«Когда говоришь про threat intelligence в России, почти всегда подразумевают банальный фарминг IOCs из бесплатных источников. Бюджет уходит, а кибератака всё равно проходит мимо всех этих индикаторов. Настоящая ценность TI — не в сборе данных, а в умении превратить их в действия, и вот это стоит денег, но выглядит не так эффектно, как дорогая платформа с красивыми дашбордами.»
Что на самом деле продают под видом «угрозной разведки»
За аббревиатурой TI в России часто скрывается два радикально разных продукта, которые смешивают в одну кучу. Первый — это сырые данные: списки вредоносных IP-адресов, хешей файлов, доменных имен. По сути, это тактические индикаторы компрометации (IOCs). Их можно собрать бесплатно из публичных источников, RSS-лент и форумов. Второй продукт — аналитическая работа: оценка акторов, их тактик, целей и прогноз их действий. Это стратегическая и оперативная разведка, она требует экспертизы и контекста.
Многие платформы на рынке по факту продают первый продукт, слегка его автоматизировав и упаковав в интерфейс. Вы платите за удобство агрегации и парсинга открытых данных, что-то вроде дорогой подписки на новостную ленту. Ключевой вопрос не в том, «стоит ли инвестировать в TI», а в том, какую именно часть этой экосистемы вы покупаете и насколько она интегрируется в ваши реальные процессы реагирования.
[ИЗОБРАЖЕНИЕ: Диаграмма, показывающая разницу между тактическими IOCs (сырые данные, автоматический сбор) и оперативно-стратегической аналитикой (контекст, акторы, прогнозы). Левая часть — множество источников данных, стекающихся в один поток, правая часть — аналитик, работающий с контекстом и связями.]
Проблема интеграции: данные есть, действий нет
Классический сценарий провала инвестиций выглядит так: компания покупает платформу, подключает её к SIEM, и в дашбордах начинает мигать тысячи алертов по подозрительным IP-адресам. Команда SOC тонет в шуме, потому что 99% этих индикаторов нерелевантны для её конкретной инфраструктуры — банковский троян в окружении промышленной автоматики бесполезен. Платформа собирает угрозы «вообще», а не угрозы «для вас».
Ценность разведки определяется не объёмом данных, а точностью привязки к вашему технологическому стеку, бизнес-процессам и уже имеющимся уязвимостям. Если у вас нет процесса для регулярного пересмотра тактик, техник и процедур (TTPs) актуальных группировок и сопоставления их с вашими controls, платформа становится дорогой игрушкой. Инвестиции должны идти не в сам «источник истины», а в механизмы его превращения в правила для WAF, корреляции в SIEM или сценарии для SOAR.
Финансовая математика: TCO против «стоики за IOC»
Прямая цена подписки на платформу — это только верхушка айсберга. Настоящие затраты складываются из трёх компонентов:
- Прямые затраты (CAPEX/OPEX): лицензии, внедрение, обучение.
- Косвенные затраты на интеграцию: время архитекторов и инженеров на настройку коннекторов, написание парсеров, отладку.
- Операционные затраты: кто и сколько времени будет ежедневно работать с платформой? Нужен ли отдельный аналитик TI, или эту нагрузку поглотит SOC? Как часто нужно обновлять контекст и правила?
Часто выясняется, что дешевле и эффективнее нанять одного сильного аналитика, который будет работать с комбинацией бесплатных и нишевых платных источников, чем покупать «коробочное» решение, которое потребует такого же аналитика для его обслуживания плюс лицензионные отчисления. Экономика работает только при очень большом масштабе или высокой степени автоматизации ответа.
Когда инвестиция оправдана: пять критериев
Вложиться в специализированную платформу имеет смысл, если соблюдается большинство условий из этого списка:
- Вы — цель для целевых атак. Вы работаете в критической инфраструктуре, крупном финансовом секторе или оборонной промышленности. Ваши вероятные противники — это APT-группы, а не распространители массового ransomware.
- У вас есть зрелый SOC. Уже налажены процессы инцидент-менеджмента, есть классификация угроз, и команда умеет работать не только с алертами, но и с разведывательными сводками.
- Вы можете формализовать требования. Вы чётко понимаете, какие тактики (по MITRE ATT&CK) наиболее опасны для вашего технологического стека, и можете сформулировать, какие именно данные (IOCs, TTPs, контекст по акторам) вам нужны на регулярной основе.
- Автоматизация — ключевой приоритет. Вы готовы инвестировать время в интеграцию платформы с SOAR и другими системами, чтобы закрывать задачи по принципу «получил индикатор — автоматически создал блок-правило».
- Требуется отчётность для регулятора. В вашем случае наличие платформы TI является прямым требованием стандартов (например, отдельных положений ФСТЭК или требований регулятора) для демонстрации зрелости процесса мониторинга угроз.
Альтернативы: что можно сделать до покупки платформы
Прежде чем выписывать чек, имеет смысл провести внутренний аудит возможностей. Часто необходимый базис можно построить с минимальными вложениями.
- Настройте сбор из открытых источников (OSINT). Используйте RSS, Telegram-каналы (с осторожностью), GitHub-репозитории с IOCs. Простые скрипты на Python могут агрегировать это в единую базу.
- Внедрите таксономию MITRE ATT&CK. Начните описывать инциденты не просто как «вирус», а через конкретные техники. Это позволит понять, против каких TTPs вам реально нужна внешняя разведка.
- Задействуйте бесплатные платформы и инструменты. MISP можно развернуть локально для хранения и шеринга индикаторов. Для анализа образцов malware есть публичные песочницы.
- Проведите пилот с вендором на ваших данных. Запросите тестовый доступ и «скормите» платформе данные о ваших недавних инцидентах. Оцените, насколько предлагаемые индикаторы и аналитика были бы полезны тогда.
[ИЗОБРАЖЕНИЕ: Инфографика «Путь к осознанному TI»: слева направо — этапы: 1. Оценка угроз (Кто нам угрожает? Какие TTPs?). 2. Оценка возможностей (Зрелость SOC, наличие аналитика). 3. Тестирование (Пилот на реальных данных). 4. Решение (Сборка своего стека / Выбор платформы / Отказ).]
Что смотреть при выборе вендора: неочевидные моменты
Если вы прошли чек-лист и решили, что платформа нужна, не фокусируйтесь только на объёме базы IOCs. Обратите внимание на следующее:
- Качество, а не количество. Как часто происходит false positive? Насколько детально описан контекст индикатора (кто использовал, в какой кампании, с какой целью)?
- Релевантность для региона. Насколько глубоко вендор отслеживает русскоязычные и СНГ-хактивистские группировки? Есть ли аналитика на русском языке?
- Гибкость API и возможности интеграции. Можно ли легко выгружать данные в ваш SIEM/SOAR? Поддерживаются ли стандартные форматы вроде STIX/TAXII?
- Юридические аспекты. Откуда вендор получает данные? Нет ли проблем с использованием данных из определённых источников с точки зрения российского законодательства?
- Поддержка и развитие. Как часто выходят обновления? Есть ли у вендора практикующие аналитики, которые могут дать консультацию по сложному инциденту, или поддержка ограничивается техотделом?
Итог: инвестировать не в платформу, а в процесс
Решение о покупке платформы threat intelligence — это по большей части решение о покупке определённого процесса работы с угрозами. Если у вас нет этого процесса, платформа его не создаст, а лишь продемонстрирует его отсутствие с помощью красивых графиков. Успешные инвестиции происходят, когда TI становится естественной частью цикла киберзащиты: разведка informs профилактику (патчинг, настройка WAF), профилактика снижает поверхность атаки, мониторинг ловит то, что проскочило, а данные с инцидентов снова уходят в разведку для уточнения картины.
Главный вопрос, на который должен ответить CISO перед подписанием договора: «Что изменится в наших ежедневных операциях на следующей неделе после запуска этой системы?». Если ответ — «в дашборде появятся новые данные», деньги, скорее всего, будут потрачены впустую. Если же ответ — «автоматически обновятся правила в файрволе для блокировки новой кампании против нашего сектора», тогда инвестиция начинает работать.