معلومات استخباراتية حول التهديدات السيبرانية

يُعدّ استخبارات التهديدات السيبرانية ( CTI ) جزءًا من الأمن السيبراني ، ويركز على جمع وتحليل ومشاركة المعلومات حول التهديدات السيبرانية المحتملة أو القائمة . ^{[ 1 ] [ 2 ]} وهو يزود المؤسسات بالمعلومات اللازمة للتنبؤ بالهجمات السيبرانية ومنعها والاستجابة لها ، مما يمكّنها من فهم سلوك المهاجمين وتكتيكاتهم ونقاط الضعف التي يستغلونها. ^{[ 3 ] [ 4 ] [ 5 ]}

تشمل مصادر معلومات التهديدات السيبرانية البيانات مفتوحة المصدر ، ووسائل التواصل الاجتماعي ، والمعلومات التشغيلية والتقنية، وملفات سجلات الأجهزة ، والتحليل الجنائي ، وحركة مرور الإنترنت، بالإضافة إلى البيانات من الإنترنت المظلم والإنترنت العميق .

تتميز برامج استخبارات التهديدات السيبرانية الحديثة عن مجرد استخدام بيانات الأمن الخام، لأنها تجمع بين المراقبة التقنية ومصادر المعلومات الخارجية وأساليب التحليل لإعداد تقييمات محددة ومفيدة حول التهديدات السيبرانية التي تستهدف منظمات أو قطاعات أعمال معينة. ^{[ 6 ] [ 7 ]}

يُضفي التحليل المعمق سياقًا لأفعال المهاجمين وقدراتهم ونواياهم، مما يُساعد المؤسسات على تحديد الأولويات وتخصيص موارد الأمن بكفاءة. فعندما تُبني الشركات قراراتها على المعلومات الاستخباراتية والتحليلات، يُمكنها اتخاذ إجراءات استباقية بدلًا من مجرد رد الفعل على الحوادث الأمنية، وبالتالي منع الاختراقات قبل وقوعها. ^{[ 8 ]} وقد ازدادت أهمية هذا النهج في السنوات الأخيرة، حيث تُشير تقديرات شركة IBM إلى أن استغلال الثغرات الأمنية هو أكثر الطرق شيوعًا لاختراق الشركات، إذ يُمثل 47% من إجمالي الهجمات. ^{[ 9 ]}

ساهمت جائحة كوفيد -19 وتزايد العمل عن بُعد في زيادة تعرض البيانات للتهديدات، مما جعلها أكثر عرضة للخطر. ونظرًا لتزايد التهديدات من جهة، وتزايد متطلبات التحليل من جهة أخرى، قررت العديد من الشركات في السنوات الأخيرة إسناد مهام تحليل التهديدات إلى مزود خدمة أمنية مُدارة (MSSP). ^{[ 10 ]}

أصبحت تحليلات التهديدات السيبرانية أيضاً عنصراً مهماً في مراكز عمليات الأمن الحديثة ، حيث تُستخدم بيانات استخبارات التهديدات لإثراء التنبيهات، وتحديد البنية التحتية الخبيثة، ودعم الاستجابة للحوادث وأنشطة البحث عن التهديدات. ^{[ 11 ]}

توجد ثلاثة مستويات تصنيفية لمعلومات التهديدات السيبرانية: التكتيكي، والتشغيلي، والاستراتيجي. ^{[ 4 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ]} يخدم كل منها جمهورًا وهدفًا محددين في بناء تقييم شامل للتهديدات.

• التكتيكي: هو المستوى التقني الأعلى، ويركز على الكشف الفوري والاستجابة السريعة. تتكون المعلومات الاستخباراتية التكتيكية من مؤشرات اختراق محددة (IOCs): عناوين IP ، وأسماء النطاقات ، وتجزئات الملفات ، وتوقيعات البرامج الضارة، وما شابهها من بيانات. تستخدم فرق عمليات الأمن هذه المؤشرات لتحديد التهديدات وحظرها في الوقت الفعلي من خلال قواعد SIEM ، وسياسات جدار الحماية ، وأنظمة الكشف عن نقاط النهاية. ^{[ 4 ] [ 12 ] [ 16 ] [ 13 ] [ 15 ]}
• العملياتي: يركز على فهم سلوك الخصوم وحملاتهم. يحلل الاستخبارات العملياتي هوية الجهات الفاعلة في التهديد، وتكتيكاتها، وتقنياتها، وإجراءاتها ، وأنماط البنية التحتية، ودوافعها، وحملاتها الجارية. يساعد هذا المستوى فرق الأمن على توقع كيفية تطور الهجمات، والتعرف على أساليب الخصوم، وفهم السياق الأوسع وراء حوادث محددة. تشمل المصادر نتائج الاستجابة للحوادث، وتحليل البرامج الضارة، وتحديد خصائص الجهات الفاعلة في التهديد، وتقارير موردي الأمن، والمعلومات الاستخباراتية من مجموعات تبادل الخبرات في القطاع، والتوصيات الحكومية. ^{[ 4 ] [ 12 ] [ 13 ] [ 15 ]}
• استراتيجية: مصممة خصيصًا للجمهور غير التقني، ولا سيما المديرين التنفيذيين وأعضاء مجالس الإدارة. تتناول المعلومات الاستراتيجية المخاطر التجارية رفيعة المستوى: الجهات الفاعلة التي تستهدف قطاع المؤسسة، والعوامل الجيوسياسية المؤثرة على مشهد التهديدات، والاتجاهات طويلة الأجل، والتأثير المحتمل للتهديدات السيبرانية على الأعمال. تُقدم هذه المعلومات من خلال التقارير والإحاطات وتقييمات المخاطر، مما يساعد القيادة على تحديد أولويات الاستثمارات الأمنية وفهم كيفية توافق المخاطر السيبرانية مع أهداف المؤسسة. ^{[ 4 ] [ 12 ] [ 13 ] [ 15 ]}

يركز تحليل التهديدات التقنية على مؤشرات الاختراق القابلة للقراءة آليًا، مثل عناوين IP الخبيثة، وأسماء النطاقات، وتجزئات الملفات، وخوادم أو بنية التحكم والسيطرة . وهذا يُمكّن من الكشف والاستجابة الآلية. وبينما يُصنّف التحليل التقليدي إلى استراتيجي وتكتيكي وتشغيلي، فإن بعض المؤسسات الكبيرة تُعرّف تحليل التهديدات التقنية كفئة مستقلة (رابعة) ضرورية لمراكز عمليات الأمن السيبراني. ^{[ 17 ] [ 18 ]}

تُفرّق بعض منصات تحليل التهديدات بين التحليلات القائمة على المؤشرات والتحليلات القائمة على السلوك. تركز التحليلات القائمة على المؤشرات على عناصر تقنية محددة، مثل عناوين IP الخبيثة، وتجزئات الملفات، وما إلى ذلك. أما التحليلات القائمة على السلوك، فتُحلل تكتيكات المهاجمين وتقنياتهم للكشف عن التهديدات التي قد تُغير بنيتها التحتية أو مؤشراتها بمرور الوقت. ^{[ 11 ] [ 19 ]}

يمكن الحصول على معلومات حول تهديدات الأمن السيبراني من مصادر متنوعة، تشمل: بيانات القياس عن بُعد الداخلية من أدوات الأمان، وبيانات سجلات الشبكة، وبيانات أنظمة نقاط النهاية، وتحليل البرمجيات الخبيثة ، ومصادر معلومات التهديدات المتخصصة من مزودي حلول الأمن السيبراني، ومعلومات المصادر المفتوحة (OSINT)، ومراقبة الإنترنت المظلم، والتقارير التحليلية الصادرة عن الجهات الحكومية أو شركات الأمن الخاصة. وللحصول على رؤى تحليلية فعّالة، من الضروري دمج البيانات من أدوات الأمان الداخلية مع التقارير الفنية والاستراتيجية الخارجية للحصول على نظرة أشمل لمشهد التهديدات. ^{[ 20 ] [ 21 ]}

تُعدّ عملية تطوير معلومات استخباراتية حول التهديدات السيبرانية عملية دائرية ومستمرة، تُعرف بدورة الاستخبارات، وتتألف من خمس مراحل، ^{[ 12 ] [ 22 ] [ 16 ] [ 13 ]} تُنفذها فرق الاستخبارات لتزويد القيادة بمعلومات استخباراتية ملائمة ومناسبة للحد من المخاطر والغموض. ^{[ 16 ]}

المراحل الخمس هي: 1) التخطيط والتوجيه؛ 2) الجمع؛ 3) المعالجة؛ 4) التحليل؛ 5) النشر. ^{[ 12 ] [ 22 ] [ 16 ] [ 13 ]}

في مرحلتي التخطيط والتوجيه، يطلب عميل المنتج الاستخباراتي معلومات استخباراتية حول موضوع أو هدف محدد. بعد ذلك، وبناءً على توجيهات العميل، تبدأ المرحلة الثانية، وهي مرحلة جمع المعلومات، والتي تتضمن الوصول إلى المعلومات الأولية اللازمة لإنتاج المنتج الاستخباراتي النهائي. ولأن المعلومات ليست استخبارات بحد ذاتها، فلا بد من تحويلها، وبالتالي يجب أن تمر بمرحلتي المعالجة والتحليل: في مرحلة المعالجة (أو ما قبل التحليل)، تُصفّى المعلومات الأولية وتُجهّز للتحليل من خلال سلسلة من التقنيات (فك التشفير، والترجمة اللغوية، واختزال البيانات، إلخ). في مرحلة التحليل، تُحوّل المعلومات المنظمة إلى معلومات استخباراتية. وأخيرًا، تأتي مرحلة النشر، حيث تُرسل المعلومات الاستخباراتية المختارة حديثًا حول التهديدات إلى مختلف المستخدمين لاستخدامها. ^{[ 22 ] [ 13 ]}

يعتمد نموذج دورة الاستخبارات في مجال تحليل التهديدات السيبرانية على أساليب الاستخبارات التقليدية التي تستخدمها وكالات الاستخبارات العسكرية والحكومية ، حيث يتم استخدام التحليل المنظم لتحويل البيانات الأولية إلى رؤى ضرورية لاتخاذ القرارات. ^{[ 23 ]}

هناك ثلاثة عناصر أساسية مطلوبة لكي تُعتبر المعلومات أو البيانات بمثابة معلومات استخباراتية عن التهديدات: ^{[ 13 ]}

• قائم على الأدلة: لكي تكون معلومات التهديدات مفيدة، يجب جمعها من خلال أساليب جمع الأدلة المناسبة. ^{[ 24 ]} على سبيل المثال، يمكن أن يساعد تحليل البرامج الضارة في توليد معلومات التهديدات.
• الفائدة: ينبغي أن تؤثر معلومات التهديدات بشكل إيجابي على الحوادث الأمنية من خلال توفير معلومات مفيدة. ويجب أن تقدم سياقًا واضحًا وبيانات حول سلوكيات وأساليب محددة. ^{[ 25 ]}
• قابلة للتنفيذ: لكي تُعتبر المعلومات معلومات استخباراتية عن التهديدات، يجب أن تؤدي إلى اتخاذ إجراء. هذا ما يميز المعلومات الاستخباراتية عن مجرد البيانات. ^{[ 26 ]}

كما يسلط باحثو الأمن السيبراني الضوء على عوامل أخرى لجودة معلومات التهديدات، مثل الدقة والشمولية والتوقيت المناسب والتوافق والملاءمة للبيئة التي سيتم استخدامها فيها. ^{[ 27 ]}

توفر معلومات التهديدات السيبرانية عدداً من الفوائد، والتي تشمل ما يلي:

• يمنح هذا النظام المنظمات والوكالات والكيانات الأخرى القدرة على تطوير وضع استباقي وقوي للأمن السيبراني، وتعزيز إدارة المخاطر العامة وسياسات الأمن السيبراني واستجاباتها. ^{[ 28 ]}
• يدفع ذلك الزخم نحو وضع استباقي للأمن السيبراني يكون تنبؤياً، وليس مجرد رد فعل بعد وقوع هجوم سيبراني. ^{[ 8 ]}
• يوفر هذا السياق والرؤى حول الهجمات النشطة والتهديدات المحتملة للمساعدة في اتخاذ القرارات. ^{[ 12 ]}
• يمنع ذلك اختراقات البيانات من كشف المعلومات الحساسة، وبالتالي يمنع فقدان البيانات. ^{[ 15 ]}
• يقلل التكاليف. بما أن اختراقات البيانات مكلفة، فإن تقليل مخاطر اختراقات البيانات يساعد على توفير المال. ^{[ 15 ]}
• ^{[ 15 ]} يوفر هذا الدليل للمؤسسات إرشادات حول تطبيق التدابير الأمنية لمنع الهجمات المستقبلية.
• يُمكّن من تبادل المعرفة والمهارات والخبرات بين مجتمع الأمن السيبراني وأصحاب المصلحة في النظام. ^{[ 15 ]}
• يساعد ذلك على تحديد المخاطر والتهديدات بسهولة ودقة أكبر، بالإضافة إلى آليات التنفيذ، ومؤشرات الاختراق عبر البنية التحتية، والجهات الفاعلة والمحفزات المحتملة. ^{[ 29 ]}
• يساعد في اكتشاف الهجمات أثناء هذه المراحل وقبلها. ^{[ 29 ]}
• يوفر مؤشرات على الإجراءات المتخذة خلال كل مرحلة من مراحل الهجوم. ^{[ 29 ]}
• يقوم بإبلاغ أسطح التهديد، وأساليب الهجوم، والأنشطة الخبيثة الموجهة إلى كل من منصات تكنولوجيا المعلومات ومنصات التكنولوجيا التشغيلية.
• يُعد بمثابة مستودع بيانات قائم على الحقائق حول الهجمات الإلكترونية الناجحة والفاشلة.
• يوفر مؤشرات لفرق الاستجابة لحالات الطوارئ الحاسوبية ومجموعات الاستجابة للحوادث .

تساعد تحليلات التهديدات في تحسين آليات الكشف عن التهديدات من خلال تحديد أساليب المهاجمين وأنماط سلوكهم التي لم يتم اكتشافها بعد بواسطة أنظمة مراقبة الأمن الآلية. ^{[ 11 ]}

غالباً ما تستخدم المؤسسات برامج متخصصة تُعرف باسم منصات استخبارات التهديدات (TIPs) لتجميع بيانات استخبارات التهديدات وتحليلها وتوزيعها. ^{[ 30 ]}

تجمع منصات استخبارات التهديدات البيانات من مصادر داخلية وخارجية، بما في ذلك بيانات القياس عن بُعد لأنظمة الأمان، ومصادر المعلومات مفتوحة المصدر، ومستودعات البرمجيات الخبيثة، وقواعد بيانات الثغرات الأمنية، وتقارير موردي حلول الأمان. ومن خلال تجميع مؤشرات الاختراق (IoCs) وربطها، مثل عناوين IP الخبيثة، وأسماء النطاقات، وتجزئات الملفات، وبنية التحكم والسيطرة، تساعد هذه المنصات متخصصي الأمن على فهم سياقات التهديدات بشكل أفضل وتحديد أخطرها. ^{[ 31 ] [ 32 ]}

تُدمج منصات تكنولوجيا المعلومات عادةً مع أنظمة الأمن السيبراني الأخرى. ويتيح التكامل مع أدوات مثل أنظمة إدارة معلومات وأحداث الأمان (SIEM)، وحلول الكشف والاستجابة لنقاط النهاية (EDR)، ومنصات الاستجابة للحوادث، إثراء التنبيهات تلقائيًا وتسريع التحقيق في الحوادث الأمنية. ^{[ 19 ] [ 33 ] [ 34 ]}

تدعم منصات استخبارات التهديدات أيضًا عمليات البحث عن التهديدات والاستجابة للحوادث من خلال تنظيم المؤشرات وتقارير الاستخبارات ضمن مستودعات قابلة للبحث، مما يسمح للمحللين بربط الأحداث وتحديد الأنماط المرتبطة بحملات أو جهات تهديد محددة. ^{[ 35 ]}

تستخدم بعض منصات استخبارات التهديدات مسارات بيانات مؤتمتة وتقنيات التعلم الآلي لمعالجة كميات كبيرة من بيانات التهديدات وتوليد رؤى تحليلية لاستراتيجيات الأمن السيبراني الاستباقية. ^{[ 36 ] [ 37 ]}

تعتمد البرامج الحديثة لجمع وتحليل معلومات التهديدات السيبرانية على تنسيقات موحدة تتيح التبادل الآلي بين المؤسسات وأدوات الأمان، بالإضافة إلى معالجة البيانات التحليلية.

STIX (التعبير عن معلومات التهديد المهيكلة) هي لغة موحدة لتمثيل المعلومات التحليلية حول التهديدات الإلكترونية بتنسيق قابل للقراءة آليًا ، مما يسمح للمحللين بوصف المهاجمين والحملات ونقاط الضعف والمؤشرات ضمن نموذج بيانات مهيكل.

بروتوكول تبادل المعلومات الاستخباراتية الآلي الموثوق به (TAXII) هو بروتوكول لدعم التبادل الآلي لبيانات استخبارات التهديدات، ويستخدم عادةً لنقل المعلومات الاستخباراتية بتنسيق STIX. ^{[ 38 ]}

يُستخدم بروتوكول إشارات المرور (TLP) على نطاق واسع في تبادل معلومات التهديدات لتحديد كيفية مشاركة المعلومات الحساسة بين أعضاء المجتمعات الموثوقة. ^{[ 39 ]}

يستخدم المحللون نماذج تحليلية منظمة لفهم سلوك المهاجمين وتنفيذ التدابير الدفاعية. ^{[ 40 ]}

يصف نموذج سلسلة القتل السيبراني، الذي طورته شركة لوكهيد مارتن ، مراحل الهجوم السيبراني كتسلسل خطي: ​​الاستطلاع، والتسليح (إعداد أدوات الهجوم)، والتنفيذ، واستغلال الثغرات الأمنية، والتركيب، والقيادة والتحكم، والعمليات على الأهداف. يساعد هذا الإطار المدافعين على تحديد المرحلة التي يمكن فيها إحباط الهجوم. ^{[ 41 ]}

يدرس نموذج الماس لتحليل الاختراق العلاقات بين أربعة عناصر أساسية لأي عملية اختراق: المهاجم، وقدراته (الأدوات والتقنيات)، والبنية التحتية التي يستخدمها (النطاقات، وعناوين IP، وعناوين البريد الإلكتروني)، والضحية. وباستخدام هذه العلاقات عبر أحداث متعددة، يستطيع المحللون التنقل بين الحوادث، وتحديد الأنماط، ونسب النشاط إلى جهات تهديد أو حملات محددة. ^{[ 42 ]}

إطار عمل MITRE ATT&CK هو قاعدة معرفية لتكتيكات وتقنيات الخصوم، تستند إلى ملاحظات واقعية. يُصنّف هذا الإطار سلوك المهاجمين إلى 14 تكتيكًا (السبب وراء كل فعل - الوصول الأولي، والمثابرة، وتصعيد الامتيازات، والتهرب من الدفاعات، إلخ)، ومئات التقنيات (الكيفية - الأساليب المحددة المستخدمة لتحقيق كل تكتيك). على عكس سلسلة القتل السيبراني الخطية ، يوفر ATT&CK مصفوفة تفصيلية لسلوكيات الخصوم التي يمكن أن تحدث بأي ترتيب أو في وقت واحد. تستخدم فرق الأمن ATT&CK لربط معلومات التهديدات بضوابط الدفاع، وتقييم ثغرات التغطية، وإجراء تدريبات الفريق الأحمر، وبناء أنظمة كشف تتوافق مع أساليب الخصوم الفعلية. وقد أصبح المعيار الفعلي لوصف ومشاركة معلومات التهديدات التشغيلية.

أدى تزايد حجم وسرعة بيانات التهديدات السيبرانية إلى دفع المؤسسات لأتمتة أجزاء كبيرة من دورة حياة معلومات التهديدات، بما في ذلك جمع البيانات ومعالجتها وربطها وتوزيعها. ^{[ 37 ]} عادةً ما تستقبل أنظمة معلومات التهديدات الآلية البيانات من مصادر متعددة، ثم تعالج هذه المعلومات وتربطها لتحديد أنماط النشاط الخبيث. ^{[ 31 ]}

تُعد المعايير وبروتوكولات النقل القابلة للقراءة آلياً (STIX وTAXII) مكوناً مهماً لأنظمة CTI الآلية. ^{[ 43 ]}

يتيح التكامل بين منصات استخبارات التهديدات وأنظمة مركز عمليات الأمن (SOC) تحديد أولويات التنبيهات بشكل آلي وإثراء الأحداث الأمنية باستخدام مؤشرات استخباراتية. ^{[ 44 ]}

من عيوب أنظمة التحليل الآلي أنها قد تُنتج نتائج إيجابية خاطئة أو تعتمد على مؤشرات منخفضة الجودة، مما يستلزم من المحللين التحقق من النتائج وتقديم تفسير سياقي. لهذا السبب، تتبنى العديد من المؤسسات نموذجًا هجينًا، حيث تقوم الأنظمة الآلية بمعالجة البيانات على نطاق واسع، بينما يركز المحللون البشريون على تفسير التهديدات السيبرانية وتحديد مصدرها وتقييمها استراتيجيًا.

تحديد هوية منفذي الهجمات الإلكترونية هو عملية تحديد الجهة التي نفذت الهجوم: الأفراد، أو الجماعات المنظمة، أو الدول الراعية. ^{[ 45 ]} في مجال استخبارات التهديدات، يساعد تحديد هوية منفذي الهجمات المؤسسات على فهم نوايا الخصوم، وتحديد أولويات الدفاعات، وتوقع الاستهداف المستقبلي، ودعم القرارات الاستراتيجية. كما يدعم تحقيقات إنفاذ القانون واستجابات السياسات.

يعتمد تحديد مصدر الهجمات على أنواع متعددة من الأدلة: المؤشرات التقنية (البنية التحتية، شفرة البرمجيات الخبيثة)، والتحليل السلوكي (التكتيكات، والتقنيات، والأساليب التشغيلية)، والآثار اللغوية، وأنماط الاستهداف (اختيار الضحايا والتوافق الجيوسياسي)، والمعلومات الاستخباراتية من مصادر بشرية أو استخبارات الإشارات. ^{[ 46 ] [ 47 ]}

مع ذلك، يُعدّ تحديد مصدر الهجوم أمرًا صعبًا بطبيعته، وغالبًا ما يبقى احتماليًا لا قطعيًا. يلجأ المهاجمون بشكل روتيني إلى أساليب التمويه، مثل استخدام البنية التحتية للخوادم الوكيلة ، وشبكات VPN ، وأنظمة وسيطة مخترقة، وأدوات مسروقة أو مستأجرة. كما يقوم المهاجمون المتقدمون بزرع بيانات مضللة عمدًا عن طريق محاكاة أساليب وتقنيات وتقنيات الهجوم، أو اللغة المستخدمة، أو أنماط البنية التحتية لمجموعات أخرى، وذلك لتضليل جهود تحديد مصدر الهجوم. ^{[ 48 ]}

ونتيجةً لذلك، تتبنى شركات معلومات التهديدات المختلفة مناهج متباينة في تحديد المسؤولية. فبعضها يُنسب صراحةً جماعات التهديد إلى دول أو منظمات راعية محددة استنادًا إلى تحليلاتها ومستويات ثقتها. بينما يتجنب البعض الآخر عمدًا التحديد الجيوسياسي، مكتفيًا بتوثيق الحقائق القابلة للملاحظة والتي لا جدال فيها، مثل آثار اللغة في البرمجيات الخبيثة، والبنية التحتية المشتركة، أو القدرات التقنية، وتتبع مجموعات الخصوم باستخدام مُعرّفات محايدة. وعادةً ما تُعبّر تقييمات تحديد المسؤولية عن مستويات متفاوتة من الثقة (منخفضة، متوسطة، عالية) بدلًا من اليقين، وقد تترتب على الاستنتاجات الخاطئة عواقب دبلوماسية أو قانونية أو استراتيجية. ^{[ 49 ] [ 50 ] [ 51 ] [ 52 ]}

في عام 2015، شجع قانون تبادل معلومات الأمن السيبراني، الذي أصدرته الحكومة الأمريكية، على تبادل مؤشرات استخبارات التهديدات السيبرانية بين المؤسسات الحكومية والخاصة. وقد ألزم هذا القانون الحكومة الفيدرالية الأمريكية بتيسير وتعزيز أربعة أهداف لاستخبارات التهديدات السيبرانية: ^{[ 53 ]}

1. مشاركة "مؤشرات التهديدات السيبرانية المصنفة وغير المصنفة التي بحوزة الحكومة الفيدرالية مع الكيانات الخاصة أو الوكالات الحكومية غير الفيدرالية أو حكومات الولايات أو القبائل أو الحكومات المحلية"؛
2. مشاركة "المؤشرات غير المصنفة مع الجمهور"؛
3. تبادل "المعلومات مع الكيانات المعرضة لتهديدات الأمن السيبراني لمنع أو تخفيف الآثار السلبية"؛
4. تبادل "أفضل الممارسات في مجال الأمن السيبراني مع التركيز على التحديات التي تواجهها الشركات الصغيرة".

في عام 2016، أصدرت الوكالة الحكومية الأمريكية المعهد الوطني للمعايير والتكنولوجيا (NIST) منشورًا (NIST SP 800–150) أوضح بشكل أكبر ضرورة تبادل معلومات التهديدات السيبرانية بالإضافة إلى إطار عمل للتنفيذ. ^{[ 54 ]}

بالإضافة إلى الولايات المتحدة، يتم تنسيق تبادل المعلومات في الوقت الفعلي حول التهديدات السيبرانية من خلال منظمات دولية وصناعية، مثل مراكز تبادل وتحليل المعلومات (ISACs)، التي تسهل التعاون بين الشركات في قطاعات البنية التحتية الحيوية ، بما في ذلك التمويل والطاقة والنقل. ^{[ 55 ]}

• قانون تبادل وحماية المعلومات الاستخباراتية السيبرانية
• هجوم حجب الخدمة
• مؤشر على التسوية
• البرامج الضارة
• تحليل البرامج الضارة
• برامج الفدية
• منصة استخبارات التهديدات
• ثغرة اليوم الصفر (في مجال الحوسبة)

• بوريس جيانيتو - بييرلويجي باغانيني (2020). إتقان التواصل في أنشطة الاستخبارات السيبرانية: دليل المستخدم الموجز . مجلة الدفاع السيبراني.
• أنكا دينيكو، "نيكولاي بالشيسكو"، أكاديمية القوات البرية، سيبيو، رومانيا، التهديدات السيبرانية للأمن القومي. السمات المحددة والجهات الفاعلة المشاركة - النشرة العلمية رقم 2(38)/2014
• يوم الصفر: التخريب السيبراني النووي، بي بي سي فور - فيلم وثائقي مثير عن الحرب في عالم بلا قوانين - عالم الحرب السيبرانية. يروي الفيلم قصة ستوكسنت، وهو برنامج خبيث ذاتي التكاثر، يُعرف باسم "الدودة" لقدرته على التسلل من أجهزة الكمبيوتر.
• شرح عملية البحث عن التهديدات - مقال قصير يشرح معلومات التهديدات السيبرانية.
• معلومات التهديدات السيبرانية - ما هي معلومات التهديدات السيبرانية؟ - دليل شامل للمبتدئين.