01◎
INDICATORS
Indicadores técnicos
Dominios, direcciones, hashes y otros elementos publicados en investigaciones o reportes.
03.2THREAT INTELLIGENCE
Señales aisladasno explican una amenaza.
Analizamos información pública, infraestructura, indicadores y contexto para ayudar a una organización a comprender qué amenazas pueden ser relevantes para su entorno.
03.2.1THREAT INTELLIGENCE
Información sobre amenazassólo importa cuando tiene contexto.
Una dirección IP, dominio o reporte aislado puede indicar muy poco por sí solo.
La inteligencia aparece cuando relacionamos señales, verificamos fuentes y entendemos qué relevancia tienen para una organización específica.
Nuestro objetivo no es acumular indicadores. Es ayudar a distinguir qué merece atención y qué puede descartarse como ruido.
03.2.2SEÑALES Y FUENTES
Trabajamos principalmente con información públicamente disponible, reportes técnicos y señales relevantes para el alcance.
02⌁
INFRASTRUCTURE
Infraestructura
Relaciones entre dominios, servicios, alojamiento y otros elementos observables.
03▰
REPORTING
Reportes técnicos
Investigaciones públicas de proveedores, organizaciones y equipos de seguridad.
04⌖
TECHNIQUES
Técnicas observadas
Patrones y métodos descritos públicamente que ayudan a construir contexto.
05+
DISCLOSURES
Avisos públicos
Comunicados, vulnerabilidades y publicaciones relevantes para tecnologías utilizadas por una organización.
06◉
ORGANIZATION
Contexto propio
Tecnologías, exposición y características del entorno que determinan si una amenaza resulta relevante.
03.2.3INDICATOR ≠ INTELLIGENCE
CONTEXT CHANGES THE VALUE OF A SIGNALUn indicadorno es una conclusión.
Una señal puede ser antigua, compartida por múltiples servicios, mal atribuida o simplemente irrelevante para el entorno que estamos analizando.
Antes de convertirla en una recomendación, necesitamos verificar origen, temporalidad, relaciones y relevancia.
INDICATOR ASSESSMENTVERIFYING
INDICATORDOMAIN / HOST
OBSERVEDSOURCEPUBLIC REPORT
TRACEABLETIMERECENCY CHECK
VERIFYRELEVANCECLIENT ENVIRONMENT
ASSESS03.2.4PROCESO
De una señala una decisión informada.
El análisis busca reducir incertidumbre, no producir certeza donde la evidencia todavía no la permite.
COLLECT
Recopilar
Reunimos señales y fuentes relevantes dentro del alcance definido.
VERIFY
Verificar
Contrastamos origen, temporalidad y consistencia de la información.
CORRELATE
Relacionar
Conectamos indicadores, infraestructura, técnicas y contexto conocido.
ASSESS
Evaluar
Determinamos qué tan relevante puede ser la información para el entorno.
COMMUNICATE
Comunicar
Presentamos hallazgos, nivel de confianza y acciones posibles.
03.2.5 / RELEVANCENOT EVERY THREAT APPLIES TO EVERY ORGANIZATION
La pregunta no es sólo“¿qué amenazas existen?”
También necesitamos preguntar: “¿cuáles podrían importar para este entorno?”
TECHNOLOGY
Tecnología
Qué sistemas, plataformas y dependencias utiliza la organización.
EXPOSURE
Exposición
Qué partes del entorno pueden observarse externamente.
SECTOR
Contexto sectorial
Actividad, operación y características que pueden modificar la relevancia.
TIMING
Temporalidad
Una señal histórica puede tener un valor distinto a una actividad reciente.
03.2.6ENTREGABLES
Inteligenciaque pueda utilizarse.
Resumen ejecutivo
Principales hallazgos, contexto y relevancia general.
Indicadores verificados
Señales técnicas acompañadas de fuente y contexto.
Relaciones de infraestructura
Mapa de conexiones observadas cuando resultan relevantes.
Análisis de relevancia
Evaluación sobre por qué una señal puede o no importar para el entorno.
Recomendaciones
Acciones de revisión, monitoreo o mitigación que tengan sentido.
03.2.7 / CONFIDENCE
No toda conclusióntiene el mismo nivel de certeza.
La inteligencia trabaja frecuentemente con información incompleta.
Por eso distinguimos hechos observados, relaciones sustentadas e inferencias que todavía requieren validación.
ANALYTIC CONFIDENCEREFERENCE MODEL
FACTDIRECTLY OBSERVED
HIGHRELATIONSHIPMULTIPLE SOURCES
SUPPORTEDASSESSMENTANALYTIC JUDGMENT
QUALIFIEDUNKNOWNINSUFFICIENT EVIDENCE
OPEN03.2.8OSINT
Threat Intelligencese construye sobre investigación.
Buena parte del contexto puede comenzar con información públicamente disponible.
OSINT ayuda a descubrir y verificar señales; Threat Intelligence añade relevancia, contexto de amenaza y utilidad para decisiones.
EXPLORAR OSINT↗ 03.2.9 / TECHNOLOGY
Correlacionar señalestambién es un problema de ingeniería.
ARGUS es una iniciativa tecnológica de EVOFCS orientada a recopilar, relacionar y analizar señales relacionadas con infraestructura y exposición digital.
Parte de nuestra investigación explora cómo automatizar organización y correlación sin sustituir el análisis humano.
CONOCER ARGUS↗ARGUSSIGNAL CORRELATION
↓
↓
↓
03.2.10CUÁNDO TIENE SENTIDO
Cuando necesita saberqué merece atención primero.
Contexto sobre una amenaza
Entender si una campaña o indicador reportado puede ser relevante.
Revisión de exposición
Relacionar amenazas conocidas con tecnologías y activos observables.
Investigación técnica
Construir contexto alrededor de infraestructura o indicadores.
Priorización de seguridad
Ayudar a decidir qué señales merecen revisión adicional.
Gobierno y seguridad
Investigación técnica dentro de objetivos, alcances y fuentes legítimas.
03.2.11PRINCIPIOS
Inteligenciasin exageración.
Fuente trazable
Siempre que sea posible, un hallazgo debe poder regresar a su evidencia.
Verificación
Evitamos escalar señales únicamente porque aparecieron en una fuente.
Contexto
La relevancia depende del entorno que estamos protegiendo.
Hecho vs inferencia
Diferenciamos claramente lo observado de lo interpretado.
Alcance legítimo
La investigación se mantiene dentro de objetivos y fuentes apropiadas.
EVOFCS / THREAT INTELLIGENCECONTEXT BEFORE CONCLUSION
Sepa qué señalesmerecen realmente su atención.
Podemos analizar una amenaza, indicador o conjunto de señales y construir contexto alrededor de su relevancia para su organización.
HABLAR CON EVOFCS↗