მთავარი დასკვნა
სასარგებლო ინფორმაცია გადაწყვეტილებას ცვლის: ხელმძღვანელები განსაზღვრავენ რისკისა და ინვესტიციების პრიორიტეტებს, ანალიტიკოსები კი ქცევებსა და ინდიკატორებს აღმოჩენებად, საფრთხეზე ნადირობად და რეაგირების გეგმებად აქცევენ.
რას აკეთებს CTI
კიბერსაფრთხეების შესახებ ინფორმაციის ანალიზი (CTI) აგროვებს და აფასებს ცნობებს შესაძლო და მიმდინარე შეტევებზე, შემდეგ კი მათ გადაწყვეტილების მისაღებ კონტექსტად აქცევს. წყაროებია შიდა ჟურნალები, ინციდენტები და მოწყვლადობები, აგრეთვე გარე რეკომენდაციები, კვლევები და საფრთხის ინდიკატორები. მიზანი ნედლი მონაცემების დაგროვება არ არის: განსაზღვრეთ, რომელი რისკი ეხება ორგანიზაციას, აირჩიეთ დაცვის მოქმედება და შეაფასეთ შედეგი.
CTI‑ის 12 ოპერაციული სარგებელი
ცალ-ცალკე აკონტროლეთ ეს მიმართულებები, რადგან თითოეული განსხვავებულ გადაწყვეტილებას ან გუნდის საქმიანობას ემსახურება. შესაბამისი მაჩვენებლებით გაზომეთ აღმოჩენა, რეაგირება, რისკი და ოპერაციული დატვირთვა.
ადრეული აღმოჩენა და რეაგირება
შეადარეთ საფრთხისთვის დამახასიათებელი ქცევები და ინდიკატორები დაფიქსირებულ მოვლენებს, რათა დროულად დაიწყოთ გამოძიება და ესკალაცია.
ინფორმირებული გადაწყვეტილებები
აქტივების, ალბათობისა და შესაძლო ზემოქმედების კონტექსტით განსაზღვრეთ დაცვის პრიორიტეტები და გაანაწილეთ რესურსები.
ინციდენტების მართვა
კამპანიის, შეტევის მეთოდისა და დაკავშირებული ინდიკატორების კონტექსტი ხელს უწყობს ინციდენტის მასშტაბის გამოძიებასა და რეაგირების მოქმედებების არჩევას.
მოწყვლადობების მართვა რისკის მიხედვით
მოწყვლადობები დაუკავშირეთ მათი ექსპლუატაციის მტკიცებულებებს, დაზარალებულ სისტემებსა და ბიზნესზე ზემოქმედებას, რათა განსაზღვროთ გამოსწორების რიგი.
ცნობიერება და სწავლება
შექმენით როლებზე მორგებული სასწავლო მაგალითები ფიშინგის მიმდინარე თემების, მავნე პროგრამების კამპანიებისა და სოციალური ინჟინერიის მეთოდების საფუძველზე.
მზადყოფნა ცვალებადი შეტევებისთვის
მოწინააღმდეგის ტაქტიკა, ტექნიკა და პროცედურები (TTPs) შეუსაბამეთ დაცვის ზომებს და მოამზადეთ შემოწმებადი აღმოჩენის სცენარები.
გაფრთხილებების დახვეწა
შეამოწმეთ ინდიკატორის წყარო, სიახლე და კავშირი ადგილობრივ აქტივთან; ეს კონტექსტი ანალიტიკოსებს ნაკლებად ღირებული გაფრთხილებების გამოყოფაში ეხმარება.
აუდიტი და რისკის ანგარიშგება
დააფიქსირეთ, როგორ ირჩევთ და აკონტროლებთ მონიტორინგის, რეაგირებისა და რისკის შემცირების მოქმედებებს; შეუსაბამეთ ისინი მოქმედ მოთხოვნებს.
არსებული ხელსაწყოების უკეთ გამოყენება
შესაბამისი ინდიკატორები და წესები მიაწოდეთ SIEM‑ს, IDS/IPS‑სა და ბოლო მოწყობილობების კონტროლის მექანიზმებს, შემდეგ კი შეაფასეთ მათი ღირებულება და ოპერაციული ხარჯი.
გრძელვადიანი დაგეგმვა
უსაფრთხოების სამოქმედო გეგმის განახლებისას ხელმძღვანელობას წარუდგინეთ განმეორებადი კამპანიები, დარგობრივი ტენდენციები და შიდა ხარვეზები.
თანამშრომლობა და ინფორმაციის გაზიარება
დანერგეთ ინფორმაციის გაცვლა პარტნიორებთან, დარგობრივ ჯგუფებსა და შესაბამის საჯარო უწყებებთან კონფიდენციალურობის, ლიცენზირებისა და მონაცემების გამოყენების წესების დაცვით.
ნდობა და კომუნიკაცია
პარტნიორებსა და შიდა ხელმძღვანელობას დროულად მიაწოდეთ გადამოწმებული ინფორმაცია საფრთხეებსა და ინციდენტებზე და განასხვავეთ მტკიცებები გაზომილი ფაქტებისგან.
CTI‑ის ტიპები და აუდიტორიები
CTI‑ის ტიპები განსხვავდება დეტალიზაციითა და იმ გადაწყვეტილებებით, რომლებსაც ემსახურება; მათი აუდიტორიები შეიძლება იკვეთებოდეს. ერთი მოვლენის შესახებ ინფორმაცია შეიძლება გამოიყენოთ ხელმძღვანელობისთვის რისკის შესაფასებლად, ანალიტიკოსებისთვის ქცევის გასაანალიზებლად, SOC‑ისთვის კამპანიის კონტექსტის შესაქმნელად და აღმოჩენის ტექნიკური წესის დასაწერად.
სტრატეგიული
აუდიტორია: აღმასრულებელი ხელმძღვანელები, CISO‑ები, რისკის მენეჯერები და დირექტორთა საბჭოები. მიზანი: ინვესტიციები, რისკისადმი მზაობა და გრძელვადიანი პოლიტიკა. ინფორმაცია: თავდამსხმელთა მოტივები, გეოპოლიტიკური და დარგობრივი ტენდენციები, შეტევის ახალი გზები. წყაროები: სახელმწიფო უწყებების რეკომენდაციები, დარგობრივი ანგარიშები და სანდო კვლევები.
ტაქტიკური
აუდიტორია: ანალიტიკოსები, საფრთხეებზე მონადირეები და ინციდენტებზე რეაგირების სპეციალისტები. მიზანი: კონტროლის მექანიზმების მორგება შეტევის მეთოდებზე. ინფორმაცია: ფიშინგი, მავნე პროგრამების მიწოდება, მოწყვლადობების ექსპლუატაცია და TTPs. წყაროები: მავნე პროგრამების ანალიზი, შეღწევადობის ტესტები და გადამოწმებული ანგარიშები საფრთხეებზე.
ოპერაციული
აუდიტორია: SOC, ინციდენტებზე რეაგირების სპეციალისტები და საფრთხეებზე მონადირეები. მიზანი: მიმდინარე კამპანიის დროს გადაწყვეტილებების დაჩქარება. ინფორმაცია: აქტიური საფრთხეები, სამიზნე დარგები, შეტევის ინფრასტრუქტურა, სავარაუდო დრო და მეთოდები. წყაროები: ინციდენტების მონაცემები, პარტნიორების რეკომენდაციები, თავდამსხმელთა კომუნიკაციები და გადამოწმებული დაკვირვებები.
ტექნიკური
აუდიტორია: SOC‑ის ანალიტიკოსები, სისტემის ადმინისტრატორები და უსაფრთხოების ინჟინრები. მიზანი: აღმოჩენისა და რეაგირებისთვის მანქანურად წაკითხვადი მონაცემების მიწოდება. ინფორმაცია: IP‑მისამართები, დომენები, URL‑ები, ფაილების ჰეშები, ქსელური სიგნატურები და C2‑ინდიკატორები. წყაროები: საფრთხეების საინფორმაციო პლატფორმები, სატყუარა სისტემები, მავნე პროგრამების ანალიზის გარემოები და OSINT.
ინფორმაციის ანალიზის ციკლი: კითხვიდან უკუკავშირამდე
დაიწყეთ კონკრეტული კითხვით, რომელზეც გადაწყვეტილებაა მისაღები. შეაგროვეთ მხოლოდ პასუხისთვის საჭირო მონაცემები, გააანალიზეთ კავშირები, დასკვნა მიაწოდეთ შესაბამის აუდიტორიას და გაზომეთ მოქმედების შედეგი. შემდეგ გაიმეორეთ ციკლი ახალი დაკვირვებებისა და შესწორებების გათვალისწინებით.
განსაზღვრეთ მოთხოვნა
შეათანხმეთ ბიზნესკითხვა, კრიტიკული აქტივები, ფარგლები, დროითი ჰორიზონტი და სამიზნე აუდიტორია.
შეაგროვეთ და გადაამოწმეთ მონაცემები
შეუთავსეთ შიდა ტელემეტრია შესაბამის გარე წყაროებს; შეინახეთ წყაროს, დროის, სანდოობისა და ლიცენზირების დეტალები.
გააანალიზეთ და დაამატეთ კონტექსტი
დაუკავშირეთ ინდიკატორები აქტივებს, მოწყვლადობებსა და დაფიქსირებულ ქცევას. ამოიღეთ დუბლიკატები, გამოიკვლიეთ შეუსაბამობები და შეაფასეთ სანდოობა.
მიაწოდეთ და პრაქტიკაში გამოიყენეთ
ხელმძღვანელობას მიაწოდეთ რისკი და არჩევანის ვარიანტები, SOC‑ს — ქცევა და კონტექსტი, ხელსაწყოებს კი — გადამოწმებული წესი ან ინდიკატორი. წინასწარ განსაზღვრეთ რეაგირების უფლებამოსილება.
გაზომეთ და დახვეწეთ
აკონტროლეთ აღმოჩენისა და რეაგირების დრო, გამოძიების შედეგები, ნაკლებად ღირებული გაფრთხილებები და აღმოფხვრილი ხარვეზები. გუნდის უკუკავშირითა და ახალი ინფორმაციით განაახლეთ მოთხოვნა, წყარო და წესი.
მიზნები, ჩარჩო და წყაროები
CTI‑ის პროგრამა დაუკავშირეთ ბიზნესისა და უსაფრთხოების მიზნებს. განსაზღვრეთ საფრთხეების ფარგლები, საჭირო დეტალიზაცია, პასუხისმგებლები, გავრცელების წესები და წარმატების საზომები. რეგულარულად შეაფასეთ წყაროს ხარისხი, სიახლე, დარგთან შესაბამისობა და გამოყენების უფლებები.
შიდა დაკვირვებები
SIEM‑ის ჟურნალები, ბოლო მოწყობილობებზე აღმოჩენები, იდენტობისა და ქსელის ტელემეტრია, მოწყვლადობების ინვენტარი, ცვლილებების ჩანაწერები და წარსული ინციდენტები.
გადამოწმებული გარე წყაროები
სახელმწიფო უწყებებისა და მომწოდებლების რეკომენდაციები, კვლევები, საფრთხეების კომერციული და ღია ნაკადები, მავნე პროგრამების ანალიზი და დარგში ინფორმაციის გაზიარება.
ინფორმაციის დამუშავება
შეინახეთ წარმომავლობა და დროის ნიშნულები, გააერთგვაროვნეთ ფორმატები, ამოიღეთ დუბლირებული ინდიკატორები, გამოიკვლიეთ ცრუ დადებითი შედეგები და გაფილტრეთ ნაკლებად ღირებული მონაცემები.
გაზომვა და უკუკავშირი
აირჩიეთ საზომები, რომლებიც ასახავს მოცულობასა და ხარისხს: წესების გადამოწმების შედეგები, ინდიკატორების სიახლე, გამოძიებისა და რეაგირების დრო, აღმოფხვრილი დაცვის ხარვეზები და ანალიტიკოსთა დატვირთვა. გააუმჯობესეთ პროგრამა სწავლებითა და ინციდენტების განხილვით.
დაუკავშირეთ ინფორმაცია ხელსაწყოებსა და გუნდებს
ინტეგრაციები აირჩიეთ იმის მიხედვით, თუ რომელ სამუშაო პროცესს აუმჯობესებს. გადაუმოწმებელი ინდიკატორით ავტომატური დაბლოკვა არ დაიწყოთ; ჯერ განსაზღვრეთ მონაცემთა ხარისხისა და სანდოობის მოთხოვნები, ინდიკატორის ვადა და უკუქცევის ნაბიჯები.
SIEM, IDS/IPS და ბოლო მოწყობილობების კონტროლი
გადამოწმებული ინდიკატორები და TTPs აქციეთ აღმოჩენის წესებად და საფრთხეზე ნადირობის ძიებებად. შეუსაბამეთ ისინი აქტივებს, გამოცადეთ მგრძნობელობა და ანალიტიკოსებს უჩვენეთ გაფრთხილების წყარო.
ინციდენტებზე რეაგირება
მიმდინარე კამპანიის კონტექსტი გაუზიარეთ კოორდინატორს, გამომძიებლებსა და სისტემის პასუხისმგებელს; დააფიქსირეთ ფარგლები, ესკალაცია, მტკიცებულებების შენარჩუნება და დამტკიცების უფლებამოსილება.
მოწყვლადობების მართვა
ექსპლუატაციის დაკვირვებები და სამიზნე პროდუქტების ვერსიები შეუთავსეთ აქტივების ინვენტარს, რათა პრიორიტეტი მიანიჭოთ შესწორებებსა და საკომპენსაციო კონტროლის მექანიზმებს.
ადამიანები და ინფორმაციის გაზიარება
CTI‑ის ანალიტიკოსები აგროვებენ და აფასებენ ინფორმაციას; SOC დასკვნებს აღმოჩენასა და რეაგირებაში იყენებს; ინციდენტებზე რეაგირების სპეციალისტები მართავენ მოვლენას; საფრთხეებზე მონადირეები ამოწმებენ ჰიპოთეზებს. IT, რისკის, შესაბამისობისა და ხელმძღვანელობის გუნდები დასკვნებს საკუთარი გადაწყვეტილებებისთვის იყენებენ.
გლობალური კონტექსტი და ადგილობრივი ხილვადობა
გლობალური ინფორმაცია აერთიანებს სხვადასხვა რეგიონსა და დარგში დაფიქსირებულ ინფრასტრუქტურას, კამპანიებსა და TTPs‑ს. ადგილობრივი აღმოჩენა ამ კონტექსტს ორგანიზაციის მოწყობილობებს, მომხმარებლებსა და მოვლენებს უკავშირებს. მაგალითად, შიდა გაფრთხილებაში IP ემთხვევა ინდიკატორს გამოსასყიდის მომთხოვნი პროგრამის კამპანიიდან, რომელიც თქვენს დარგს უტევს: ანალიტიკოსი ამოწმებს დაკვირვების დროსა და დაზარალებულ მოწყობილობას, შემდეგ კი ზრდის გამოძიების პრიორიტეტს. ფაილის ჰეშის დამთხვევა ასევე ეხმარება სხვა მოწყობილობებზე დაკავშირებული აქტივობის მოძებნას.
| განზომილება | გლობალური ინფორმაცია | ადგილობრივი აღმოჩენა |
|---|---|---|
| ხილვადობა | კამპანიები, ინფრასტრუქტურა, TTPs და დარგობრივი ტენდენციები მრავალი წყაროდან. | შიდა აქტივები, მომხმარებლები, მოვლენები, მოწყვლადობები და ქსელის ტელემეტრია. |
| ძირითადი კითხვა | ვისა და რომელ გარემოებს უმიზნებს ეს კამპანია? | არის ეს ინდიკატორი ან ქცევა ჩვენს გარემოში? |
| გამოყენება | გადაამოწმეთ წყარო, შეაფასეთ დარგთან შესაბამისობა და ჩამოაყალიბეთ საფრთხეზე ნადირობის ჰიპოთეზა. | დაუკავშირეთ აქტივს, გადაამოწმეთ გაფრთხილება, აირჩიეთ რეაგირებისა და გამოსწორების ზომები. |
აირჩიეთ TIP ინტეგრაციისა და დატვირთვის მიხედვით
კიბერსაფრთხეების საინფორმაციო პლატფორმა (TIP) აერთიანებს შიდა და გარე წყაროებს, ახდენს მათი მონაცემების ნორმალიზაციასა და კორელაციას, შემდეგ კი სამუშაო პროცესებში გზავნის მათ. TIP არ ანაცვლებს SIEM‑ს, EDR‑ს, ქსელთაშორის ეკრანებსა თუ IDS‑ს; ინტეგრაციები ამატებს კონტექსტს და ეხმარება გაფრთხილებების ტრიაჟს. შეძენამდე გამოცადეთ რეალურ წყაროებთან და ხელსაწყოებთან.
წყაროები და თავსებადობა
შეამოწმეთ საჭირო ღია, კომერციული, სახელმწიფო, დარგობრივი და შიდა ნაკადების მხარდაჭერა. დაადასტურეთ ფორმატები, API‑ები, განახლების სიხშირე და ის, ნებადართულია თუ არა ლიცენზიით წარმოებული მონაცემების გაზიარება.
ანალიტიკა და პრიორიტეტიზაცია
თქვენს გამოყენების სცენარებზე გამოცადეთ დუბლიკატების ამოღება, წყაროსა და სანდოობის თვალთვალი, რისკის რანჟირება და აქტივებთან დაკავშირება.
სამუშაო პროცესი და ავტომატიზაცია
გამოცადეთ კონკრეტული პროცესები: ინციდენტის შექმნა, წესების განახლება, ინდიკატორებზე ნადირობა და ინფორმაციის გაზიარება. ჩართეთ დამტკიცება, ინდიკატორის ვადის გასვლა, უკუქცევა და აუდიტის კვალი.
მორგება და მასშტაბირება
მოარგეთ საინფორმაციო დაფები, ძიებები და გაფრთხილებები როლებს; შეამოწმეთ, როგორ იცვლება მონაცემების მოცულობა, მოთხოვნის დაყოვნება და შენახვა გამოყენების ზრდასთან ერთად.
ღირებულება და საოპერაციო ხარჯი
გაითვალისწინეთ ლიცენზირება, დანერგვა, წყაროს საფასური, ადმინისტრირება, ინტეგრაციები და სწავლება. დაგეგმეთ შიდა ექსპერტიზა ან მართვადი სერვისი; ღია კოდის ვარიანტსაც სჭირდება პასუხისმგებელი.