Источники и каналы аналитики угроз

Разведывательная информация об угрозах — это обработанные сведения об угрозах с учётом контекста. Необработанные данные становятся разведывательной информацией, когда помогают понять, кто нацелен на вас и за чем нужно следить, чтобы действовать заранее.

Разведывательная информация бывает четырёх уровней: стратегические тенденции для руководителей, оперативные кампании для менеджеров, тактические TTP для архитекторов и технические IoC для аналитиков SOC.

OSINT — это бесплатная информация об угрозах из общедоступных источников: базы данных CVE, VirusTotal, Shodan и блогов поставщиков. Обычно с неё команды безопасности начинают работу.

ISAC — это отраслевое объединение, участники которого обмениваются информацией об угрозах для своего сектора, например FS-ISAC для финансовой отрасли. Вы учитесь на опыте коллег, сталкивающихся с теми же атакующими.

Коммерческие каналы от таких поставщиков, как CrowdStrike или Mandiant, предлагают отобранную информацию с малым количеством шума и охватом даркнета, которая напрямую подключается к вашей SIEM. 💰

Фреймворк MITRE ATT&CK содержит каталог реальных тактик и методов, которые атакующие используют на каждом этапе. Команды применяют его для сопоставления активности и поиска пробелов в обнаружении.

Мониторинг даркнета сканирует криминальные торговые площадки в поисках вашего имени или утёкших учётных данных. Обнаружение украденных логинов, выставленных на продажу, может предупредить о взломе ещё до того, как вы узнаете о нём.

Два стандарта автоматизируют обмен: STIX определяет способы описания данных об угрозах, а TAXII передаёт их. Вместе они позволяют инструментам получать разведывательную информацию без ручной работы.

Государства также публикуют бесплатную и надёжную информацию об угрозах. Рекомендации CISA и её каталог известных эксплуатируемых уязвимостей, а также каналы FBI и NIST — это базовый набор источников, на которые стоит подписаться.

Разведывательная информация важна только тогда, когда приводит к действиям. Жизненный цикл разведывательной информации включает определение направления, сбор, анализ, обмен и обратную связь, после чего команды SOC применяют полученные сведения.

Хорошая разведывательная информация должна быть своевременной, актуальной, точной и применимой. Индикатор трёхлетней давности или поток ложных срабатываний лишь тратит время аналитиков, поэтому отказывайтесь от зашумлённых каналов.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

Кратко: разведывательная информация охватывает уровни от стратегического до технического, ключевые источники — OSINT, ISAC и CISA, MITRE ATT&CK сопоставляет TTP, а STIX/TAXII автоматизируют обмен. Далее: индикаторы компрометации.