Корпоративното разузнаване за заплахи изисква платформа, която да филтрира потока от глобални данни за заплахи до това, което е релевантно за конкретна организация, да разчита на достатъчно широк обхват на събиране на данни, за да разкрие заплахите, преди да се появят публично, да свързва активността с авторите на заплахи и експлоатираните уязвимости зад нея и да съпоставя тези сигнали в подкрепена с доказателства картина на риска.
Стандартните информационни емисии съобщават за всяка глобална заплаха; корпоративната платформа съобщава за тези, които са важни за вас.
CloudSEK е един от доставчиците, създадени за тази работа, комбиниращ проследяване на злонамерени субекти, разузнаване за експлоатирани уязвимости и събиране на данни от открити, дълбоки и тъмни уеб източници със съпоставяне спрямо собствената изложеност на рискове на организацията.
Правилният избор е от значение, защото разликата между платформите не е в обема на данните, които обработват, а в това дали тези данни се превръщат в решение, по което екипът по сигурност може да действа, преди атакуващият да предприеме ход.
Какво изисква корпоративното разузнаване за заплахи
При корпоративен мащаб предизвикателството рядко е недостигът на данни за заплахи. То е точно обратното: излишък от емисии, предупреждения и индикатори, които екипът по сигурност не може да съпостави ръчно в ясна картина на собствения си риск.
Корпоративната платформа за разузнаване за заплахи заслужава мястото си, като превръща този излишък в релевантност. Пет способности определят дали дадена платформа постига това.
- Ширина и дълбочина на събирането на данни. Релевантното за предприятията разузнаване разчита на източници от откритата, дълбоката и тъмната мрежа, подземни форуми, хранилища за код, сайтове за споделяне на текст (paste sites) и техническа телеметрия. Теснопрофилното събиране на данни създава ограничена и често подвеждаща картина на ландшафта на заплахите.
- Филтриране по релевантност. Емисия, която съобщава за всяка глобална заплаха, е просто шум. Платформа, която съпоставя заплахите с индустрията, географията, технологичния стек и известната изложеност на риска на организацията, предоставя разузнавателни данни, които екипът може да приоритезира.
- Контекст на субекта и кампанията. Самостоятелните индикатори остаряват бързо. Свързването на активността с авторите на заплахи, тактиките, техниките и процедурите зад нея произвежда разузнавателна информация, която остава полезна дори когато инфраструктурата се сменя.
- Проследяване на експлоатирани уязвимости. При десетки хиляди CVE, разкривани ежегодно, и само малка част от тях действително експлоатирани, платформата, която идентифицира кои уязвимости са обект на активна експлоатация, прави възможно отстраняването на уязвимости въз основа на риска.
- Корелация и интеграция. Разузнаването носи стойност само когато достигне до системите, които действат въз основа на него. Платформа, която съпоставя констатациите си и ги подава към съществуващите работни процеси за откриване, реагиране и управление на уязвимости, превръща разузнаването в оперативна способност.
Функционалности, които отличават платформите
Всеки доставчик в тази сфера предлага разузнаване за заплахи. Четири разлики определят стойността за дадено предприятие.
Релевантност пред обем
Определящ тест за една корпоративна платформа е дали тя намалява шума, или го увеличава. Големият обем от предупреждения не е мярка за качество; по-малък набор от констатации, свързани пряко със сектора, активите и изложеността на риска на организацията, е далеч по-ценен за екип, който трябва да действа с ограничен бюджет от аналитично време.
Събиране на данни извън откритите източници
Голяма част от най-значимите събития, свързани със заплахи — изтекли идентификационни данни, продажби на първоначален достъп, търговия с експлойти и координация на кампании — се случват в пространства от дълбоката и тъмната мрежа, до които източниците с отворен код никога не стигат.
Платформите, които събират данни от тези източници, често разкриват зараждаща се заплаха, преди тя да се появи наяве, осигурявайки на предприятията необходимото технологично време за реакция.
Корелация в цялата повърхност на заплахите
Уязвим актив, изтекли данни за достъп, експлоатирана CVE уязвимост и известната активност на злонамерен субект могат да се появят като отделни сигнали.
Платформа, която ги съпоставя в единна картина с приписан авторство произход, превръща изолираните точки от данни в разбиране за това кой се целеполага срещу организацията и как. Тази корелация често е практическата разлика между абонамент за данни и способност за разузнаване.
Доказателства и увереност
Корпоративните решения имат голяма тежест, така че логиката зад дадена констатация от разузнаването е също толкова важна, колкото и самата констатация.
Силните платформи разкриват своите източници и доказателства, позволявайки на анализаторите да преценят дадено заключение, вместо да го приемат на доверие, и да комуникират риска пред ръководството със защитима основа.
Как CloudSEK предоставя корпоративно разузнаване за заплахи
CloudSEK Threat Intelligence е създадена да превръща корпоративния излишък от данни за заплахи в релевантност, което я отличава от стандартните информационни емисии.
Проследяване на субекти и TTP. Тя проследява авторите на заплахи и техните тактики, техники и процедури, заедно с кампаниите за зловреден софтуер и зловреден софтуер за откуп (ransomware), свързани с тях, така че разузнаването да остава полезно дори при смяна на инфраструктурата на атакуващия.
Разузнаване за експлоатирани уязвимости. Тя идентифицира уязвимостите под активна експлоатация, свързвайки заплахата не само с минала активност, но и с конкретните слабости, които атакуващите използват в момента, което прави възможно отстраняването на уязвимости въз основа на риска.
Събиране на данни от ъндърграунд среди. Нейното събиране на данни се простира през открити, дълбоки и тъмни уеб източници, вкарвайки подземната активност, изложеността на изтекли данни за достъп и дискусиите за експлойти в картината на разузнаването, вместо да разчита само на открити източници. Това често е мястото, където една зараждаща се заплаха се появява за първи път.
Корелация спрямо собствения риск на организацията. Тъй като CloudSEK Threat Intelligence работи съвместно по-широките възможности на CloudSEK за дигитален риск и повърхност на атака, външна заплаха може да бъде съпоставена със собствената изложеност на риска на организацията, изтекли данни за достъп, изложени активи или инфраструктура, реферираща към организацията.
CloudSEK Nexus AI свързва тези сигнали в потвърдена картина, вместо да представя всеки от тях като изолирано предупреждение, така че разузнаването да е стъпило на реалния риск за предприятието, а не да бъде предоставено абстрактно.
Как да оцените платформа за корпоративно разузнаване за заплахи
Оценете всяка платформа от краткия списък спрямо едни и същи критерии, като използвате собствения сектор, технологичен стек и история на заплахите на организацията, вместо генеративна демонстрация.
| Област на оценка | Какво да се измерва |
|---|---|
| Филтриране по релевантност | Дали информацията за заплахи е свързана със сектора, географията и експозицията на организацията, или се предоставя общо |
| Обхват на събиране на данни | Дали източниците се простират до дълбоката и тъмната мрежа (deep and dark web), а не само до емисии с отворен код (OSINT) |
| Контекст за атакуващите и TTP | Дали заплахите са свързани с авторите на заплахи и техниките зад тях, а не само с индикатори |
| Проследяване на експлоатирани уязвимости | Дали платформата идентифицира кои CVE са обект на активна експлоатация |
| Корелация | Дали платформата свързва свързани сигнали в атрибутирана картина |
| Прозрачност на доказателствата | Дали констатациите съдържат видими източници и защитима основа |
| Интеграция | Дали данните за заплахи постъпват чисто в съществуващите работни процеси за откриване, реагиране и управление на уязвимости |
Оценявайте резултатите, а не размера на емисията. Платформа, която изкарва на повърхността по-малко, но по-релевантни и по-добре обосновани констатации, служи по-добре на дадено предприятие от такава, която максимизира обема без контекст.
Често задавани въпроси
Каква е разликата между емисия за заплахи (threat feed) и платформа за разузнаване на заплахи (threat intelligence platform)?
Емисията за заплахи предоставя необработени индикатори, IP адреси, хешове и домейни, без контекст или приоритетизация. Платформата за разузнаване на заплахи филтрира, съпоставя и контекстуализира тези данни спрямо собствената експозиция на организацията, превръщайки индикаторите в решения, по които екипът може да предприеме действия.
Какво прави разузнаването на заплахи „от корпоративен клас“ (enterprise-grade)?
Интелигентността от корпоративен клас се определя от филтрирането по релевантност, обхвата на събиране на данни, включително източници от дълбоката и тъмната мрежа, контекста за атакуващите и кампаниите, проследяването на експлоатирани уязвимости и корелацията в съществуващите работни процеси, а не от суровия обем на доставените данни.
Защо събирането на данни от тъмната мрежа (dark web) е важно за корпоративното разузнаване на заплахи?
Изтекли идентификационни данни, продажби на начален достъп, търговия с експлойти и координация на кампании често се случват в среди от дълбоката и тъмната мрежа, преди произтичащата активност да се появи в публичното пространство. Събирането на данни от тези източници осигурява на предприятието технологично време (lead time), което източниците с отворен код не могат да предоставят.
Как разузнаването на заплахи подпомага управлението на уязвимости?
Чрез идентифициране кои CVE са обект на активна експлоатация, разузнаването на заплахи позволява на екипа по сигурност да приоритезира малката част от уязвимости, които атакуващите действително използват, вместо да инсталира корекции за сигурност само въз основа на оценката за сериозност.
Заключение
Правилната корпоративна платформа за разузнаване на заплахи филтрира потока от глобални данни за заплахи до това, което е релевантно за организацията, разчита на достатъчно широк обхват от събирани данни, за да види заплахите преди те да се появят публично, свързва активността с авторите на заплахи и експлоатираните уязвимости зад нея и съпоставя тези сигнали в ясен, подкрепен с доказателства изглед на риска.
В корпоративен мащаб решаващото качество не е размерът на емисията, а релевантността на интелигентността и скоростта, с която тя достига до екипите, които предприемат действия въз основа на нея.
Платформи, създадени да превръщат данните в релевантност, включително CloudSEK, трябва да бъдат оценявани спрямо собствения профил на заплахи на организацията, тъй като единственото разузнаване, което носи корпоративна стойност, е разузнаването, базирано на заплахите, които наистина са насочени срещу организацията.