«Threat Intelligence — это не сбор свежих индикаторов компрометации (IoC) для загрузки в SIEM. Это системная работа по пониманию текущего ландшафта угроз и настройке на этой основе всей своей обороны, включая классические требования ФСТЭК. Без этого любое обеспечение безопасности превращается в статичное и неэффективное упражнение по выполнению формальных проверок.»
Что стоит за термином Threat Intelligence
В самом простом толковании Threat Intelligence (TI) — это аналитическая информация об угрозах информационной безопасности. Но ключевое слово здесь «аналитическая». Это не сырые лог-файлы или список IP-адресов, а обработанные, структурированные и обогащённые контекстом данные, которые позволяют принимать обоснованные решения о защите.
Цель TI — ответить на три фундаментальных вопроса, которые остаются за рамками формального соответствия: кто на тебя нападает, какими методами, и с какой мотивацией. Ответы на них переводят безопасность из реактивного состояния («сработала сигнализация») в проактивное («мы укрепили периметр именно там, где вероятна атака»).
[ИЗОБРАЖЕНИЕ: Схема перехода от сырых данных (лог-файлы, спам-письма) через контекст (тактики атакующих, целевые отрасли) к решениям в области безопасности.]
Уровни threat intelligence: от тактического до стратегического
Не вся разведка одинакова. Её полезно разделять по уровню детализации и горизонту планирования. Это помогает понять, для чего конкретно нужны те или иные источники данных.
Тактический уровень
Самый оперативный и технически насыщенный уровень. Здесь фигурируют конкретные индикаторы компрометации (IoC): хэши вредоносных файлов, IP-адреса командных серверов, домены для фишинга, сигнатуры атак. Эти данные напрямую загружаются в средства защиты: межсетевые экраны, системы предотвращения вторжений (IPS), антивирусы, SIEM. Их срок жизни короток — атакующие быстро меняют инфраструктуру.
Пример: получение из источника TI фида с новыми доменами, используемыми APT-группой для целевых атак на финансовый сектор, и автоматическая блокировка трафика на них.
Оперативный уровень
Фокус смещается с «чего блокировать» на «как происходит атака». На этом уровне анализируются тактики, техники и процедуры (TTP) злоумышленников. Это язык фреймворка MITRE ATT&CK. Информация здесь менее оперативна, но гораздо ценнее для построения долгосрочной обороны, так как TTP меняются медленнее, чем IP-адреса.
Пример: аналитический отчёт о том, что определённая группа атакующих для первоначального доступа часто использует фишинговые письма с документами, содержащими макросы, а для движения по сети — легитимный инструмент PsExec. Это позволяет настроить правила корреляции в SIEM на поиск таких связок и провести обучение сотрудников.
Стратегический уровень
Наименее технический, но критически важный для управления рисками и планирования бюджета уровень. Здесь анализируются тренды, мотивация и цели угрозовых акторов, их финансирование, целевые отрасли. Эта информация отвечает на вопрос «почему нас могут атаковать» и помогает распределить ограниченные ресурсы безопасности на наиболее вероятные и опасные сценарии.
Пример: понимание, что в ближайший год ожидается рост атак на организации, занимающиеся импортозамещением ПО в определённых отраслях, со стороны групп, связанных с государственными интересами. Это сигнал к усилению защиты разработческих контуров и систем контроля целостности.
Где брать данные для TI: источники и их особенности
Качество разведки напрямую зависит от качества и разнообразия источников. Их можно условно разделить на несколько категорий.
- Открытые источники (OSINT). Форумы, паблики, специализированные платформы по обмену IoC, отчёты CERT, утечки данных. Бесплатны или недороги, но требуют значительных усилий по верификации и фильтрации информационного шума.
- Коммерческие платформы и фиды. Поставщики, предлагающие структурированные потоки данных (IoC, TTP) через API или порталы. Экономят время на сбор, но требуют интеграции и настройки под свои нужды. Важно оценивать релевантность данных для вашей отрасли и географии.
- Сообщества и обмен информацией (ISAC). Отраслевые объединения для обмена данными об угрозах между участниками одной сферы (финансы, энергетика, здравоохранение). В России эта практика развивается.
- Внутренние источники. SIEM, EDR, файрволлы, песочницы. Анализ собственных инцидентов — самый ценный источник TI. Обнаруженные в вашем контуре TTP и IoC с высокой вероятностью будут использованы против вас снова.
Интеграция TI в процессы безопасности и регуляторику
Сама по себе подписка на фиды TI — бесполезная трата денег. Её ценность раскрывается только при интеграции в рабочие процессы. Вот ключевые точки приложения.
- Обогащение событий в SIEM/SOAR. Автоматическая проверка IP-адресов, доменов, хэшей из логов по актуальным спискам угроз. Это резко повышает приоритет и ценность соответствующих алёртов, отсекая фоновый шум.
- Настройка средств защиты. Автоматическое обновление чёрных списков (blacklists) в NGFW, WAF, прокси-серверах на основе тактических фидов.
- Расследование инцидентов. При расследовании компрометации аналитики сверяют найденные артефакты с базами известных TTP. Это позволяет быстрее определить принадлежность атаки к определённой группе, понять её цели и спрогнозировать дальнейшие действия.
- Проактивный поиск угроз (Threat Hunting). Использование информации об актуальных TTP для составления гипотез и целенаправленного поиска следов подобной активности в сети, которые могли ускользнуть от автоматических средств защиты.
- Оценка уязвимостей и управление патчами. Стратегическая TI помогает расставить приоритеты: какая из сотен опубликованных за месяц уязвимостей (CVE) активно эксплуатируется в дикой природе и нацелена на вашу отрасль. Именно её нужно закрывать в первую очередь.
С точки зрения регуляторики, например, требований ФСТЭК и 152-ФЗ, TI становится тем самым инструментом, который наполняет жизнью формальные требования. Так, модель угроз, требуемая для аттестации ИС, перестаёт быть шаблонным документом, а становится живым, постоянно актуализируемым продуктом, основанным на реальных данных. Процедуры реагирования на инциденты (требуемые, например, приказом № 239) становятся более эффективными, так как заранее известно, с какими конкретно методами атак можно столкнуться.
Создание собственного центра компетенций
Для организаций, всерьёз нацеленных на построение системы TI, неизбежен этап создания внутренней команды или наделения аналитиков соответствующими функциями. Их задачи:
- Оценка и выбор внешних источников TI.
- Обогащение внешних данных внутренним контекстом (какие активы у нас есть, какая ОС, какое ПО).
- Анализ инцидентов и выделение из них собственных, уникальных IoC и TTP.
- Формирование и доведение до сисадминов и специалистов по безопасности конкретных рекомендаций на основе аналитики («обновите сигнатуры IPS», «заблокируйте этот диапазон», «обратите внимание на аномальное использование powershell.exe»).
Начать можно малого — с анализа отчётов о собственных инцидентах и подписки на один-два релевантных открытых фида. Важнее не объём данных, а цикл: сбор → анализ → применение → оценка результата. Именно эта цикличность превращает разрозненные данные в работающую систему упреждающей защиты.