Ein Bedrohungsbericht ist mit TLP:AMBER markiert. Dürfen Sie ihn an Ihre Kunden weitergeben?

TLP-Labels wirken simpel, doch Interviewer prüfen damit, ob Sie geteilte Threat Intelligence verantwortungsvoll behandeln. Typische Fehler verwechseln AMBER mit RED oder GREEN.

Was TLP 2.0 sagt

Das Traffic Light Protocol von FIRST legt fest, wie weit Empfänger Informationen weitergeben dürfen:

• TLP:CLEAR: darf weltweit geteilt werden, vorbehaltlich der üblichen Urheberrechtsregeln.
• TLP:GREEN: darf innerhalb der Community, an Peers und Partnerorganisationen geteilt werden, aber nicht über öffentlich zugängliche Kanäle.
• TLP:AMBER: darf nach Need-to-know innerhalb der eigenen Organisation und an deren Kunden geteilt werden, um sie zu schützen oder weiteren Schaden zu verhindern. Kunden sind standardmäßig eingeschlossen.
• TLP:AMBER+STRICT: auf die eigene Organisation beschränkt; Kunden sind ausgeschlossen.
• TLP:RED: nur für namentlich genannte Empfänger, ohne weitere Offenlegung (in einem Meeting nur für Anwesende).

Praktische Auslegung

Einen AMBER-Bericht an Kunden weiterzuleiten, die ihn zur Abwehr brauchen, ist erlaubt; ihn in einem Blog zu veröffentlichen oder an einen ISAC-Peer zu geben, der kein Kunde ist, nicht. Hat die Quelle Einschränkungen ergänzt, gelten diese, und jede weitergehende Weitergabe braucht ihre ausdrückliche Erlaubnis.

Warum die Distraktoren verlockend sind

„Verlässt nie die Organisation" beschreibt AMBER+STRICT. „Ganze Community, öffentliche Kanäle" verwechselt AMBER mit GREEN/CLEAR. „Einzelne genannte Person" ist RED.

Was Interviewer hören wollen

Den Geltungsbereich von AMBER gegenüber AMBER+STRICT, die Need-to-know-Bedingung und den Reflex, vor einer Weitergabe über das Label hinaus die Quelle zu fragen.