Cyber Threat Intelligence (CTI) – jak zbierać i realnie wykorzystywać dane o zagrożeniach?
Spis treści
W poprzednim artykule pisaliśmy o threat huntingu, czyli proaktywnym szukaniu śladów ataku zamiast czekania na alarm z systemu bezpieczeństwa. To podejście ma dużą wartość, ale opiera się na jednym ważnym założeniu: trzeba wiedzieć, czego szukać. Analityk może sprawdzać nietypowe logowania, podejrzane procesy, anomalie w ruchu sieciowym czy ślady lateral movement, ale skuteczne polowanie zaczyna się od dobrze postawionej hipotezy.
Właśnie tutaj pojawia się Cyber Threat Intelligence, czyli CTI. To ono dostarcza kontekstu: jakie grupy atakują daną branżę, jakich technik używają, które podatności są faktycznie wykorzystywane, jakie kampanie phishingowe są aktywne i które sygnały w logach powinny dostać wyższy priorytet. Dobrze prowadzona inteligencja zagrożeń nie jest więc zbiorem ciekawostek o atakach, tylko praktycznym wsparciem dla SOC, zespołów reagowania, administratorów i osób zarządzających ryzykiem.
Można powiedzieć, że threat hunting sprawdza, czy w środowisku są ślady niepożądanej aktywności, a CTI pomaga zdecydować, gdzie i jak tych śladów szukać. Bez takiego kontekstu łatwo działać szeroko, ale mało skutecznie. Z kolei sama wiedza o cyberzagrożeniach, jeśli nie prowadzi do żadnego działania, szybko staje się kolejnym raportem, który ktoś pobrał, przesłał dalej i odłożył na później.
CTI co to jest w praktyce?
Najłatwiej odpowiedzieć przez odróżnienie danych od wiedzy. Dane to na przykład adres IP, domena, hash pliku, próbka malware, nazwa podatności CVE albo informacja o kampanii phishingowej. Wiedza zaczyna się wtedy, gdy wiadomo, skąd ta informacja pochodzi, jak bardzo jest wiarygodna, czy jest aktualna i jakie ma znaczenie dla konkretnej organizacji.
CTI porządkuje ten proces. Zbiera informacje z różnych źródeł, ocenia je, wzbogaca o kontekst i przekłada na działania. W dojrzałej organizacji wynik analizy CTI nie kończy się na prezentacji lub mailu. Trafia do reguł detekcyjnych, priorytetów patchowania, playbooków reagowania, konfiguracji narzędzi bezpieczeństwa, threat huntingu i raportów dla osób zarządzających ryzykiem.
Warto też rozumieć różne poziomy CTI. Poziom strategiczny jest potrzebny zarządowi, CISO i osobom odpowiedzialnym za ryzyko. Pokazuje, jakie typy ataków są najbardziej prawdopodobne dla danej branży, jakie mogą mieć skutki i gdzie organizacja powinna inwestować w ochronę. Poziom taktyczny opisuje metody działania przeciwników, czyli ich techniki, narzędzia i schematy postępowania. Poziom operacyjny wspiera bieżącą pracę SOC i zespołów reagowania na incydenty. Poziom techniczny obejmuje konkretne wskaźniki, takie jak adresy IP, domeny, URL czy hashe plików.
To ważne rozróżnienie, bo każda grupa odbiorców potrzebuje innej informacji. Analityk SOC nie chce ogólnego komentarza o sytuacji geopolitycznej, tylko danych, które pomogą mu ocenić alert. Zarząd nie potrzebuje listy domen, lecz jasnego obrazu ryzyka, możliwych skutków i rekomendowanych decyzji. Administrator chce wiedzieć, które systemy trzeba sprawdzić lub zaktualizować w pierwszej kolejności.
Skąd zbierać dane o zagrożeniach?
Źródła CTI można podzielić na zewnętrzne i wewnętrzne. Zewnętrzne obejmują raporty dostawców cyberbezpieczeństwa, komunikaty zespołów CERT i CSIRT, bazy podatności, analizy malware, branżowe grupy wymiany informacji, OSINT, repozytoria reguł detekcyjnych, monitoring dark webu oraz komercyjne platformy threat intelligence. Każde z tych źródeł może być wartościowe, ale żadne nie powinno być traktowane bezkrytycznie.
Źródła wewnętrzne są równie ważne, a często bardziej przydatne. Należą do nich logi z SIEM, EDR/XDR, firewalli, systemów pocztowych, WAF, VPN, IAM, DNS, proxy, aplikacji biznesowych i narzędzi chmurowych. To one pokazują, co faktycznie dzieje się w organizacji. Zewnętrzna informacja o kampanii phishingowej jest cenna, ale dopiero zestawienie jej z własnymi logami pocztowymi pozwala ocenić, czy firma była celem ataku, ilu użytkowników otrzymało wiadomość, kto kliknął link i czy doszło do próby logowania.
Dane warto także wzbogacać. Sama domena nie mówi wiele, jeśli nie wiadomo, kiedy została zarejestrowana, z czym wcześniej była powiązana, czy występuje w kampaniach podobnych do tych wymierzonych w daną branżę, czy pojawiła się w ruchu DNS organizacji i czy była widoczna w wiadomościach przychodzących. Dopiero takie połączenie informacji pozwala ocenić, czy mamy do czynienia z realnym zagrożeniem, czy z mało istotnym szumem.
Najgorszym podejściem jest zbieranie wszystkiego. Duża liczba feedów nie oznacza lepszego bezpieczeństwa. Może oznaczać więcej fałszywych alarmów, więcej pracy ręcznej i większe zmęczenie analityków. CTI powinno być selektywne. Lepiej mieć mniej źródeł, ale dobrze dobranych, ocenianych i regularnie wykorzystywanych, niż szeroki strumień danych, którego nikt nie jest w stanie sensownie obsłużyć.
Jak wykorzystywać dane o zagrożeniach?
Pierwszym zastosowaniem jest detekcja. Dane CTI mogą zasilać SIEM, EDR, NDR, systemy pocztowe, rozwiązania DNS security, firewalle i narzędzia chmurowe. Wskaźniki kompromitacji pomagają wykrywać komunikację z podejrzaną infrastrukturą, znane próbki malware, fałszywe domeny i elementy kampanii phishingowych. Trzeba jednak pamiętać, że IOC (Indicators of Compromise, wskaźniki kompromitacji) powinny być filtrowane i oceniane. Automatyczne wrzucanie każdej listy do systemów bezpieczeństwa często kończy się zalewem alertów.
Drugim zastosowaniem jest triage, czyli ustalanie priorytetów alertów. Ten sam alert może mieć inną wagę w zależności od kontekstu. Próba połączenia z podejrzaną domeną będzie bardziej istotna, jeśli domena występuje w aktywnej kampanii wymierzonej w firmy z tej samej branży. Nietypowe logowanie będzie poważniejsze, jeśli pochodzi z infrastruktury powiązanej z wcześniejszymi atakami. CTI pomaga oddzielić zdarzenia rutynowe od tych, które wymagają natychmiastowej reakcji.
Trzecim obszarem jest zarządzanie podatnościami. W wielu firmach skanery wykrywają setki lub tysiące luk. Sama punktacja CVSS nie wystarcza do ustalenia kolejności działań. Inaczej należy traktować podatność teoretycznie groźną, ale niewykorzystywaną w atakach, a inaczej lukę aktywnie eksploatowaną przez grupy ransomware. CTI pozwala połączyć dane o podatnościach z wiedzą o realnych kampaniach, dostępności exploitów i ekspozycji konkretnych systemów.
Czwartym zastosowaniem jest threat hunting. Analitycy, mając wiedzę o technikach przeciwnika, mogą szukać śladów ataku, zanim pojawi się oczywisty incydent. Przykładowo mogą sprawdzić nietypowe użycie PowerShell, podejrzane procesy potomne, anomalie logowania, próby eskalacji uprawnień, nietypowe zapytania DNS, ruch do rzadko używanych usług albo aktywność przypominającą lateral movement. To wymaga większej dojrzałości niż proste blokowanie domen, ale daje znacznie głębszy wgląd w bezpieczeństwo środowiska.
Piątym obszarem jest ochrona marki i użytkowników. CTI może pomóc wykrywać domeny podszywające się pod firmę, fałszywe profile, wycieki danych, przejęte poświadczenia, kampanie phishingowe kierowane do klientów oraz próby wykorzystania marki w oszustwach. W tym obszarze warto rozważyć wykorzystanie wyspecjalizowanych rozwiązań threat intelligence, takich jak Group-IB Threat Intelligence Platform. Tego typu narzędzia wspierają monitoring dark webu, analizę infrastruktury atakujących, wykrywanie phishingu, identyfikację wycieków danych i szybkie reagowanie na nadużycia związane z marką.
Dane o zagrożeniach mają wartość dopiero wtedy, gdy prowadzą do konkretnego działania: lepszej detekcji, szybszej reakcji, trafniejszej priorytetyzacji podatności albo skuteczniejszej ochrony marki. CTI nie powinno być osobnym raportem oderwanym od codziennej pracy zespołów bezpieczeństwa. Powinno zasilać procesy, narzędzia i decyzje, które realnie zmniejszają ryzyko. Jeżeli chcesz sprawdzić, jak rozwiązania threat intelligence mogą wesprzeć bezpieczeństwo Twojej organizacji, zapraszamy do kontaktu. Pomożemy dobrać podejście do profilu firmy, aktualnych zagrożeń i procesów, które już funkcjonują w środowisku.
