Open Source Threat Intelligence: что реально полезно, а что шум
Практически каждая современная система мониторинга безопасности умеет работать с Threat Intelligence. Производители SIEM, EDR, XDR, NGFW постоянно говорят про IOC, фиды, репутацию IP-адресов и автоматическое обогащение событий. На практике все выглядит немного иначе. После подключения десятка бесплатных TI-источников SOC внезапно начинает видеть тысячи «индикаторов компрометации». Половина IP-адресов оказывается давно неактивной, часть доменов уже не существует, а количество ложных срабатываний начинает раздражать аналитиков сильнее, чем реальные атаки. Возникает закономерный вопрос: насколько вообще полезен Open Source Threat Intelligence, и где заканчивается польза, а начинается информационный шум? Попробуем разобраться. Читать далее