Актьорите на заплахи диверсифицират своите техники, тактики и процедури за монетизиране (TTP) с нови методи за атака, тъй като технологичният напредък понижи входната бариера, а появата на рансъмуера като услуга (RaaS) изостри проблема.
За да може една организация да отговаря на това ниво на сложност, разузнаването на заплахите трябва да се превърне в жизненоважна част от нейната позиция на сигурност, тъй като предоставя полезна информация за текущите заплахи и помага за защитата на предприятията от злонамерени атаки.
Съдържание
Какво е платформа за разузнаване на заплахи?
Платформата за разузнаване на заплахи (TIP) е технология, която позволява на организациите да събират, анализират и обобщават данни за разузнаване на заплахи от множество източници. Тази информация позволява на компаниите проактивно да идентифицират и смекчат потенциалните рискове за сигурността и да се защитават срещу бъдещи атаки.
Разузнаването на кибер заплахите е важен компонент за корпоративна сигурност. Чрез наблюдение на най-новите киберзаплахи и уязвимости, вашата организация може да открие и реагира на потенциални пробиви в сигурността, преди те да повредят вашите ИТ активи.
Как работи платформата за разузнаване на заплахи?
Платформите за разузнаване на заплахи помагат на компаниите да намалят рисковете от пробиви на данни чрез събиране на данни за разузнаване на заплахи от множество източници, включително разузнаване с отворен код (OSINT), дълбока и тъмна мрежа и собствени емисии за разузнаване на заплахи.
СЪВЕТИ анализират данните, идентифицират модели, тенденции и потенциални заплахи, след което споделят тази информация с вашия SOC екип и други системи за сигурност, като защитни стени, системи за откриване на проникване и системи за управление на информация за сигурността и събития (SIEM), за да смекчат щетите на вашата ИТ инфраструктура.
Предимства на платформите за разузнаване на заплахи
Платформите за разузнаване на заплахи предоставят на организациите различни предимства, включително:
- Проактивно откриване на заплахи
- Подобрена поза за сигурност
- По-добро разпределение на ресурсите
- Рационализирани операции по сигурността
Други предимства на TIP включват автоматизиран отговор на заплахи, спестяване на разходи и повишена видимост.
Основни характеристики на платформите за разузнаване на заплахи
Основните характеристики на платформите за разузнаване на заплахи са:
- Възможност за събиране на данни
- Приоритизиране на заплахите в реално време
- Анализ на заплахите
- Възможност за наблюдение на дълбоката и тъмната мрежа
- Богата библиотека и база данни от графики за визуализиране на атаки и заплахи
- Интеграция с вашите съществуващи инструменти и системи за сигурност
- Проучете зловреден софтуер, фишинг измами и злонамерени участници
Най-добрите TIPs могат да събират, нормализират, обобщават и организират данни за разузнаване на заплахи от множество източници и формати.
Автофокус
AutoFocus от Palo Alto Networks е базирана в облак платформа за разузнаване на заплахи, която ви позволява да идентифицирате критични атаки, да извършвате предварителни оценки и да предприемате стъпки за коригиране на ситуацията, без да се нуждаете от допълнителни ИТ ресурси. Услугата събира данни за заплахи от вашата фирмена мрежа, индустрия и глобални информационни канали.
AutoFocus предоставя информация от отдел 42 – екип за изследване на мрежовите заплахи в Пало Алто – за най-новите кампании за зловреден софтуер. Докладът за заплахите може да се види на таблото ви за управление, което ви дава допълнителна видимост за техниките, тактиките и процедурите на лошите актьори (TTP).
Основни функции
- Изследователската емисия на единица 42 осигурява видимост на най-новия зловреден софтуер с информация за техните тактики, техники и процедури
- Обработва 46 милиона реални DNS заявки дневно
- Събирайте информация от източници на трети страни като Cisco, Fortinet и CheckPoint
- Инструментът осигурява разузнаване на заплахите за информация за сигурността и инструменти за управление на събития (SIEM), вътрешни системи и други инструменти на трети страни с отворен и гъвкав RESTful API
- Включва предварително изградени групи тагове за рансъмуер, банков троян и инструмент за хакване
- Потребителите могат също да създават персонализирани тагове въз основа на своите критерии за търсене
- Съвместим с различни стандартни формати на данни като STIX, JSON, TXT и CSV
Цените за инструмента не се рекламират на уебсайта на Palo Alto Network. Купувачите трябва да се свържат с екипа по продажбите на компанията за оферти и можете също да поискате демонстрация на продукта, за да научите повече за възможностите на решението и как можете да го използвате за вашето предприятие.
ManageEngine Log360
ManageEngine Log360 е инструмент за управление на регистрационни файлове и SIEM, който предоставя на компаниите видимост в тяхната мрежова сигурност, одитира промените в активната директория, наблюдава техните сървъри за обмен и настройка на публичен облак и автоматизира управлението на регистрационни файлове.
Log360 съчетава възможностите на пет инструмента ManageEngine, включително ADAudit Plus, Event Log Analyzer, M365 Manager Plus, Exchange Reporter Plus и Cloud Security Plus.
Модулите за разузнаване на заплахи Log360 включват база данни, която съдържа глобални злонамерени IP адреси и STIX/TAXII процесор за подаване на данни за заплахи, който често извлича данни от глобални постъпления за заплахи и ви актуализира.
Основни функции
- Включва интегрирани възможности за брокер за защита на достъп до облака (CASB), за да помогне за наблюдение на данни в облака, откриване на сенчести ИТ приложения и проследяване на санкционирани и несанкционирани приложения
- Откривайте заплахи в корпоративни мрежи, крайни точки, защитни стени, уеб сървъри, бази данни, комутатори, рутери и други облачни източници
- Откриване на инциденти в реално време и наблюдение на целостта на файловете
- Използва MITER ATT&CK рамка за приоритизиране на заплахите, които възникват във веригата на атаката
- Неговото откриване на атаки включва базирана на правила корелация в реално време, базиран на поведение анализ на поведението на потребителите и обектите (UEBA) и базиран на подписи MITER ATT&CK
- Включва интегрирано предотвратяване на загуба на данни (DLP) за eDiscovery, оценка на рисковете за данни, защита на съдържанието и наблюдение на целостта на файловете
- Анализ на сигурността в реално време
- Интегрирано управление на съответствието
Log360 може да се изтегли в един файл и се предлага в две издания: безплатно и професионално. Потребителите могат да изпробват разширените функции на професионалното издание за 30-дневен пробен период, след което тези функции ще бъдат преобразувани в тяхното безплатно издание.
AlienVault USM
AlienVault USM платформа, разработена от AT&T. Решението осигурява откриване на заплахи, оценка, реакции при инциденти и управление на съответствието в една унифицирана платформа.
AlienVault USM получава актуализации от AlienVault Labs на всеки 30 минути за различни типове атаки, нововъзникващи заплахи, подозрително поведение, уязвимости и експлойти, които откриват в цялата среда на заплахи.
AlienVault USM предоставя унифициран изглед на вашата корпоративна архитектура за сигурност, което ви позволява да наблюдавате вашите мрежи и устройства на място или на отдалечени места. Той също така включва възможности за SIEM, откриване на проникване в облак за AWS, Azure и GCP, откриване на проникване в мрежа (NIDS), откриване на проникване в хост (HIDS) и откриване и реакция на крайна точка (EDR).
Основни функции
- Откриване на ботнет в реално време
- Командване и контрол (C&C) идентификация на трафика
- Разширено откриване на постоянни заплахи (APT).
- Съответства на различни индустриални стандарти като GDPR, PCI DSS, HIPAA, SOC 2 и ISO 27001
- Мрежови и хост IDS подписи
- Централизирано събиране на данни за събития и журнали
- Откриване на ексфилтрация на данни
- AlientVault наблюдава облачни и on-prem среди от един прозорец, включително AWS, Microsoft Azure, Microsoft Hyper-V и VMWare
Ценообразуването за това решение започва от $1075 на месец за основния план. Потенциалните купувачи могат да се регистрират за 14-дневен безплатен пробен период, за да научат повече за възможностите на инструмента.
Защита от заплахи Qualys
Qualys Threat Protection е облачна услуга, която предоставя разширена защита от заплахи и възможности за реакция. Той включва индикатори за заплахи в реално време за уязвимости, картографира констатациите от Qualys и външни източници и непрекъснато съпоставя информацията за външни заплахи с вашите уязвимости и опис на ИТ активи.
Със защитата от заплахи на Qualys можете ръчно да създадете персонализирано табло за управление от изпълними модули и заявки за търсене и да сортирате, филтрирате и прецизирате резултатите от търсенето.
Основни функции
- Централизиран панел за управление и визуализация
- Осигурява емисии на живо за разкриване на уязвимости
- RTI за zero-day атаки, публични експлойти, активно атакувани, голямо странично движение, голяма загуба на данни, отказ на услуга, злонамерен софтуер, без корекция, експлойт комплект и лесен експлоат
- Включва търсачка, която ви позволява да търсите конкретни активи и уязвимости чрез създаване на ad hoc заявки
- Защитата от заплахи на Qualys непрекъснато свързва информацията за външните заплахи с вашите уязвимости и инвентара на ИТ активите
Те предлагат 30-дневен безплатен пробен период, за да позволят на купувачите да проучат възможностите на инструмента, преди да вземат решение за покупка.
SOCRadar
SOCRadar се описва като SaaS базова платформа за разширено разузнаване на заплахите (XTI), която съчетава управление на външни атаки (EASM), услуги за защита на цифрови рискове (DRPS) и разузнаване на кибернетични заплахи (CTI).
Платформата подобрява състоянието на сигурността на вашата компания, като осигурява видимост на нейната инфраструктура, мрежа и активи с данни. Възможностите на SOCRadar включват разузнаване на заплахи в реално време, автоматизирани дълбоки и тъмни уеб сканирания и интегриран отговор на инциденти.
Основни функции
- Интегрира се със съществуващи стекове за сигурност като SOAR, EDR, MDR и XDR и SIEM решения
- Има над 150 източника на захранване
- Решението предоставя информация за различни рискове за сигурността, като злонамерен софтуер, ботнет, ransomware, фишинг, лоша репутация, хакнат уебсайт, разпределени атаки за отказ на услуга (DDOS), honeypots и нападатели
- Индустриален и регионален мониторинг
- MITRE ATT & CK картографиране
- Има достъп до над 6000 комбинирани списъци (идентификация и кредитна карта)
- Дълбок и тъмен уеб мониторинг
- Откриване на компрометирани идентификационни данни
SOCRadar има две издания: разузнаване на кибернетични заплахи за SOC екипи (CTI4SOC) и разузнаване на разширени заплахи (XTI). И двата плана се предлагат в две версии – безплатна и платена – планът CTI4SOC започва от $9 999 на година.
Solarwinds Security Event Manager
SolarWinds Security Event Manager е SIEM платформа, която събира, нормализира и корелира данни от журнал на събития от над 100 предварително изградени конектора, включително мрежови устройства и приложения.
Със SEM можете ефективно да администрирате, управлявате и наблюдавате политики за сигурност и да защитите вашата мрежа. Той анализира събраните регистрационни файлове в реално време и използва събраната информация, за да ви уведоми за проблем, преди той да причини сериозни щети на вашата корпоративна инфраструктура.
Основни функции
- Наблюдава вашата инфраструктура 24/7
- SEM има 100 предварително изградени конектора, включително Atlassian JIRA, Cisco, Microsoft, IBM, Juniper Sophos, Linux и други
- Автоматизира управлението на риска от съответствие
- SEM включва мониторинг на целостта на файловете
- SEM събира регистрационни файлове, корелира събития и следи списъци с данни за заплахи, всичко това в едно стъкло
- Платформата има над 700 вградени правила за корелация
- Потребителите могат да експортират отчети в PDF или CSV формати
Solarwinds Security Event Manager предлага 30-дневен безплатен пробен период с две опции за лицензиране: абонамент, който започва от $2,877, и постоянен, който започва от $5,607. Инструментът се лицензира въз основа на броя възли, изпращащи информация за журнал и събития.
Tenable.sc
Изградена на базата на технологията Nessus, Tenable.sc е платформа за управление на уязвимости, която предоставя представа за състоянието на сигурността и ИТ инфраструктурата на вашата организация. Той събира и оценява данни за уязвимости във вашата ИТ среда, анализира тенденциите за уязвимости във времето и ви позволява да приоритизирате и да предприемете коригиращи действия.
Семейството продукти Tenable.sc (Tenanble.sc и Tenable.sc+) ви позволява да идентифицирате, проучвате, приоритизирате и коригирате уязвимостите, така че да можете да защитите вашите системи и данни.
Основни функции
- Той рационализира спазването на индустриалните стандарти, като CERT, NIST, DISA STIG, DHS CDM, FISMA, PCI DSS и HIPAA/HITECH
- Неговите функции за пасивно откриване на активи ви позволяват да откривате и идентифицирате ИТ активи във вашата мрежа, като сървъри, настолни компютри, лаптопи, мрежови устройства, уеб приложения, виртуални машини, мобилни устройства и облак
- Екипът на Tenable Research предоставя чести актуализации за най-новите проверки за уязвимости, изследвания за нулев ден и бенчмаркове за конфигурация, за да ви помогне да защитите вашата организация
- Tenable поддържа библиотека от над 67k често срещани уязвимости и експозиции (CVE)
- Откриване в реално време на ботнет мрежи и команден и контролен трафик
- Директорът на Tenable.sc включва един стъклен панел, за да ви помогне да преглеждате и управлявате мрежата си във всички конзоли на Tenable.sc
Tenable.sc се лицензира на година и за актив, неговият 1-годишен лиценз започва от $5,364.25. Можете да спестите пари, като закупите многогодишен лиценз.
Заключение
Това ръководство анализира седем платформи за разузнаване на заплахи и техните забележителни характеристики. Най-добрият вариант за вас зависи от вашите нужди и предпочитания за разузнаване на заплахи. Можете да поискате демонстрация на продукт или да се регистрирате за безплатен пробен период, преди да се примирите с конкретен инструмент.
Това ще ви позволи да го тествате, за да определите дали ще служи на целите на вашата компания. И накрая, уверете се, че предлагат качествена поддръжка и потвърдете колко често актуализират своите емисии за заплахи.
След това можете да проверите инструментите за симулация на кибератаки.