Traffic Light Protocol (TLP) 2.0

Traffic Light Protocol (TLP) версия 2.0

Traffic Light Protocol (TLP) 2.0 е стандарт на FIRST (Forum of Incident Response and Security Teams) за обозначаване на това до кого може да бъде споделена чувствителна информация. Той се използва широко при управление на киберинциденти, обмен на информация за заплахи, уязвимости и инциденти между организации, CSIRT/SOC екипи и партньори.

Важно е да се разграничава от формална класификация на информацията: TLP не е правно обвързваща система за класификация и не отменя законови или договорни ограничения.

Четирите нива на TLP 2.0

Маркировка	Цвят	Кога се използва	Къде може да се споделя
TLP:CLEAR	Бял	Информация с малък или никакъв риск при публично разпространение	Без ограничения
TLP:GREEN	Зелен	Информация, полезна за определена общност или сектор	В рамките на съответната общност
TLP:AMBER	Кехлибарен	Чувствителна информация, която трябва да бъде ограничена	В рамките на организацията и нейните клиенти, при необходимост
TLP:RED	Червен	Изключително чувствителна информация	Само конкретните получатели

FIRST определя именно тези четири основни маркировки като валидните TLP обозначения.

TLP:AMBER+STRICT

Това е една от важните новости в TLP 2.0.

TLP:AMBER+STRICT означава, че информацията може да бъде споделяна само вътре в организацията на получателя. Тя не трябва да бъде предоставяна на клиенти, партньори или други външни лица.

Пример:

TLP:AMBER → служителят може да сподели информацията с подходящ външен клиент, ако това е необходимо.
TLP:AMBER+STRICT → служителят може да я сподели само с колеги в собствената си организация.

Какво се промени от TLP 1.0 към TLP 2.0

Основните промени са:

• TLP:WHITE → TLP:CLEAR
• добавен е TLP:AMBER+STRICT
• терминологията е прецизирана и уеднаквена;
• въведени са по-ясни дефиниции за community, organization и clients;
• добавени са официални цветови стойности;
• подобрена е пригодността за международно използване и превод.

TLP 2.0 е публикуван през август 2022 г. и заменя TLP 1.0 като актуален стандарт. FIRST посочва TLP 2.0 като текущата версия.

Практически пример за ИТ организация

Ако вашият SOC екип получи информация за киберинцидент:

TLP:CLEAR

Публична информация за нова уязвимост, която може да бъде публикувана на сайта на организацията.

TLP:GREEN

Анализ на атака, който е полезен за други организации от същия сектор, но не е подходящ за публично публикуване.

TLP:AMBER

Подробности за конкретна атака срещу организацията, които могат да бъдат споделени с определени клиенти или партньори при необходимост.

TLP:AMBER+STRICT

Подробности за компрометиран сървър, които могат да бъдат разпространявани само между служители на организацията.

TLP:RED

Конкретни IOC, доказателства и оперативни данни за текущ инцидент, предоставени само на конкретния CSIRT/SOC екип или определени лица.