Tipos de inteligencia y sus usos

Los autores usan etiquetas algo distintas; en este módulo se usa una división habitual de cuatro tipos. La estratégica responde quién amenaza al sector y qué riesgo corre el negocio, y va a quien decide presupuesto y prioridades. La operativa describe campañas en marcha y sirve a la jefatura de seguridad. La táctica describe cómo actúan los atacantes (comportamientos y técnicas) y alimenta la detección. La técnica son los indicadores concretos: direcciones, dominios, URL y huellas de archivos.

Un mismo hecho puede dar productos de los cuatro tipos. Lo que cambia es el lector y el plazo: cuanto más técnico, más rápido caduca.

Consulta tipos para ver a quién sirve cada uno.

Un producto sin destinatario claro acaba en una carpeta. Por eso la tabla productos_de_inteligencia anota para quién es cada uno y en qué formato llega. Quien administra el cortafuegos y el proxy necesita algo que pueda cargar y probar; quien dirige necesita dos páginas que pueda leer.

Busca el producto que está pensado para el equipo que opera la red y el proxy.

La columna vigencia_dias dice cuánto tiempo se espera que el producto siga siendo útil. Un producto de vigencia corta pide una revisión frecuente; si nadie lo revisa, sigue cargado cuando ya no describe nada real.

Cuenta con los datos: la vigencia de 30 días o menos entra en el conteo.

La inteligencia táctica no entrega una dirección que bloquear, sino una forma de actuar que se busca en los registros: por ejemplo, una cuenta que pide un cambio de datos bancarios fuera de su horario. Dura más que un indicador porque cambiar de comportamiento le cuesta más al atacante que cambiar de dirección.

Mira la columna tipo de la tabla de productos.

Un indicador técnico es barato de producir y barato de cambiar: el atacante estrena otra dirección con poco esfuerzo. Por eso se carga con fecha de fin y se revisa, en lugar de dejarlo para siempre.