В почти всяко разследване настъпва момент, в който веригата от инструменти спира да бъде такава и се превръща в проблем с твърде много отворени раздели в браузъра.

Разполагате с IP адрес от предупреждение за сигурност. Може да е дошъл от засичане на EDR система, прокси лог, събитие в защитната стена, необичаен път за удостоверяване или правило за откриване, което е останало неактивно от внедряването си. Първият въпрос е прост: Какво е това нещо?

Не: Какво беше миналата седмица? Нито: Как го е етикетирал някой друг в публичен източник на разузнавателни данни (OSINT)?

Тук голяма част от операциите по сигурността остават странно неформални. Харчим значителни средства за телеметрия от системи, които притежаваме, а след това приемаме неточен, остарял или зает контекст за интернет пространството, което не контролираме.

Един информационен поток твърди, че адресът е зловреден. Друг казва, че е чист. Инструмент за пасивен DNS показва домейн отпреди три месеца. Пясъчник за зловреден софтуер (sandbox) разполага с една мостра. Сайт за сканиране показва отворен порт, но недостатъчно история. Някой отваря VirusTotal. Друг отваря Shodan. Някой проверява DNS. Друг проверява сертификати. Някой търси екранни снимки. Някой пита дали това е хоствало Cobalt Strike по-рано през деня.

Нищо от това не е лош занаят. Това е, което правят добрите анализатори, когато реалната картина е разпръсната.

Проблемът е, че интернет стана твърде бърз за този модел.

Нападателите могат да регистрират, внедряват, проксират, ротират и изоставят инфраструктура по-бързо, отколкото повечето конвейери за обогатяване на данни могат да я обяснят. Автоматизацията намали разходите за мащабиране. Водещите AI модели свалиха бариерата за навлизане, а моделите с отворен код не изостават. Резултатът не е някакъв филмов киберапокалипсис. Той е по-прозаичен и по-досаден от оперативна гледна точка: повече инфраструктура, променяща се по-бързо, с по-малко време между „първо видяна“ и „използвана в реална среда“.

Това променя очакванията, които защитниците трябва да имат към външното разузнаване на заплахи.

Един център за операции по сигурността (SOC) не трябва да третира публичния интернет като набор от слухове от втора ръка. Екипът за реагиране на инциденти не трябва да възстановява историята от каквито и да е остатъци, оцелели в три различни инструмента. Ловците на заплахи (threat hunters) не трябва да избират между необработени интернет данни и експертно анализирано класифициране. Инженерите по откриване на заплахи не трябва да чакат телеметрия от крайните устройства, преди да могат да превърнат инфраструктурните модели в правила за засичане.

Освен това, сега разполагате със собствени AI инструменти. Те обработват интернет метаданните с лекота, откривайки скрити сигнали за заплахи.

Защитниците се нуждаят от карта в реално време на интернет инфраструктурата: хостове, услуги, портове, протоколи, сертификати, DNS, уебсайтове, екранни снимки, софтуер, уязвимости, етикети, история и сигнали за враждебна инфраструктура. SOC се нуждае от начин да задава директни въпроси на самия интернет:

  • Този IP адрес хостваше ли Cobalt Strike тази сутрин?
  • Какво друго споделя този сертификат?
  • Промени ли този домейн своята инфраструктура през нощта?
  • Излагаше ли този хост рискова услуга преди да се задейства предупреждението?
  • Това еднократен индикатор ли е или част от модел, който можем да проследим?

Тези въпроси имат значение отвъд първоначалния анализ (triage). Те са важни при реагирането на инциденти, където времето и историята определят обхвата. Те имат значение при лова на заплахи, където повторното използване на инфраструктура може да разкрие операция, преди тя да е засегнала вашата среда. Те са важни в инженерството по откриване, където най-добрите защити често започват нагоре по веригата, преди крайната точка изобщо да види зловредния товар. И те имат значение при управлението на излагането на риск, където вашите собствени интернет активи са част от същата оперативна картина като инфраструктурата на противника, насочена срещу тях.

Начинът на предоставяне също е от значение. Някои екипи искат анализаторът да работи в уеб приложението на Censys. Някои искат обогатяване на данните директно в SIEM системата. Други искат колекции, които се държат като персонализирани информационни потоци. Някои изискват SDK, изтегляне на данни, Webhooks, интеграции или MCP, така че техните собствени системи и AI работни процеси да могат да задават същите въпроси автоматично.

Гъвкавостта не трябва да идва за сметка на сложни интеграционни главоболия. Именно тя позволява на външния контекст да спре да бъде просто навик за търсене в бази данни и да започне да се превръща в част от операционната система за сигурност.

Все още можете да отваряте по петдесет раздела в браузъра. Добрите анализатори винаги ще го правят.

Но когато въпросът е дали инфраструктурата във вашите логове е била опасна тази сутрин, отговорът не трябва да зависи от това кой раздел е извадил късмет първи.