Threat Intelligence без мифов: чем TI не является и почему его часто внедряют неправильно
<img src="https://habrastorage.org/getpro/habr/upload_files/f49/166/82c/f4916682c0ef308fd9cd91a356930257.png" /><p><a href="https://www.securityvision.ru/blog/kiberrazvedka/">Threat Intelligence</a> — одна из тех тем в информационной безопасности, про которые вроде бы все что-то слышали, но почти каждый понимает по-своему. Для кого-то TI — это просто фиды с IP-адресами. Для кого-то — дорогая платформа, которую «надо купить, потому что так делают все». Для кого-то — модный термин из презентаций CISO.</p><p>Проблема в том, что из-за этого разнобоя ожиданий Threat Intelligence очень часто внедряют неправильно. Формально TI в компании есть, бюджеты освоены, отчёты формируются — а реальной пользы почти ноль. В итоге появляется устойчивое ощущение, что TI «не работает», «переоценён» или «нужен только большим корпорациям».</p><p><strong>TI — это не просто «база индикаторов», но и не магия</strong></p><p>Начнём с самого важного. Да, современный Threat Intelligence давно ушёл дальше примитивных списков IP-адресов, доменов и хэшей. Сегодня существуют TI-платформы, в которых на основе данных об угрозах строятся корреляции, сценарии, гипотезы, а иногда и полноценные обнаружения. В том числе это относится к коммерческим решениям — например, в продукте <a href="https://www.securityvision.ru/products/tip/?utm_source=wensite&utm_medium=article&utm_campaign=khabr&utm_content=tip_1009">Security Vision TIP</a> индикаторы используются не сами по себе, а как часть логики анализа и детекта.</p><p>Но здесь появляется опасная иллюзия. Кажется, что, если платформа «умеет в детекты», значит, она автоматически понимает, что для нас важно, а что нет. На практике это почти никогда не так. Любой детект, даже самый сложный, всё равно опирается на предположения — о структуре инфраструктуры, качестве логирования, допустимом поведении пользователей, уровне зрелости процессов. И если эти предположения не совпадают с реальностью конкретной компании, TI снова начинает либо шуметь, либо молчать там, где должен был помочь.</p> <a href="https://habr.com/ru/articles/1080650/?utm_source=habrahabr&utm_medium=rss&utm_campaign=1080650#habracut">Читать далее</a>