Поток из миллиона индикаторов ещё не разведка. Разведка — это знать, какие десять из них касаются вас на этой неделе и что делать с каждым.
Три уровня, три читателя
Стратегический. Кто атакует ваш сектор, почему и как это меняется. Его читает руководство, и он определяет бюджет.
Операционный. Активные кампании и методы, которые за ними стоят: как атакующий входит, перемещается и закрепляется. Его читает команда безопасности, и он определяет защиту.
Тактический. Индикаторы компрометации: адреса, домены, хеши файлов. Их читают машины, и они определяют списки блокировки.
Подписка, которая даёт только третий уровень, даёт вам работу, а не знание.
Почему индикаторы устаревают
Адрес атакующий меняет за часы, а хеш файла при каждой пересборке. Способ работы меняется гораздо медленнее, потому что на его освоение ушли месяцы.
| Что вы знаете | Как долго это полезно |
|---|---|
| Хеш файла | До следующей пересборки |
| Адрес или домен | От часов до дней |
| Используемые инструменты | От недель до месяцев |
| Методы | От месяцев до лет |
Поэтому у индикатора должен быть срок действия. Список блокировки, который только растёт, в итоге останавливает ваших же партнёров.
От индикатора к действию
- Доставка. Индикаторы попадают в SIEM, межсетевой экран и EDR автоматически. Ничего не копируется вручную.
- Контекст. Каждый сообщает, к какой кампании относится и насколько надёжен.
- Срок. Устаревшие индикаторы выводятся сами.
- Обратная связь. Срабатывание на вашей стороне возвращается аналитикам и делает следующий отчёт точнее.
Если хотя бы одного шага нет, поток превращается в шум, и команда привыкает его игнорировать.
Четыре вопроса поставщику
- Откуда берутся индикаторы: из собственного наблюдения или из перепроданного потока?
- Сколько времени проходит между наблюдением и доставкой?
- Что происходит, когда индикатор оказывается ошибочным?
- Могу ли я поговорить с аналитиком во время инцидента?
Глобальные потоки широки, но лучше всего они видят там, где у них есть сенсоры. Кампании против одного сектора в одном регионе в них часто нет, а для вас важна именно она.
С чего начать
Начните со своего. Наблюдайте за собственным доменом и брендом: похожие домены, поддельные страницы, утёкшие учётные записи сотрудников. Это недорого и даёт результат в первую же неделю. Добавьте отраслевой поток, когда команда готова по нему действовать.
Threat Intelligence даёт все три уровня, а аналитик остаётся на связи. Подписка включает помощь с подключением к вашим инструментам.
