Описание
Модуль Threat Intelligence расширяет возможности Smart Monitor за счёт интеграции с профессиональными источниками данных об угрозах (фидами) от наших партнёров. Модуль даёт возможность использовать автоматическое обогащение событий и инцидентов, а также выявлять дополнительные инциденты по взаимодействию с IoC в инфраструктуре.
Содержимым модуля является набор дашбордов, правил, инвентаризационных активов, конфигураций Logstash и скриптов для автоматизированного сбора данных от провайдеров IoC.
Для кого: SOC-аналитики и специалисты по реагированию, администраторы безопасности.
Возможности
Шесть сценариев работы с данными об угрозах — от подключения фидов до инцидентов по взаимодействиям с IoC.
Подключение фидов от вендоров
Интеграция с профессиональными источниками данных об угрозах: платные фиды по подписке и открытые источники.
- CTT Threat Feed («Технологии киберугроз») и AM TIP (АО «Перспективный Мониторинг») — по подписке
- Открытый источник ThreatFox — «из коробки»
- Скрипты сбора и конфигурации Logstash в составе модуля
База данных IoC
Централизованное хранилище индикаторов компрометации, получаемых от внешних поставщиков, с автоматическим обновлением данных об угрозах в реальном времени.
- Типизированные модели данных:
Domain, Hash, IP, Url - Поля приведены к стандарту ECS (Elastic Common Schema)
- Каждому IoC — тип, поставщик, теги и критичность
Обогащение событий и инцидентов
Автоматическое обогащение событий и инцидентов данными об угрозах снижает число ложных срабатываний.
- Инцидент содержит информацию и из исходного события, и из совпавшего IoC
- Контекст для аналитика: пользователь, хост и подробности индикатора
- Снижение числа ложных срабатываний
Правила выявления взаимодействий с IoC
Правила корреляции сопоставляют события инфраструктуры с базой IoC и автоматически формируют инциденты для реагирования.
- Обнаружение коммуникаций с вредоносной инфраструктурой и работы с вредоносными объектами
- Мониторинг по расписанию: поиск, сопоставление, реакция
- Инциденты по совпадениям — сразу в Incident Manager
Дашборды сводной статистики
Визуальные инструменты для анализа IoC, инцидентов и взаимодействий с базой IoC.
- «Статистика инцидентов»: метрики, критичности, разбивка по поставщикам, хостам и пользователям
- «Статистика по базе IoC»: уникальные индикаторы и их критичности
- Фильтры по значению, типу, поставщику, тегам и критичности IoC
Инвентаризация фидов
Встроенный механизм автоматической инвентаризации фидов от различных поставщиков — актуальный список всех фидов, загруженных в систему.
- Карточка фида с базовыми и дополнительными метаданными
- Информация по фиду дополняется данными других поставщиков
- Активы IoC формирует расчётный модуль Inventory
