A practical approach to cyber threat intelligence for the financial sector

The financial system is a tangled network of technologies with multiple participants and a large flow of information. Infrastructures must be efficient, reliable and safe to enable a proper functioning of the offered financial services to the broader economy. Due to the possible high payoffs and the ability to act remotely, many highly sophisticated cyber threat actors, both independent and state-sponsored, are targeting the financial sector. It is critical for financial organizations to proactively defend against cyberattacks, to solve this task Cyber Threat Intelligence (CTI) can be an effective solution. The CTI activity is capable of producing intelligence that allows to detect, predict and respond to threats. Intelligence is produced through information collection, from multiple internal and external sources, correlation and analysis. In the literature there are many definitions of CTI, its goals and activities, but none of them are detailed enough to practically implement it in a real scenario. Starting from literature definitions, we have identified what was lacking or was not effective for a practical implementation to understand in which area our work should have been focused on. In this thesis, we have defined a practical model of CTI and we have developed the supports that allow to turn that model into practice. In fact, we have identified which are the organization’s stakeholders involved in the CTI activity, what kind of intelligence they expect to receive and what kind of information they can feed to CTI. We have then defined the detailed activities for every phase and layer of the CTI. In the end, we have implemented the instruments to support the CTI operations: in the phase of data storage, correlation and structuring through the Cyber Threat Intelligence Bulletin, in the phase of intelligence classification through a source and information classification model and in the evaluation phase through the Evaluation Questionnaire.

Il sistema finanziario si fonda su un’intricata rete di tecnologie con numerosi partecipanti e grandi flussi di informazioni. Le infrastrutture tecnologiche devono essere efficienti, affidabili e sicure per garantire il corretto funzionamento dei servizi finanziari offerti. Molti criminali informatici altamente preparati, sia indipendenti che finanziati da entità governative, attaccano il settore finanziario per la possibilità di ottenere grandi guadagni agendo completamente da remoto. È fondamentale per le organizzazioni finanziarie difendersi proattivamente da questi attacchi informatici, a questo scopo la Cyber Threat Intelligence (CTI) può essere una soluzione efficace. L’attività di CTI è in grado di produrre l’intelligence che consente di rilevare, predire e rispondere alle minacce. L’intelligence è prodotta tramite la collezione di informazioni da molteplici sorgenti interne ed esterne, la loro correlazione e analisi. In letteratura esistono diverse definizioni di CTI, dei suo obiettivi e delle attività che la strutturano, ma non esiste una descrizione dettagliata che consenta l’implementazione pratica della CTI in uno scenario reale. Partendo dallo stato dell’arte abbiamo identificato cosa era mancante o inefficace per un’implementazione pratica, al fine di capire dove il nostro lavoro si sarebbe dovuto concentrare. In questa tesi abbiamo definito un modello pratico di CTI e abbiamo inoltre sviluppato gli strumenti a supporto che consentono di tradurre il modello nella pratica. Abbiamo infatti identificato gli stakeholder coinvolti nell’attività di CTI, quale tipo di intelligence si aspettano di ricevere e quale tipo di informazioni questi possono condividere con la CTI. Infine, abbiamo implementato gli strumenti a supporto delle attività di CTI: nella fase di archiviazione dei dati, correlazione e strutturazione attraverso il Cyber Threat Intelligence Bulletin, nella fase di classificazione dell’intelligence attraverso il modello di classificazione delle sorgenti e delle informazioni e nella fase di valutazione attraverso l’Evaluation Questionnaire.