Анализ киберугроз (Cyber threat intelligence, CTI) — это подраздел кибербезопасности , который фокусируется на структурированном сборе, анализе и распространении данных о потенциальных или существующих киберугрозах. Он предоставляет организациям информацию, необходимую для прогнозирования, предотвращения и реагирования на кибератаки, путем понимания поведения субъектов угроз, их тактики и уязвимостей, которые они используют. Источники анализа киберугроз включают разведку (агентурную, техническую, на основе открытых источников, в социальных сетях), файлы журналов устройств, данные криминалистической экспертизы, информация из интернет-трафика и данные из даркнета и глубокой сети.
Отличие современных программ CTI от простого использования необработанных данных именно в сочетании технического мониторинга, внешних источников разведки и методов анализа при подготовке конкретных оценок киберугроз в адрес компаний или секторов бизнеса.
Аналитическая интерпретация дает контекст действиям, возможностям и намерениям злоумышленников, помогая организациям устанавливать приоритеты и эффективно распределять ресурсы безопасности. Когда компании принимают решения на основе разведывательных данных и анализа, они могут действовать превентивно, предотвращая нарушения до того, как они произойдут. Значение метода повышается, поскольку, по оценкам IBM, наиболее распространенный способ взлома компаний — использование уязвимостей (47% всех атак). Также на рост числа угроз повлияла пандемия COVID-19 и массовый переход на работу из дома, что усложняет защиту контура информационной безопасности. В связи с растущей сложностью анализа угроз, многие компании предпочитают передать свою деятельность по анализу на аутсорсинг поставщику управляемых услуг безопасности (MSSP).
Анализ киберугроз стал важным компонентом современных центров оперативного управления безопасностью (SOC), где данные об угрозах используются для модернизации оповещений, выявления вредоносной инфраструктуры и поддержки мероприятий по реагированию на инциденты и поиску угроз.
Типология Существует три уровня разведки киберугроз: тактический, оперативный и стратегический. Каждый служит определенной аудитории и цели при построении всесторонней оценки угроз.
Тактический: самый технический из уровней, который ориентирован на немедленное обнаружение и реагирование. Тактическая разведка включает конкретные индикаторы компрометации (IOC): IP-адреса, доменные имена, хеши файлов, сигнатуры вредоносных программ и аналогичные артефакты. Группы оперативного обеспечения безопасности используют эти индикаторы для выявления и блокировки угроз в режиме реального времени с помощью правил SIEM, политик межсетевых экранов и систем обнаружения на конечных устройствах. Оперативный: сосредоточен на понимании поведения и кампаний противника. Оперативная разведка анализирует, кто является субъектами угроз, их тактику, методы и процедуры, модели инфраструктуры, мотивацию и текущие кампании. Этот уровень помогает группам безопасности прогнозировать развитие атак, распознавать методы действий противника и понимать более широкий контекст конкретных инцидентов. Источники включают результаты реагирования на инциденты, анализ вредоносного ПО, профилирование субъектов угроз, отчеты поставщиков решений в области безопасности, а также информацию от отраслевых групп обмена опытом и правительственных рекомендаций. Стратегический: предназначена для нетехнической аудитории, в частности, для руководителей и членов совета директоров. Стратегическая информация рассматривает риски высокого уровня для бизнеса: какие субъекты угроз нацелены на отрасль организации, геополитические факторы, влияющие на ландшафт угроз, долгосрочные тенденции и потенциальное влияние киберугроз на бизнес. Предоставляемая в виде отчётов, брифингов и оценок рисков, она помогает руководству расставлять приоритеты при инвестировании в безопасность и понимать, как киберриски соотносятся с целями организации.
Традиционно проводится различие между стратегическим, тактическим и оперативным анализом, некоторые крупные организации часто определяют технический анализ угроз как отдельную (четвертую) категорию, необходимую для центров оперативного управления безопасностью (SOC). Технический анализ угроз фокусируется на машиночитаемых индикаторах компрометации (вредоносных IP-адресах, доменных именах, хэшах файлов, серверах управления и контроля (C2), инфраструктуре) для автоматизации обнаружения и реагирования.
Некоторые платформы анализа угроз также различают аналитику на основе индикаторов и аналитику на основе поведения. Аналитика на основе индикаторов фокусируется на конкретных технических артефактах, а аналитика на основе поведения работает над тактикой и методами злоумышленников для обнаружения угроз, которые могут изменять инфраструктуру или индикаторы с течением времени.
Источники информации Информация об угрозах кибербезопасности может быть получена из внутренней телеметрии от инструментов безопасности, данных сетевых журналов или конечных систем, анализа вредоносного ПО, специализированных каналов информации об угрозах от поставщиков решений в области кибербезопасности, разведки по открытым источникам (OSINT), мониторинга даркнета и аналитических отчетов государственных учреждений или частных охранных фирм. Для получения эффективных аналитических выводов необходимо комбинировать данные из внутренних инструментов безопасности с внешними техническими и стратегическими отчетами, чтобы получить более полное представление об угрозах.
Интеллектуальный цикл процесса Анализ информации о киберугрозах — циклический и непрерывный процесс, обеспечивающий поступление актуальной информации в виде, удобном для снижения опасности и неопределенности.
Разведывательный цикл состоит из пяти фаз: планирование и руководство; сбор; обработка; анализ; распространение.
Планирование и руководство — заказчик разведывательного продукта запрашивает разведывательную информацию по конкретной теме или цели. Сбор — доступ к исходной информации, необходимой для создания готового разведывательного продукта. Поскольку информация не является разведывательной информацией, она должна быть преобразована и, следовательно, должна пройти этапы обработки и анализа Обработка (преаналитический этап) — исходная информация фильтруется и подготавливается для анализа с помощью дешифрования, перевода, сокращения данных и других методов. Анализ — организованные данные преобразуют в разведывательную информацию. Распространение — вновь отобранная информация об угрозах отправляется пользователям. Модель разведывательного цикла в области анализа киберугроз основана на традиционных методах разведки, используемых военными и правительственными разведывательными агентствами, где структурированный анализ применяется для преобразования необработанных данных в информацию, необходимую для принятия решений.
Ключевые элементы Чтобы данные считались разведывательной информацией об угрозе, необходимо наличие трех ключевых элементов:
Основано на доказательствах: Чтобы использовать разведывательный продукт, его нужно получить надлежащими методами сбора доказательств. С помощью других процессов, таких как анализ вредоносного ПО, можно получить информацию об угрозах.
Полезность: Чтобы информация об угрозах оказала положительное влияние на исход инцидента безопасности, она должна быть полезной. Информация должна обеспечивать ясность контекста и данных относительно конкретных действий и методов.
Действенность: Действие — ключевой элемент, отличающий информацию или данные от разведывательных данных об угрозах. Разведданные должны подталкивать к действию.
Исследователи кибербезопасности также выделяют другие влияющие на качество информации об угрозах факторы: точность, полнота, своевременность, совместимость и релевантность среде, в которой она будет использоваться.
Преимущества анализа киберугроз
Предоставляет организациям, агентствам или другим структурам возможность разработать проактивную и надежную стратегию кибербезопасности и укрепить общую политику управления рисками и реагирования на киберугрозы. Дает контекст и информацию об активных атаках и потенциальных угрозах, векторах атак и вредоносной деятельности, направленной на информационные технологии и на операционные технологические платформы. Предотвращает утечку конфиденциальной информации в результате взломов. Снижает затраты. Предоставляет учреждениям инструкции по внедрению мер безопасности для защиты от будущих атак. Обеспечивает обмен знаниями, навыками и опытом между сообществом специалистов по кибербезопасности и заинтересованными сторонами. Помогает легче и лучше выявлять риски, угрозы, механизмы доставки, индикаторы компрометации в инфраструктуре и потенциальных конкретных участников и инициаторов. Предоставляет индикаторы действий, предпринятых на каждом этапе атаки, для групп реагирования. Служит основанным на фактах хранилищем доказательств успешных и неудавшихся кибератак Анализ угроз помогает улучшить механизмы обнаружения угроз, выявляя методы и модели поведения злоумышленников, которые еще не обнаружены автоматизированными системами мониторинга безопасности.
Платформы анализа угроз Организации часто используют специализированное программное обеспечение, известное как платформы анализа угроз (TIP), для сбора, анализа и распространения данных об угрозах.
Платформы анализа угроз собирают данные из внутренних и внешних источников, включая телеметрию систем безопасности, потоки информации из открытых источников, хранилища вредоносного ПО, базы данных уязвимостей и отчеты от поставщиков решений в области безопасности. Агрегируя и сопоставляя индикаторы компрометации (IoC), такие как вредоносные IP-адреса, доменные имена, хеши файлов и инфраструктура управления и контроля, платформы помогают специалистам по безопасности лучше понимать контекст угроз и выявлять наиболее значимые угрозы, закономерности, связанные с конкретными кампаниями или субъектами угроз.
Платформы анализа угроз обычно интегрируются с другими системами кибербезопасности. Интеграция с такими инструментами, как системы управления информацией и событиями безопасности (SIEM), решения для обнаружения и реагирования на угрозы на конечных устройствах (EDR) и платформы реагирования на инциденты, позволяет автоматизировать обогащение оповещений и ускорить расследование инцидентов безопасности.
Некоторые платформы анализа угроз используют автоматизированные конвейеры обработки данных и методы машинного обучения для обработки больших объемов данных об угрозах и получения аналитических выводов для проактивных стратегий кибербезопасности.
Структурированные данные разведки Структурированные данные — систематизированная, машиночитаемая информация о киберугрозах, организованная для автоматического обмена данными и анализа. Современные программы для сбора и анализа информации о киберугрозах основаны на стандартизированных форматах.
STIX (Structured Threat Information Expression) — стандартизированный язык для представления аналитической информации о киберугрозах в машиночитаемом формате, позволяющий аналитикам описывать злоумышленников, кампании, уязвимости и индикаторы в рамках структурированной модели данных.
Trusted Automated Exchange of Intelligence Information (TAXII) — протокол для поддержки автоматизированного обмена данными об угрозах, обычно используемый для передачи разведывательной информации в формате STIX.
Протокол Traffic Light (TLP) широко используется при обмене информацией об угрозах для определения того, как конфиденциальная информация передается между членами доверенных сообществ.
Автоматизация анализа угроз