Threat Intelligence Platform: как работает киберразведка и зачем она нужна компании

Киберугрозы давно перестали быть хаотичными. За большинством атак сегодня стоят организованные группы со своей инфраструктурой, инструментами и повторяющимися тактиками. Классические средства защиты видят только то, что уже попало внутрь периметра, и реагируют постфактум. Киберразведка, или threat intelligence, меняет подход: она позволяет знать об угрозе до того, как она будет реализована против конкретной организации. Инструментом, который превращает разрозненные данные о злоумышленниках в рабочую информацию, стала платформа Threat Intelligence Platform, сокращенно TIP.

Что такое TIP и чем она отличается от ленты индикаторов

Многие представляют киберразведку как поток индикаторов компрометации: вредоносные IP-адреса, домены, хеши файлов. На практике сырые индикаторы без контекста почти бесполезны. Платформа собирает данные из множества источников — открытых отчетов исследователей, даркнета, где продаются доступы и публикуются утечки, телеметрии вендоров средств защиты, — нормализует их, обогащает и связывает между собой. Она отвечает не только на вопрос, какой адрес вредоносен, но и на вопросы, кто за ним стоит, какую кампанию ведет, против каких отраслей работает и насколько достоверна информация. Подробно об устройстве этой работы рассказано в материале о киберразведке на сайте securityvision.ru.

Три уровня разведданных

Принято выделять три уровня киберразведки. Тактический — индикаторы, которые можно немедленно загрузить в межсетевые экраны, SIEM и песочницы. Оперативный — описания кампаний и методов конкретных группировок, он нужен аналитикам SOC и специалистам по реагированию. Стратегический — информация для руководства о том, какие угрозы актуальны для отрасли, как меняется ландшафт атак и куда инвестировать в защите. Зрелая платформа поддерживает все три уровня, потому что разные потребители в компании нуждаются в разной информации.

Интеграция с остальными средствами защиты

Ценность киберразведки раскрывается только в связке с другими системами. Платформа должна автоматически передавать релевантные индикаторы в SIEM для корреляции событий, в сканеры уязвимостей для приоритизации исправлений, в SOAR для обогащения данных при реагировании на инциденты. Когда аналитик расследует подозрительное событие, он одним запросом получает контекст: связан ли артефакт с известной группировкой, какие кампании идут сейчас, стоит ли объявить повышенный уровень угрозы. Именно такая интеграция отличает платформу от пассивной базы знаний. Обзор подхода к построению системы киберразведки размещен на странице решения TIP сайта securityvision.ru.

Кому нужна киберразведка

Раньше считалось, что threat intelligence — удел крупнейших организаций. Сегодня атакующие автоматизировали кампании и бьют по целым отраслям, поэтому сведения о том, кто и как атакует банки, ретейл, промышленность или телеком, полезны компании любого размера. Особенно важна киберразведка для организаций с собственным SOC, для субъектов критической информационной инфраструктуры и для тех, кто строит управление уязвимостями: без данных об эксплуатируемых в реальных атаках уязвимостях приоритизация исправлений превращается в гадание.

С чего начать построение процесса

Внедрение начинают не с покупки платформы, а с понимания задач: кто будет потреблять разведданные и для каких решений. Затем выбирают источники и оценивают их покрытие по отраслям и регионам, проверяют качество нормализации и скорость доставки. После этого настраивают интеграции с существующим стеком защиты и описывают регламенты: как часто обновляются индикаторы, кто принимает решения о блокировках, как данные учитываются при расследовании инцидентов. Грамотно выстроенный процесс дает главный результат — сокращение времени между появлением новой угрозы в мире и готовностью организации ее отразить.