Mars Security обяви Real-Time Intel-Based Detection – нова функционалност, която превръща наскоро публикувано разузнаване за заплахи във валидирани и готови за внедряване правила за откриване само минути след публикуването им.

Създадена от бивши специалисти по нападателна киберсигурност, новата възможност преобразува бюлетините от CISA, Mandiant и други източници на разузнавателна информация в правила за откриване, съпоставени с рамката MITRE ATT&CK, за системи като CrowdStrike, Wiz, Splunk и облачна телеметрия, като всяко правило се тества спрямо 30-дневни реални данни на клиента, преди да влезе в сила.

От Mars вярват, че това е първата платформа, която автоматизира целия път от бюлетин за заплаха до реално откриване в производствена среда, включително ретроспективно тестване спрямо средата на клиента, без да е необходимо да се извършва допълнително събиране на данни и без промени в съществуващата инфраструктура за сигурност.

Всеки екип по сигурност вече плаща за разузнаване за заплахи. Изключително малка част от него обаче се превръща в работеща система за откриване. Когато CISA, Mandiant, Unit 42 или Microsoft Threat Intelligence публикуват доклад за нова кампания, семейство зловреден код или APT група, инженерът по откриване на заплахи все още трябва да го прочете, да извлече индикаторите и техниките, да установи кой източник на логове може да ги засече, да напише заявката, да я тества, настрои и внедри.

В повечето центрове за оперативно управление на сигурността (SOC) този цикъл отнема от дни до седмици. Атакуващите сменят своята инфраструктура за часове. Именно тази забава – разликата между това да научиш за дадена заплаха и да можеш да я откриеш – е моментът, в който се случват повечето успешни пробиви.

Mars вече затваря тази празнина автоматично.

Как работи

Когато са налични нови данни за заплахи, Mars извлича съответните индикатори, техники и инфраструктура, съпоставя ги с MITRE ATT&CK и записва правилата за откриване на родния език за заявки на телеметрията, която реално може да види заплахата: CrowdStrike Falcon, Wiz, Splunk, логове от защитни стени, Linux Sysmon, доставчици на идентичност, AWS телеметрия или бази от данни като Snowflake и Databricks. Всяко правило съдържа ниво на сериозност и се изпраща в опашката на екипа за преглед. Притискането на „Приеми правилото“ го задейства на живо, а „Отхвърли“ го премахва.

Нищо не се внедрява без тест. Преди дадено правило да бъде предложено, Mars изпълнява точната заявка спрямо данните на клиента от последните 30 дни и показва за колко събития би съвпаднало и колко от тях биха били фалшиво положителни резултати. Екипите могат да стартират ретроспективното тестване за какъв период от време си поискат.

Същата прецизност се прилага и към самите индикатори: домейни, IP адреси и хешове се оценяват спрямо тяхната история за фалшиви позитиви, като всичко прекалено общо, остаряло или исторически шумно се премахва, преди изобщо да достигне до правило.

„Прекарахме години в сферата на нападателната киберсигурност и това, което най-много ни изненада, беше колко рядко някой ни забелязваше, дори когато данните за нашите техники бяха публично достъпни. Разузнаването за заплахи винаги е казвало на екипите по сигурност какво се случва по света. То обаче никога не им е предоставяло готовото правило за откриване в тяхната собствена среда. Mars прави точно това сега и тества правилото спрямо вашите данни, преди да стигне до производствената среда“, заяви Шахаф Галили, главен изпълнителен директор на Mars Security.

Покритие, а не просто предупреждения

Системата работи и в обратна посока. Mars непрекъснато съпоставя съществуващото покритие за откриване на клиента със свързаната телеметрия и маркира съществените пропуски. Скорошни препоръки включват откриване на манипулиране на логове в AWS CloudTrail, злоупотреба с трансфер на домейни в Route 53, странично придвижване чрез pass-the-hash и съмнителна активност в Microsoft Graph API. За екипите, използващи концепцията detection-as-code, избрани препоръки пристигат като отворен pull request, готов за преглед и сливане.

Това е от съществено значение, тъй като статичните правила спират да работят в момента, в който киберпрестъпникът промени своите техники. Mars е създаден от хора, които с години са наблюдавали как правилата за откриване се провалят от другата страна, и неговата библиотека се фокусира върху поведението, а не върху сигнатурите, така че защитата остава ефективна, дори когато авторите на заплахи сменят своите инструменти. Същият двигател вече се разпростира и върху нови повърхности за атака, включително мониторинг на AI агенти за програмиране и идентичностните данни, които те изпускат в логовете, без да е нужно закупуването на друг инструмент за наблюдението им.

„Един SOC не трябва да има двуседмично изоставане, за да реагира на доклад, който атакуващият е обезсмислил за два часа. Когато данните за заплахата пристигнат, правилото за откриване трябва вече да е написано, вече тествано спрямо вашите данни и да очаква само едно щракване“, добави Ран Лерер, главен технически директор на Mars Security.