Əsas fikir
Faydalı kəşfiyyat qərar qəbuluna kömək edir: rəhbərlik risk və investisiya prioritetlərini müəyyən edir, analitiklər isə hücum davranışı və indikatorlar əsasında aşkarlama qaydaları, təhdid axtarışları və cavab planları hazırlayırlar.
CTI nə edir?
Kiber təhdid kəşfiyyatı (CTI) mümkün və davam edən hücumlar barədə məlumatı toplayır, yoxlayır və qərara yararlı kontekstə çevirir. Mənbələrə daxili qeydlər, insidentlər və zəifliklər, habelə xarici xəbərdarlıqlar, araşdırmalar və təhdid indikatorları daxildir. Məqsəd xam məlumat yığmaq deyil: hansı riskin təşkilata aid olduğunu anlamaq, müdafiə tədbirini seçmək və nəticəni yenidən qiymətləndirməkdir.
CTI-nin 12 əməliyyat faydası
Bu istiqamətləri ayrı ölçün: hər biri fərqli qərara və komanda işinə təsir edir. Nəticəni aşkarlama, cavab, risk və əməliyyat yükü üzrə uyğun göstəricilərlə izləyin.
Erkən aşkarlama və cavab
Təhdid davranışını və indikatorlarını müşahidə edilən hadisələrlə tutuşduraraq araşdırmanı və eskalasiyanı vaxtında başladın.
Məlumatlı qərarlar
Aktivlərə, ehtimala və mümkün təsirə aid kontekstdən istifadə edərək müdafiə prioritetlərini və resurs bölgüsünü müəyyən edin.
İnsidentin idarəsi
Kampaniya, hücum üsulları və əlaqəli indikatorlar üzrə kontekst insidentin əhatəsini araşdırmağa və cavabı seçməyə kömək edir.
Riskə əsaslanan zəiflik idarəsi
Zəiflikləri aktiv istismar məlumatı, təsirlənən sistemlər və biznes təsiri ilə əlaqələndirib düzəliş ardıcıllığını qurun.
Maarifləndirmə və təlim
Cari fişinq mövzuları, zərərli proqram kampaniyaları və sosial mühəndislik üsulları əsasında rol üzrə təlim nümunələri hazırlayın.
İnkişaf edən hücumlara hazırlıq
Hücumçunun taktika, texnika və prosedurlarını (TTP) müdafiə tədbirləri ilə əlaqələndirin və yoxlanıla bilən aşkarlama ssenariləri hazırlayın.
Siqnalın dəqiqləşdirilməsi
İndikatorun mənbəyini, aktuallığını və yerli aktivlə uyğunluğunu yoxlayın; belə kontekst analitikin aşağı dəyərli siqnalları ayırmasına kömək edir.
Audit və risk hesabatı
Monitorinq, insident cavabı və risk azaldılması tədbirlərinin necə seçildiyini və izlənildiyini sənədləşdirin; tələbləri tətbiq olunan çərçivə ilə tutuşdurun.
Mövcud alətlərdən daha səmərəli istifadə
Uyğun indikator və qaydaları SIEM, IDS/IPS və endpoint müdafiəsinə ötürün, onların dəyərini və əməliyyat yükünü izləyin.
Uzunmüddətli planlama
Təkrarlanan kampaniyaları, sahə meyllərini və daxili boşluqları rəhbərliyə təqdim edib təhlükəsizlik yol xəritəsini yeniləyin.
Əməkdaşlıq və məlumat mübadiləsi
Tərəfdaşlar, sahə birlikləri və müvafiq dövlət qurumları ilə paylaşımı məxfilik, lisenziya və məlumat istifadəsi qaydalarına uyğun qurun.
Etibar və kommunikasiya
Təhlükə və insident barədə vaxtında, yoxlanmış məlumatı tərəfdaşlara və daxili rəhbərliyə çatdırın; iddiaları ölçülən faktlardan ayırın.
CTI növləri və onların istifadəçiləri
CTI növləri məlumatın təfərrüatına və dəstəklədiyi qərara görə fərqlənir; onların istifadəçiləri üst-üstə düşə bilər. Eyni hadisə rəhbərlik üçün riskin qiymətləndirilməsinə, analitiklər üçün hücum davranışının təhlilinə, SOC üçün kampaniya kontekstinə və texniki aşkarlama qaydasına əsas ola bilər.
Strateji
Auditoriya: rəhbərlər, CISO, risklərin idarə edilməsi üzrə mütəxəssislər və idarə heyəti. Məqsəd: investisiya, qəbul edilə bilən risk səviyyəsi və uzunmüddətli siyasət. Məlumat: hücumçuların motivləri, geosiyasi və sahə meylləri, yeni hücum istiqamətləri. Mənbələr: dövlət xəbərdarlıqları, sahə hesabatları və etibarlı tədqiqatlar.
Taktiki
Auditoriya: analitiklər, təhdid axtarışı üzrə mütəxəssislər və insidentə cavab komandası. Məqsəd: müdafiə tədbirlərini hücum üsullarına uyğunlaşdırmaq. Məlumat: fişinq, zərərli proqramın yayılması, istismar üsulları və TTP-lər. Mənbələr: zərərli proqram təhlili, icazəli nüfuzetmə sınaqları və yoxlanmış təhdid hesabatları.
Əməliyyat
Auditoriya: SOC, insidentə cavab komandası və təhdid axtarışı üzrə mütəxəssislər. Məqsəd: cari kampaniya üzrə qərarları sürətləndirmək. Məlumat: aktiv təhdid, hədəflənən sahə, hücum infrastrukturu, ehtimal olunan vaxt və üsullar. Mənbələr: insident məlumatları, tərəfdaş xəbərdarlıqları, hücumçuların yazışmaları və təsdiqlənmiş müşahidələr.
Texniki
Auditoriya: SOC analitikləri, sistem inzibatçıları və təhlükəsizlik mühəndisləri. Məqsəd: aşkarlama və cavaba maşınla emal edilə bilən məlumat vermək. Məlumat: IP, domen, URL, fayl heşi, şəbəkə imzası və C2 indikatorları. Mənbələr: təhdid platformaları, honeypotlar, zərərli proqram analiz mühitləri və OSINT.
Kəşfiyyat dövrü: sualdan əks-əlaqəyədək
İşə konkret qərar sualı ilə başlayın. Sonra yalnız həmin sual üçün gərəkli məlumatı toplayın, əlaqələri təhlil edin, nəticəni uyğun auditoriyaya çatdırın və tətbiq olunan tədbirin təsirini ölçün. Bu dövrə yeni müşahidə və düzəlişlərlə yenidən başlayır.
Tələbi müəyyən edin
Biznes məqsədini, kritik aktivləri, əhatəni, nəzərdən keçirilən müddəti və nəticənin kimə lazım olduğunu razılaşdırın.
Məlumatı toplayıb yoxlayın
Daxili telemetriyanı uyğun xarici mənbələrlə birləşdirin; mənbə, zaman, etibar və lisenziya məlumatlarını saxlayın.
Təhlil və kontekst əlavə edin
İndikatorları aktivlər, zəifliklər və müşahidə olunan davranışla əlaqələndirin. Təkrarları birləşdirin, uyğunsuzluğu araşdırın və etibarlılığı qiymətləndirin.
Nəticəni çatdırıb tətbiq edin
Rəhbərə risk və seçimləri, SOC-a davranış və konteksti, alətlərə isə yoxlanmış qaydanı və ya indikatoru verin. Cavab səlahiyyətini əvvəlcədən müəyyənləşdirin.
Təsiri ölçüb yeniləyin
Aşkarlama və cavab vaxtını, araşdırma nəticəsini, yersiz siqnalları və bağlanmış boşluqları izləyin. Komanda rəyi və yeni təhdid məlumatı ilə tələbi, mənbəni və qaydanı yeniləyin.
Məqsəd, çərçivə və mənbələr
CTI proqramını ümumi təhlükəsizlik və biznes məqsədlərinə bağlayın. Əhatə edilən təhdidləri, tələb olunan təfərrüatı, məsul rolları, yayım qaydasını və müvəffəqiyyət göstəricilərini yazın. Mənbənin keyfiyyətini, aktuallığını, sahə uyğunluğunu və istifadə hüququnu müntəzəm yoxlayın.
Daxili müşahidələr
SIEM qeydləri, endpoint aşkarlamaları, identifikasiya və şəbəkə telemetriyası, zəiflik inventarı, dəyişiklik qeydləri və əvvəlki insidentlər.
Xarici etibarlı mənbələr
Dövlət və istehsalçı xəbərdarlıqları, tədqiqatçılar, kommersiya və açıq təhdid lentləri, zərərli proqram təhlili və sahə paylaşımı.
Məlumatın emalı
Mənbə və vaxtı saxlayın, formatları normallaşdırın, təkrar indikatorları birləşdirin, yanlış xəbərdarlıqları araşdırın və az faydalı məlumatı filtrləyin.
Ölçmə və əks-əlaqə
Əhatə və keyfiyyətə uyğun göstəricilər seçin: qaydaların yoxlanma nəticəsi, indikatorların aktuallığı, araşdırma və cavab müddəti, aradan qaldırılmış müdafiə çatışmazlıqları və analitiklərin iş yükü. Təlim və insidentdən sonrakı təhlil əsasında proqramı təkmilləşdirin.
Kəşfiyyatı alətlərə və komandalara qoşun
İnteqrasiyanı yaxşılaşdırdığı iş prosesinə görə seçin. Yoxlanmamış indikator əsasında avtomatik bloklama tətbiq etməyin; avtomatlaşdırmadan əvvəl məlumatın keyfiyyətini, etibarlılığını, qüvvədə qalma müddətini və səhv tədbirin geri qaytarılma qaydasını müəyyən edin.
SIEM, IDS/IPS və endpoint vasitələri
Yoxlanmış indikator və TTP-ləri aşkarlama qaydalarına və axtarışlara çevirin. Uyğunluğu aktivlərlə tutuşdurun, həssaslığı sınaqdan keçirin və siqnalların mənbəyini analitikə göstərin.
İnsidentə cavab
Aktiv kampaniya barədə məlumatı əlaqələndiriciyə, araşdırma qrupuna və sistem sahibinə çatdırın; əhatə, eskalasiya, sübutların qorunması və təsdiq səlahiyyətlərini qeyd edin.
Zəiflik idarəsi
İstismar müşahidələrini və hədəflənən məhsul versiyalarını aktiv inventarı ilə tutuşdurub düzəlişlərin tətbiq ardıcıllığını və əsas düzəliş mümkün olmayanda riski azaldan əlavə müdafiə tədbirlərini seçin.
İnsanlar və paylaşım
CTI analitiki məlumatı toplayır və qiymətləndirir; SOC onu aşkarlama və cavab üçün tətbiq edir; insidentə cavab komandası insidenti idarə edir; təhdid axtarışı üzrə mütəxəssis fərziyyələri yoxlayır. İT, risklərin idarə edilməsi və tələblərə uyğunluq üzrə mütəxəssislər, habelə rəhbərlik nəticələrdən öz qərarları üçün istifadə edirlər.
Qlobal kontekst və yerli görünüş
Qlobal kəşfiyyat müxtəlif region və sektorlarda müşahidə edilən infrastruktur, kampaniya və TTP-ləri birləşdirir. Yerli aşkarlama bunları təşkilatın cihazları, istifadəçiləri və hadisələri ilə əlaqələndirir. Məsələn, daxili siqnaldakı IP ünvanı sektoru hədəfləyən ransomware kampaniyasının indikatoru ilə uyğun gələrsə, analitik müşahidənin vaxtını və aidiyyəti cihazı yoxlayır, araşdırmanın prioritetini artırır. Fayl heşi üzrə uyğunluq da başqa cihazlarda əlaqəli fəaliyyəti axtarmağa kömək edir.
| Ölçü | Qlobal kəşfiyyat | Yerli aşkarlama |
|---|---|---|
| Görünüş | Çoxsaylı mənbələrdən kampaniya, infrastruktur, TTP və sahə meylləri. | Daxili aktiv, istifadəçi, hadisə, zəiflik və şəbəkə telemetriyası. |
| Əsas sual | Bu kampaniya kimləri və hansı mühitləri hədəfləyir? | Bizim mühitdə bu indikator və davranış varmı? |
| İstifadə | Mənbəni yoxlayın, sahə uyğunluğunu qiymətləndirin, ovlama fərziyyəsi qurun. | Aktivlə əlaqələndirin, siqnalı yoxlayın, cavab və düzəliş seçin. |
TIP seçimi: inteqrasiya və iş yükünə görə
Təhdid kəşfiyyatı platforması (Threat Intelligence Platform, TIP) daxili və xarici mənbələrdən məlumatı toplayır, formatları uyğunlaşdırır, məlumatlar arasında əlaqələri müəyyən edir və iş proseslərinə ötürür. TIP SIEM, EDR, şəbəkə ekranı və IDS-ni əvəz etmir; inteqrasiyalar bu alətlərə əlavə kontekst verir və analitiklərin xəbərdarlıqları ilkin qiymətləndirməsinə kömək edir. Alışdan əvvəl platformanı real mənbə və alətlərlə sınayın.
Mənbə və uyğunluq
Lazım olan açıq, kommersiya, dövlət, sahə və daxili lentləri qəbul etdiyini yoxlayın. Formatları, API-ləri, yenilənmə tezliyini və lisenziyanın törəmə məlumatı paylaşmağa icazə verib-vermədiyini təsdiqləyin.
Təhlil və prioritet
Təkrarların aradan qaldırılması, mənbə və etibarın izlənməsi, indikatorların risklə sıralanması və aktivlərlə əlaqələndirilməsini ssenarilərinizdə yoxlayın.
İş axını və avtomatlaşdırma
İnsident qeydinin yaradılması, qayda yeniləməsi, indikator axtarışı və paylaşım kimi konkret prosesləri sınaqdan keçirin. Təsdiq addımı, indikatorun bitmə vaxtı, səhv nəticənin geri alınması və audit izi olmalıdır.
Fərdiləşdirmə və miqyas
Rol əsaslı panelləri, axtarış və xəbərdarlıqları komandaya uyğunlaşdırın; məlumat həcmi, sorğu gecikməsi və saxlanma müddətinin artım zamanı necə dəyişdiyini yoxlayın.
Dəyər və idarəetmə xərci
Lisenziya, tətbiq, mənbə haqları, idarəetmə, inteqrasiya və təlim xərcini birlikdə hesablayın. Daxili mütəxəssis vaxtını və ya idarə olunan xidməti də plana daxil edin; açıq mənbə seçimi texniki sahiblik tələb edir.