Threat Intelligence: знать угрозу до того, как она придёт

Threat Intelligence (разведка угроз) — это данные об актуальных угрозах и индикаторах компрометации. Простыми словами: информация о том, кто атакует компании прямо сейчас, какими инструментами и по каким признакам это можно распознать. Имея такие данные, защита перестаёт быть слепой и начинает работать на опережение.

Что входит в эти данные

Ядро Threat Intelligence — индикаторы компрометации (IoC, indicators of compromise): конкретные «следы» атак, по которым их можно опознать. Это адреса вредоносных серверов, домены фишинговых сайтов, контрольные суммы зловредных файлов, почтовые адреса рассылок. Если такой индикатор всплывает в вашей сети — почти наверняка идёт атака.

Помимо технических индикаторов разведка угроз включает описание методов атакующих: какие группы активны в вашей отрасли, какие схемы используют, через что обычно проникают. Это помогает не только ловить готовые атаки, но и закрывать слабые места заранее.

Уровни разведки

• Технический — потоки IoC, которые автоматически загружаются в средства защиты для блокировки.
• Тактический — описание приёмов и инструментов атакующих, помогает настроить правила обнаружения.
• Стратегический — общая картина угроз для отрасли, нужна руководству и службе ИБ для планирования.

Как это работает на практике

Сами по себе данные об угрозах бесполезны — ценность появляется, когда они подключены к средствам защиты. Потоки индикаторов автоматически загружаются в системы мониторинга и сетевую защиту. Дальше всё происходит без участия человека: как только в трафике или журналах появляется известный вредоносный адрес или файл, система поднимает тревогу или блокирует соединение.

Когда система мониторинга получает срабатывание, аналитик сразу видит контекст: что это за угроза, насколько опасна, как с ней бороться. Это резко ускоряет разбор инцидентов. О том, как устроен такой постоянный мониторинг и зачем он бизнесу, мы подробно пишем в статье нужен ли бизнесу SOC и мониторинг ИБ.

Зачем бизнесу

• Блокировка известных угроз до того, как они нанесут ущерб
• Быстрый разбор инцидентов — у аналитика сразу есть контекст по угрозе
• Приоритизация защиты — понятно, какие угрозы реально актуальны для отрасли
• Меньше ложных тревог — данные помогают отделить настоящую атаку от шума

Что включает наша услуга

• Подключение потоков индикаторов компрометации к средствам защиты заказчика
• Интеграция разведки угроз в систему мониторинга и сетевую защиту
• Настройка автоматической блокировки по индикаторам
• Разбор срабатываний и реагирование из нашего центра мониторинга

Связанные термины

• SIEM — сбор и корреляция событий безопасности — куда загружаются индикаторы угроз для сопоставления с событиями
• SOC — центр мониторинга безопасности — команда, которая применяет разведку угроз в работе
• EDR/XDR — защита и реагирование на конечных устройствах — потребляет индикаторы для блокировки угроз на компьютерах