Куда я попал?
Цель: обеспечение службы информационной безопасности актуальной информацией о текущих векторах атак, инструментарии злоумышленников и целях их интереса для заблаговременного укрепления защиты. Кроме того:
- своевременное выявление целевых атак на ранних стадиях за счет обогащения внутренних событий данными извне;
- автоматизация процессов SOC (Security Operations Center) и сокращение времени реагирования на инциденты;
- снижение "шума" в средствах защиты (SIEM, IDS/IPS, NGFW) за счет фильтрации легитимного трафика от известных вредоносных узлов;
- повышение точности корреляции событий ИБ и приоритизации уязвимостей.
Объекты мониторинга и источники данных: система TI работает с так называемыми индикаторами компрометации (IoC — Indicators of Compromise):
- сетевые IoC: IP-адреса ботнетов и C2-серверов (управления), домены фишинга, хеш-суммы вредоносных файлов (MD5, SHA-1, SHA-256), URL-ссылки;
- поведенческие IoC: тактики, техники и процедуры (TTP) злоумышленников согласно матрице MITRE ATT&CK, инструменты группировки (например, использование утилиты Mimikatz);
- контекстные данные: профили хакерских группировок (Attribution), их мотивации, геополитические риски, отраслевая специфика.
Ключевые возможности TI-систем:
- Агрегация и нормализация данных. Сбор индикаторов компрометации (IoC) из множества разрозненных источников (собственные сенсоры, платные фиды, OSINT, отчеты вендоров) с приведением их к единому формату (например, STIX/TAXII).
- Обогащение контекста (Enrichment). Автоматическое дополнение сырых технических данных метаданными: связь IP-адреса или хеша файла с конкретной хакерской группировкой, определение геолокации, возраста домена, типа вредоносного ПО.
- Управление жизненным циклом индикаторов (IOC Management). Автоматическая очистка баз от устаревших данных, устранение дубликатов записей и настройка срока жизни для каждого типа угрозы.
- Ретроспективный анализ (Threat Hunting). При появлении нового индикатора система за секунды проверяет все накопленные логи компании за последние месяцы на предмет его наличия, позволяя обнаружить уже закрепившихся в сети злоумышленников.
- Корреляция и атрибуция атак. Связывание отдельных событий ИБ в единую цепочку атаки по методологии MITRE ATT&CK, что позволяет понять тактику противника и предсказать его следующие шаги.
- Автоматизация оркестрации (SOAR-интеграция). Передача списков блокировки напрямую в средства защиты: межсетевые экраны, прокси-серверы, EDR-агенты и антиспам-фильтры без ручного копирования файлов.
- Мониторинг внешних цифровых рисков (DRP/ASM). Поиск упоминаний бренда, утечек учетных данных сотрудников в даркнете, мониторинг теневых форумов и выявление мошеннических ресурсов, имитирующих компанию.
- Предиктивная аналитика. Использование машинного обучения для прогнозирования вероятных целей следующей атаки на основе профиля отрасли и активности конкретных группировок.
- Визуализация связей. Построение графов взаимосвязей между индикаторами, уязвимостями и субъектами угроз для наглядной оценки вектора атаки.
Примеры российских TI-систем и платформ на рынке:
- Solar Threat Intelligence. Предоставляет фиды (STIX/TAXII, CSV, API) и отчёты.
- BI.ZONE Threat Intelligence. Ориентирована на российский ландшафт угроз, особенно в финансовом секторе, госсекторе и банках. Предоставляет данные о реальных атаках, кластерах активности, ежедневно обновляемые потоки индикаторов компрометации.
- X-Threat Intelligence (X-TI). Аккумулирует данные из более чем 1500 источников, включая собственные исследования лаборатории кибербезопасности банка. Анализирует и классифицирует информацию в реальном времени, чтобы оперативно уведомлять о потенциальных угрозах и давать рекомендации по их нейтрализации.
- F.A.C.C.T. (F6). Использует поведенческую аналитику и граф-анализ связей между объектами атак. Обладает крупнейшей на российском рынке базой Carding & Fraud-данных и технологией Graph Network для атрибуции киберпреступников и визуализации инфраструктур атак.
- Angara CTI (Angara Security). Предоставляет не только данные об угрозах, но и практическую аналитику для принятия управленческих решений в области ИБ.
Рекомендации к заполнению карточки:
- Учтите систему класса "Threat Intelligence (TI)" в модуле "Активы" (указать название, сертификат соответствия (при необходимости) и иную информацию);
- TI-систему (как актив) привяжите к карточке меры как инструмент.
Область действия: Вся организация
Классификация
Тип
Техническая
?
Превентивная
?
Реализация
Автоматически
Периодичность
Постоянно
Ответственный
Не определено
Инструменты
Не определено
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.