Ню Йорк, Ню Йорк, Съединени щати, 8 септември 2026 г., CyberNewswire
Mars Security, платформата за автономно търсене на заплахи и инженерство за откриване (detection engineering), основана от ветерани в офанзивната сигурност, днес обяви Real-Time Intel-Based Detection — функционалност, която превръща новопубликуваната информация за киберзаплахи в потвърдени и готови за внедряване правила за откриване в рамките на минути след нейното публикуване.
Разработена от бивши офанзивни оператори, новата възможност преобразува бюлетините за сигурност от CISA, Mandiant и други източници на разузнавателна информация в правила за откриване, картографирани спрямо MITRE ATT&CK, за CrowdStrike, Wiz, Splunk и облачна телеметрия, като всяко от тях се тества спрямо данни от последните 30 дни на самия клиент, преди да бъде въведено в реална работа.
Mars вярва, че е първата платформа, която автоматизира пълния път от бюлетин за заплаха до откриване в реална среда, включително предварително тестване (backtesting) спрямо собствената среда на клиента, без необходимост от извличане/съхранение на данни (data ingestion) и без промени в съществуващия стек за сигурност.
Всеки екип за сигурност вече плаща за разузнавателна информация за заплахи. Изключително малка част от нея обаче се превръща в работещо откриване. Когато CISA, Mandiant, Unit 42 или Microsoft Threat Intelligence публикуват доклад за нова кампания, семейство зловреден код или APT група, инженер по откриване все още трябва да го прочете, да извлече индикаторите и техниките, да установи кой източник на дневници (logs) може да ги види, да напише заявката, да я тества, настрои и внедри. В повечето центрове за оперативна сигурност (SOC) този цикъл отнема от дни до седмици.
Атакуващите сменят инфраструктурата си за часове. Тази забава — пролуката между научаването за дадена заплаха и възможността тя да бъде открита — е мястото, където се случват повечето успешни пробиви.
Mars вече затваря тази пролука автоматично.
Как работи
С постъпването на нова разузнавателна информация, Mars извлича съответните индикатори, техники и инфраструктура, картографира ги спрямо MITRE ATT&CK и записва откриването на майчиния език за заявки на телеметрията, която реално може да види заплахата: CrowdStrike Falcon, Wiz, Splunk, дневници от защитни стени (firewalls), Linux Sysmon, доставчици на идентичност, AWS телеметрия или хранилища за данни като Snowflake и Databricks.
Всяко правило съдържа оценка на нивото на сериозност и постъпва в опашката на екипа за преглед. Бутонът Accept Rule го внедрява в реално време. Бутонът Dismiss го премахва.
Нищо не се пуска без тест. Преди дадено правило да бъде предложено, Mars изпълнява точната заявка спрямо данните на клиента от последните 30 дни и показва за колко събития би съвпаднало и колко от тях биха били фалшиво положителни (false positives).
Екипите могат да изпълнят повторно теста за избран от тях времеви прозорец. Същият строг преглед се прилага и за самите индикатори: домейни, IP адреси и хешове се оценяват спрямо тяхната история за фалшиво положителни резултати, като всичко прекалено общо, твърде старо или с история на генериране на излишен шум се премахва, преди изобщо да стигне до дадено правило.
„Прекарахме години от страната на офанзивата и това, което ни изненада най-много, беше колко рядко някой ни забелязваше, дори когато данните за нашите тактики и техники вече бяха публични.
Информацията за заплахи винаги е казвала на екипите за сигурност какво се случва по света. Тя обаче никога не им е предоставяла готово откриване, за да го намерят в собствената си среда. Mars прави именно това сега и тества откриването спрямо вашите данни, преди то да се доближи до реалната производствена среда.“ – Шахаф Галили, съосновател и главен изпълнителен директор на Mars Security.
Покритие, а не просто аларми
Машината работи и в обратната посока. Mars непрекъснато съпоставя съществуващото покритие за откриване на клиента със свързаната телеметрия и сигнализира за критичните пролуки.
Сред последните препоръки са откриване на манипулиране на логове в AWS CloudTrail, злоупотреба с трансфер на домейни в Route 53, странично придвижване чрез pass-the-hash и подозрителна активност в Microsoft Graph API.
За екипи, използващи концепцията „откриване като код“ (detection-as-code), избрани препоръки пристигат като отворени pull заявки, готови за преглед и сливане (merge).
Това е от съществено значение, тъй като статичните правила спират да работят в момента, в който атакуващият промени техниките си. Mars е създадена от хора, прекарали години в наблюдение как откриванията се провалят от другата страна, и нейната библиотека за търсене на заплахи е насочена към поведението, а не към сигнатурите, така че покритието да остава стабилно, дори когато авторите на заплахи сменят инструментите си.
Същата система вече се разпростира и върху по-нови повърхности за атака, включително мониторинг на AI агенти за писане на код и компрометираните идентификационни данни, които те пропускат в дневниците, без да е необходимо закупуването на друг инструмент за наблюдението им.
„Един център за оперативна сигурност (SOC) не би трябвало да има двуседмично изоставане, за да реагира на доклад, който отнема два часа на даден атакуващ, за да го направи остарял. Когато разузнавателната информация пристигне, откриването трябва вече да е написано, тествано спрямо вашите данни и да очаква едно кликване.“ – Ран Лерер, съосновател и главен технологичен директор на Mars Security.
„Преди бюлетинът за нова кампания престояваше в опашката с дни, преди да се превърне в правило, на което някой има доверие. С Mars той се появява вече картографиран, тестван спрямо средата, която трябва да защитава, и реално върши работа. Това е първият път, в който откриването се усеща стъпка пред заплахата, а не след нея.“ – Анди Елис, бивш главен директор по сигурността на информацията (CISO) в Akamai Technologies.
Наличност
Real-Time Intel-Based Detection вече е достъпно за всички клиенти на Mars Security без допълнително заплащане. Mars се внедрява за часове, не изисква извличане/съхранение на данни (data ingestion), подмяна на съществуващи инструменти или допълнителни инженери по откриване, и се предлага в AWS Marketplace.
Екипите за сигурност могат да заявят демонстрация или да прочетат техническата документация на уебсайта на Mars.
За Mars Security
Mars Security е платформа за автономно търсене на заплахи и инженерство за откриване (detection engineering), която непрекъснато превръща разузнавателната информация за заплахи в потвърдени откривания в съществуващия стек за сигурност на организацията.
Основана от ветерани в офанзивната сигурност Шахаф Галили, Ран Лерер и Матан Каспи, които носят над 50 години комбиниран практически опит в киберофанзивата, Mars прави запитвания към телеметрията на SIEM, EDR, идентичност, облачни среди и хранилища за данни на място, без необходимост от извличане на данни и пълна подмяна на системите, като превръща бюлетините за сигурност в тествани правила за откриване, картографирани спрямо MITRE ATT&CK, в рамките на броени минути.
Mars картографира пролуките в покритието за откриване, предоставя библиотека за търсене на заплахи на базата на поведение, изградена от години офанзивни операции, и заменя постоянната надпревара с инсталирането на корекции за сигурност с непрекъснато инженерство за откриване.
Mars покрива стандарта SOC 2, предлага се в AWS Marketplace и е подкрепена от TLV Ventures, Jibe Ventures, Bullet Ventures, CCL и XPS.
Научете повече на marssec.ai, изтеглете презентацията на Mars, прочетете блога на Mars или последвайте Mars Security в LinkedIn.