A Comparative Analysis of Cyber-Threat Intelligence Sources, Formats and Languages

Abstract

The sharing of cyber-threat intelligence is an essential part of multi-layered tools used to protect systems and organisations from various threats. Structured standards, such as STIX, TAXII and CybOX, were introduced to provide a common means of sharing cyber-threat intelligence and have been subsequently much-heralded as the de facto industry standards. In this paper, we investigate the landscape of the available formats and languages, along with the publicly available sources of threat feeds, how these are implemented and their suitability for providing rich cyber-threat intelligence. We also analyse at a sample of cyber-threat intelligence feeds, the type of data they provide and the issues found in aggregating and sharing the data. Moreover, the type of data supported by various formats and languages is correlated with the data needs for several use cases related to typical security operations. The main conclusions drawn by our analysis suggest that many of the standards have a poor level of adoption and implementation, with providers opting for custom or traditional simple formats.

Sharing Machine Learning Models as Indicators of Compromise for Cyber Threat Intelligence

“…Ramsdale et al [14] analyzed the capabilities of the aforementioned CTI formats to convey various CTI types, and also reviewed a variety of internal CTI sources (e.g., systems logs and network events, traffic profiles, security monitoring applications and systems, forensic analysis), and externally sourced CTI feeds and open source intelligence (OSINT). The authors indicate that while support for STIX is apparent in many platforms, they observe a trend towards directly using the APIs offered by the platforms and custom JSON or platform-specific formats whenever they appear to be a better fit for the use case at hand.…”

Metodologia integrativa para produção de inteligência de ameaças cibernéticas utilizando plataformas de código aberto

“…Na mesma perspectiva, um trabalho recente [17], fornece uma análise comparativa de fontes, formatos e linguagens de CTI. Diversas fontes de CTI são apresentadas e examinadas e, com base nos resultados da avaliação em conjunto com uma pesquisa bibliográfica, alguns padrões de CTI foram selecionados para análise posterior.…”

“…Abordagem Método Referência Estudo, análise e comparação de formatos e protocolos utilizados no contexto de eventos de segurança Divisão entre formatos e protocolos e proposição de critérios de avaliação para cada categoria Revisão sistemática da literatura [39] Estudo do panorama geral do tema CTI e proposta de uma nova ferramenta de TI Estudo e avaliação de ferramentas de TI de código aberto visando comparar funcionalidades com uma nova ferramenta proposta no trabalho Análise de documentação oficial e literatura acadêmica [24] Análise e comparação do mercado de plataformas de compartilhamento de inteligência de ameaça Comparar 22 plataformas de TI, incluindo código aberto e fechado, considerando diferentes quesitos de avaliação Revisão sistemática da literatura [40] Explorar as capacidades de formatos e linguagens de TI disponíveis Selecionar padrões proeminentes e avaliar a capacidade de transmissão e correlação desses padrões quando aplicados a diferentes fontes de dados Análise de documentação e utilização prática das ferramentas [17] Apresentar um framework para análise e comparação de plataformas de compartilhamento de inteligência de ameaça Realizar uma revisão da literatura para obter critérios de avaliação relevantes e combina-los em uma ferramenta de avaliação Demonstração prática da ferramenta desenvolvida em três TIPs [18] Proposta de plataforma para produção de inteligência de ameaça de qualidade Utilização da plataforma MISP em conjunto com módulos de enriquecimento, análise e classificação Desenvolvimento de protótipo funcional [44] Desenvolvimento de sistema para produção de inteligência de ameaça…”

“…Nesse contexto, novos sistemas automatizados com a capacidade de consumir uma grande quantidade de dados, fornecer recursos de defesa sofisticados e responder a incidentes em tempo real estão sendo desenvolvidos e comumente referidos como plataformas de Threat Intelligence (TI -Inteligência de Ameaça)[17] [18]. Essas plataformas devem incluir processos automáticos de transformação de dados e produção de inteligência para garantir um modelo de defesa mais eficiente, proativo e oportuno[19].…”

“…Essas plataformas devem incluir processos automáticos de transformação de dados e produção de inteligência para garantir um modelo de defesa mais eficiente, proativo e oportuno[19]. Além disso, devido à heterogeneidade dos dados inseridos no contexto de CTI, esforços consideráveis têm sido feitos no sentido de padronizar os dados[17] e torná-los compatíveis entre os diferentes sistemas[20]. A interoperabilidade dos dados é importante para facilitar a coleta e análise automática dos dados e o compartilhamento de inteligência contra ameaças cibernéticas[21].No entanto, a diversidade de iniciativas em relação ao tema ocasionou o crescimento de um mercado heterogêneo de plataformas CTI e diversos sistemas e ferramentas, com diferentes objetivos, capacidades e níveis de desempenho foram disponibilizados de mercado de Threat Intelligence Platforms (TIPs -Plataformas de Inteligência de Ameaça)[18].…”