Echtzeit einbeziehen, um Bedrohungsmodelle dynamisch zu aktualisieren, anstatt sich auf statische jährliche Beurteilungen zu verlassen;
4. Neu aufkommende Angriffsvektoren, Techniken und Verfahren (TTPs) berücksichtigen, die in Rahmenwerken wie MITRE ATT&CK dokumentiert sind; und
5. Lieferketten- und Drittrisiken durch erweiterte Bedrohungsmodellierung berücksichtigen.

Das Ziel der Bedrohungsmodellierung ist es, sicherzustellen, dass die aktuellen internen und externen Bedrohungen in Maßnahmen zum Umgang mit Risiken berücksichtigt werden.