Главная мысль
Полезная киберразведка помогает принимать решения: руководство определяет приоритеты управления рисками и инвестиций, а аналитики используют сведения о поведении атакующих и индикаторах для настройки обнаружения, поиска угроз и подготовки планов реагирования.
Что делает CTI?
Киберразведка угроз (CTI) собирает и проверяет сведения о возможных и текущих атаках, превращая их в контекст для принятия решений. Источниками служат внутренние журналы, инциденты и уязвимости, а также внешние предупреждения, исследования и индикаторы угроз. Задача не в накоплении необработанных данных: нужно понять, какой риск относится к организации, выбрать защитное действие и оценить результат.
12 практических направлений CTI
Оценивайте эти направления отдельно: каждое влияет на своё решение и работу команды. Отслеживайте показатели обнаружения, реагирования, риска и операционной нагрузки.
Раннее обнаружение и реагирование
Сопоставляйте поведение и индикаторы угроз с наблюдаемыми событиями, чтобы своевременно начать расследование и эскалацию.
Обоснованные решения
Используйте сведения об активах, вероятности и возможном воздействии для определения приоритетов защиты и распределения ресурсов.
Управление инцидентами
Контекст кампании, способов атаки и связанных индикаторов помогает исследовать масштаб инцидента и выбрать ответные меры.
Управление уязвимостями на основе риска
Связывайте уязвимости с данными об эксплуатации, затронутыми системами и влиянием на бизнес, чтобы определить порядок исправлений.
Осведомлённость и обучение
Создавайте учебные примеры для разных ролей на основе актуальных тем фишинга, кампаний вредоносного ПО и методов социальной инженерии.
Подготовка к меняющимся атакам
Сопоставляйте тактики, техники и процедуры (TTP) атакующих с мерами защиты и готовьте проверяемые сценарии обнаружения.
Уточнение сигналов
Проверяйте источник и актуальность индикатора, а также его связь с локальным активом: этот контекст помогает аналитикам отсеивать малозначимые сигналы.
Аудит и отчётность по рискам
Документируйте, как выбираются и отслеживаются мониторинг, реагирование и меры снижения риска; сверяйте их с применимыми требованиями.
Более эффективное использование имеющихся средств
Передавайте подходящие индикаторы и правила в SIEM, IDS/IPS и средства защиты конечных устройств, отслеживая их пользу и операционную нагрузку.
Долгосрочное планирование
Представляйте руководству повторяющиеся кампании, отраслевые тенденции и внутренние пробелы, чтобы обновлять план развития защиты.
Сотрудничество и обмен данными
Организуйте обмен с партнёрами, отраслевыми объединениями и профильными государственными структурами с учётом правил конфиденциальности, лицензирования и использования данных.
Доверие и коммуникация
Своевременно передавайте партнёрам и руководству проверенные сведения об угрозах и инцидентах, отделяя утверждения от измеренных фактов.
Виды CTI и их аудитории
Виды CTI различаются детализацией и решениями, которые они поддерживают; их аудитории могут пересекаться. Сведения об одном событии могут помочь руководству оценить риск, аналитикам изучить поведение атакующих, SOC понять контекст кампании, а инженерам настроить правило обнаружения.
Стратегический
Аудитория: руководители, CISO, риск-менеджеры и совет директоров. Цель: инвестиции, риск-аппетит и долгосрочная политика. Сведения: мотивы атакующих, геополитические и отраслевые тенденции, новые направления атак. Источники: государственные предупреждения, отраслевые отчёты и надёжные исследования.
Тактический
Аудитория: аналитики, специалисты по поиску угроз и реагированию. Цель: адаптировать меры защиты к способам атаки. Сведения: фишинг, распространение вредоносного ПО, эксплуатация и TTP. Источники: анализ вредоносного ПО, тесты на проникновение и проверенные отчёты об угрозах.
Оперативный
Аудитория: SOC, реагирование и поиск угроз. Цель: ускорить решения по текущей кампании. Сведения: активная угроза, целевая отрасль, инфраструктура атаки, вероятное время и методы. Источники: данные инцидентов, предупреждения партнёров, коммуникации атакующих и подтверждённые наблюдения.
Технический
Аудитория: аналитики SOC, системные администраторы и инженеры безопасности. Цель: предоставить данные для машинного обнаружения и реагирования. Сведения: IP-адреса, домены, URL, хеши файлов, сетевые сигнатуры и индикаторы C2. Источники: платформы разведки, honeypot-системы, среды анализа вредоносного ПО и OSINT.
Цикл разведки: от запроса до обратной связи
Начните с конкретного вопроса, требующего решения. Соберите только нужные для него данные, проанализируйте связи, передайте вывод нужной аудитории и измерьте эффект действий. Цикл начинается снова с новыми наблюдениями и корректировками.
Определите задачу
Согласуйте бизнес-цель, критичные активы, охват, временной горизонт и получателя результата.
Соберите и проверьте данные
Объедините внутреннюю телеметрию с подходящими внешними источниками; сохраняйте сведения об источнике, времени, доверии и лицензии.
Проанализируйте и добавьте контекст
Свяжите индикаторы с активами, уязвимостями и наблюдаемым поведением. Объедините повторы, проверьте противоречия и оцените надёжность.
Передайте вывод и примените его
Представьте руководителю риск и варианты, SOC — поведение и контекст, а инструментам — проверенное правило или индикатор. Заранее определите полномочия на реагирование.
Измерьте эффект и обновите процесс
Отслеживайте время обнаружения и реагирования, результаты расследований, малозначимые сигналы и закрытые пробелы. Обновляйте задачу, источник и правило по обратной связи команды и новым сведениям.
Цели, процесс и источники
Свяжите программу CTI с целями безопасности и бизнеса. Зафиксируйте охватываемые угрозы, нужную детализацию, ответственные роли, порядок распространения и показатели результата. Регулярно проверяйте качество, актуальность, отраслевую применимость и права использования источников.
Внутренние наблюдения
Журналы SIEM, события конечных устройств, данные идентификации и сети, инвентаризация уязвимостей, записи изменений и прошлые инциденты.
Проверенные внешние источники
Предупреждения государственных органов и производителей, исследования, коммерческие и открытые ленты угроз, анализ вредоносного ПО и отраслевой обмен.
Обработка сведений
Сохраняйте источник и время, нормализуйте форматы, объединяйте повторяющиеся индикаторы, проверяйте ложные срабатывания и фильтруйте малозначимые данные.
Измерение и обратная связь
Выбирайте показатели по охвату и качеству: результаты проверки правил, актуальность индикаторов, время расследования и реагирования, устранённые недостатки защиты и нагрузка аналитиков. Улучшайте программу по итогам обучения и разбора инцидентов.
Свяжите разведку с инструментами и командами
Выбирайте интеграцию по тому, какой рабочий процесс она улучшает. Не запускайте автоматическую блокировку по непроверенному индикатору: заранее определите требования к качеству и достоверности данных, срок действия индикатора и способ отмены ошибочного действия.
SIEM, IDS/IPS и средства защиты конечных устройств
Преобразуйте проверенные индикаторы и TTP в правила обнаружения и запросы поиска. Сопоставьте их с активами, проверьте чувствительность и покажите аналитику источник сигнала.
Реагирование на инциденты
Передавайте сведения об активной кампании координатору, расследователям и владельцу системы; фиксируйте охват, эскалацию, сохранение доказательств и полномочия на подтверждение действий.
Управление уязвимостями
Сопоставляйте данные об эксплуатации и целевых версиях продуктов с инвентарём, чтобы выбрать порядок установки исправлений и компенсирующие меры.
Команды и обмен
Аналитик CTI собирает и оценивает сведения; SOC использует их для обнаружения и реагирования; группа реагирования ведёт инцидент; специалист по поиску угроз проверяет гипотезы. IT, риск, комплаенс и руководство используют выводы для своих решений.
Глобальный контекст и локальная картина
Глобальная разведка объединяет сведения об инфраструктуре, кампаниях и TTP из разных регионов и отраслей. Локальное обнаружение связывает их с устройствами, пользователями и событиями организации. Например, IP-адрес из внутреннего оповещения совпал с индикатором ransomware-кампании против вашей отрасли: аналитик проверяет время наблюдения и затронутое устройство, повышает приоритет расследования. Совпадение хеша файла также помогает искать связанную активность на других устройствах.
| Критерий | Глобальная разведка | Локальное обнаружение |
|---|---|---|
| Наблюдаемость | Кампании, инфраструктура, TTP и отраслевые тенденции из множества источников. | Внутренние активы, пользователи, события, уязвимости и телеметрия сети. |
| Основной вопрос | На кого и какие среды нацелена кампания? | Есть ли этот индикатор или поведение в нашей среде? |
| Применение | Проверьте источник, оцените отраслевую применимость, сформулируйте гипотезу поиска. | Свяжите с активом, проверьте сигнал, выберите ответ и исправление. |
Выбор TIP: интеграции и рабочая нагрузка
Платформа разведки угроз (TIP) собирает данные из внутренних и внешних источников, приводит их к единому формату, сопоставляет и передаёт в рабочие процессы. TIP не заменяет SIEM, EDR, межсетевой экран или IDS: интеграции добавляют контекст и помогают аналитикам оценивать оповещения. До покупки проверьте платформу на реальных источниках и инструментах.
Источники и совместимость
Проверьте поддержку нужных открытых, коммерческих, государственных, отраслевых и внутренних лент. Уточните форматы, API, частоту обновления и разрешает ли лицензия передавать производные данные.
Аналитика и приоритет
Проверьте на своих сценариях устранение дублей, отслеживание источника и доверия, ранжирование индикаторов по риску и связь с активами.
Рабочий процесс и автоматизация
Проверьте конкретные процессы: создание инцидента, обновление правила, поиск индикатора и обмен. Нужны подтверждение, срок действия индикатора, откат ошибочного действия и журнал аудита.
Настройка и масштабирование
Настройте панели, поиск и оповещения для разных ролей; проверьте, как меняются объём данных, задержка запросов и срок хранения при росте нагрузки.
Ценность и стоимость эксплуатации
Учитывайте лицензию, внедрение, стоимость источников, администрирование, интеграции и обучение. Добавьте время внутренних специалистов или управляемую услугу; открытое решение тоже требует технического владельца.