Разведка угроз и база знаний
Проверьте индикатор без интернета, прочитайте, что известно о семействе вредоносного ПО или APT-группе, и посмотрите, какие фиды и списки есть на вашей платформе.
На странице Разведка угроз две вкладки. Поиск индикаторов показывает индикаторы, известные вашей платформе, — адреса, домены, URL, хеши — с репутацией, уверенностью и источником. База знаний — справочная полка рядом: что платформа знает о семействах вредоносного ПО и группах угроз, уязвимости, найденные вашими сканерами, наблюдение за брендом, ваша собственная разведка, сохранённые охоты и открытые фиды.
Всё на этой странице читается с вашего собственного сервера. Сетью пользуются только открытые фиды и проверки бренда — и только так, как описано в разделе Когда нужна сеть.
Состояние полки
Заголовок раздела «Состояние полки»Строка вверху говорит, загружен ли справочник (Офлайн — активно), и считает, что в нём есть: индикаторы в базе IOC, семейства вредоносного ПО, профили APT и находки CVE. Нажмите на число, чтобы открыть его раздел.
Офлайн-поиск по индикаторам
Заголовок раздела «Офлайн-поиск по индикаторам»Введите не меньше трёх символов — IP-адрес, домен, URL, хеш файла или название семейства вредоносного ПО или группы — и нажмите Искать. Поиск проверяет в таком порядке:
| Где | Как сравнивается |
|---|---|
| IOC вашей организации | Точное значение |
| Индикаторы из общих открытых фидов | Точное значение |
| Семейства вредоносного ПО | Хеш — с известными хешами каждого семейства; название — с названиями и псевдонимами |
| Профили APT | Название — с названиями и псевдонимами групп |
Ответ — либо Ничего не найдено — чисто, либо отдельная карточка на каждое совпадение: оценка, семейство или группа, уверенность и техники MITRE ATT&CK, если они известны. Строка под вердиктом называет проверенные базы. Ничего никуда не отправляется.
Разделы
Заголовок раздела «Разделы»| Раздел | Что в нём | Откуда берётся |
|---|---|---|
| ДНК вредоносного ПО | Семейства вредоносного ПО: категория, критичность, псевдонимы, техники MITRE, целевые отрасли, известные хеши и признаки C2 | Справочный пакет, поставляемый с платформой |
| Профили APT | Группы угроз: происхождение, псевдонимы, известные инструменты, техники MITRE, целевые отрасли и уверенность атрибуции | Тот же пакет |
| Находки CVE | Уязвимости в ваших системах — с затронутыми активами и оценкой риска | Находки с меткой уязвимости, которые сканер уязвимостей отправляет в POST /api/soc/vulnerabilities/ingest |
| Бренд и почта | Домены, зарегистрированные под видом отслеживаемых вами, и состояние SPF/DMARC ваших доменов | Наблюдение за брендом (ниже) |
| Локальная разведка | Собственные индикаторы, правила обнаружения и сигнатуры файлов вашей организации, импортированные пакеты разведки | Добавляют администраторы или импортируют из пакета либо правила Sigma |
| Охота на угрозы | Охоты по вашим событиям и находкам, начатые с шаблона, и сохранённые охоты | Ваши данные; модель ИИ не используется |
| Состояние фидов | Каждый открытый фид: работает ли он, когда синхронизировался и сколько индикаторов принёс | Синхронизация фидов (ниже) |
Карточка семейства или группы раскрывается в полную запись. Общая справочная запись одинакова для всех организаций; ваши собственные записи принадлежат только вам.
Кто что может
Заголовок раздела «Кто что может»Каждая роль может и всё то, что могут роли ниже неё.
| Действие | Роль |
|---|---|
| Смотреть строку состояния, состояние фидов, находки бренда, локальную разведку и сохранённые охоты | VIEWER |
| Читать семейства вредоносного ПО, профили APT и находки CVE; пользоваться поиском | ANALYST |
| Обновить фиды сейчас; запустить и сохранить охоту; проверить отслеживаемый домен сейчас | ANALYST |
| Перезагрузить пакет — применить справочный пакет заново | ADMIN |
| Добавлять, импортировать, удалять и выгружать локальные IOC, правила и сигнатуры | ADMIN |
| Загрузить локальный файл фида — текстовый файл, по индикатору в строке, в базу IOC вашей организации | ADMIN |
| Добавить или убрать отслеживаемый домен | ADMIN |
Когда нужна сеть
Заголовок раздела «Когда нужна сеть»| Возможность | Пользуется сетью, когда |
|---|---|
| URLhaus, Feodo Tracker, список выходных узлов Tor | Администратор разрешил внешние запросы (LEGIT_ALLOW_OUTBOUND_INTEL=true). В изолированном комплекте — никогда |
| AbuseIPDB | Задан ключ AbuseIPDB. В изолированном комплекте — никогда |
| Наблюдение за брендом: DNS-проверки похожих доменов, запросы регистрации (RDAP) и сертификатов | Домен отслеживается. В изолированном комплекте — никогда |
| Всё остальное на этой странице | Никогда |
Состояние фидов говорит, почему фид не работает: Внешние запросы выключены или API-ключ не задан для фида, которому он нужен. Разрешённые фиды синхронизируются каждые 6 часов; Обновить фиды сейчас синхронизирует их немедленно. Индикаторы из фида имеют срок действия 30 дней.
Отслеживаемые домены проверяются каждые 12 часов. Зарегистрированный похожий домен становится находкой в очереди алертов.
В изолированном комплекте
Заголовок раздела «В изолированном комплекте»Справочный пакет входит в комплект и загружается сам. Офлайн-обновление может принести более новый пакет; Перезагрузить пакет применяет его сразу, не дожидаясь следующего чтения. Чтобы добавить индикаторы без интернета, импортируйте пакет разведки или правило Sigma в Локальной разведке либо загрузите локальный файл фида.
Ограничения
Заголовок раздела «Ограничения»- Справочный пакет — отобранный набор известных семейств и групп, а не полный каталог. Его описания на английском.
- Находки CVE пусты, пока сканер уязвимостей не сообщит о найденном.
- Индикатор совпадает только по точному значению (название семейства или группы может совпасть частично); поиск не ищет внутри URL и не сравнивает диапазоны адресов.