Million indikatorli oqim hali razvedka emas. Razvedka shuki, ulardan qaysi o’ntasi shu hafta sizga tegishli ekanini va har biri bo’yicha nima qilish kerakligini bilasiz.
Uch daraja, uch o’quvchi
Strategik. Sektoringizga kim hujum qiladi, nima uchun va bu qanday o’zgarmoqda. Uni rahbariyat o’qiydi va u byudjetni belgilaydi.
Operatsion. Faol kampaniyalar va ularning usullari: hujumchi qanday kiradi, qanday harakatlanadi va qanday qoladi. Uni xavfsizlik jamoasi o’qiydi va u himoyani belgilaydi.
Taktik. Kompromat indikatorlari: manzillar, domenlar, fayl xeshlari. Ularni mashinalar o’qiydi va ular bloklash ro’yxatlarini belgilaydi.
Faqat uchinchi darajani beradigan obuna sizga bilim emas, ish beradi.
Nega indikatorlar eskiradi
Hujumchi manzilni soatlar ichida, fayl xeshini esa har qayta yig’ishda almashtiradi. Ish usuli ancha sekin o’zgaradi, chunki uni o’rganishga oylar ketgan.
| Nimani bilasiz | Qancha vaqt foydali |
|---|---|
| Fayl xeshi | Keyingi qayta yig’ishgacha |
| Manzil yoki domen | Soatlardan kunlargacha |
| Ishlatilayotgan vositalar | Haftalardan oylargacha |
| Usullar | Oylardan yillargacha |
Shuning uchun indikatorning amal qilish muddati bo’lishi kerak. Faqat o’sib boradigan bloklash ro’yxati oxir-oqibat o’z hamkorlaringizni to’xtatadi.
Indikatordan harakatgacha
- Yetkazish. Indikatorlar SIEM, firewall va EDR’ga avtomatik tushadi. Hech narsa qo’lda ko’chirilmaydi.
- Kontekst. Har biri qaysi kampaniyaga tegishli ekanini va qanchalik ishonchli ekanini aytadi.
- Muddat. Eskirgan indikatorlar o’zi chiqarib tashlanadi.
- Qayta aloqa. Sizdagi aniqlash analitiklarga qaytadi va keyingi hisobotni aniqroq qiladi.
Qadamlardan biri bo’lmasa, oqim shovqinga aylanadi va jamoa unga e’tibor bermaslikni o’rganadi.
Provayderga to’rt savol
- Indikatorlar qayerdan keladi: o’z kuzatuvingizdanmi yoki qayta sotilgan oqimdanmi?
- Kuzatuv bilan yetkazish orasida qancha vaqt o’tadi?
- Indikator xato chiqsa, nima bo’ladi?
- Insident paytida analitik bilan gaplasha olamanmi?
Global oqimlar keng, lekin ular sensorlari bor joyni eng yaxshi ko’radi. Bitta mintaqadagi bitta sektorga qaratilgan kampaniya ularda ko’pincha bo’lmaydi, sizga esa aynan o’sha kampaniya muhim.
Nimadan boshlash kerak
O’zingiznikidan boshlang. O’z domeningiz va brendingizni kuzating: o’xshash domenlar, soxta sahifalar, sizib chiqqan xodim hisoblari. Bu arzon va birinchi haftadayoq natija beradi. Jamoa oqim bo’yicha harakat qilishga tayyor bo’lganda sektor oqimini qo’shing.
Threat Intelligence uchala darajani ham beradi va analitik doim aloqada bo’ladi. Obuna uni vositalaringizga ulashda yordamni ham o’z ichiga oladi.
