Kybernetičtí útočníci neustále rozšiřují svůj arzenál o nové metody zpeněžení, techniky a postupy (TTP). Důvodem je i technologický pokrok, který snížil překážky pro vstup do kybernetické kriminality. Problém eskaluje také díky šíření ransomwaru jako služby (RaaS).
Pro dosažení efektivní obrany je klíčové, aby organizace začlenily zpravodajství o hrozbách do své bezpečnostní strategie. Získají tak užitečné informace o aktuálních hrozbách a mohou se lépe chránit před škodlivými útoky.
Co je platforma pro zpravodajství o hrozbách?
Platforma pro zpravodajství o hrozbách (TIP) je technologické řešení, které organizacím umožňuje shromažďovat, analyzovat a konsolidovat data z různých zdrojů. Díky těmto informacím mohou společnosti proaktivně identifikovat a minimalizovat potenciální bezpečnostní rizika a lépe se bránit budoucím útokům.
Informace o kybernetických hrozbách jsou nezbytnou součástí firemní bezpečnosti. Sledování aktuálních kybernetických hrozeb a zranitelností umožňuje organizacím odhalit potenciální bezpečnostní incidenty a reagovat na ně dříve, než dojde k poškození IT systémů.
Jak funguje platforma pro zpravodajství o hrozbách?
Platformy TIP pomáhají společnostem snižovat riziko narušení dat shromažďováním informací o hrozbách z různých zdrojů. Mezi tyto zdroje patří například open source intelligence (OSINT), hluboký a temný web a také proprietární zdroje informací o hrozbách.
TIP platformy analyzují data, hledají vzory, trendy a potenciální hrozby. Tyto informace jsou následně sdíleny s bezpečnostním týmem SOC a dalšími bezpečnostními systémy, jako jsou firewally, systémy detekce narušení (IDS) a systémy pro správu informací a událostí (SIEM). Cílem je minimalizovat škody na IT infrastruktuře.
Výhody platforem pro zpravodajství o hrozbách
Platformy pro zpravodajství o hrozbách přinášejí organizacím řadu výhod, včetně:
- Proaktivní detekce hrozeb
- Zvýšená úroveň zabezpečení
- Efektivnější alokace zdrojů
- Zjednodušení bezpečnostních operací
Dalšími výhodami TIP jsou například automatizovaná reakce na hrozby, úspora nákladů a lepší přehled.
Klíčové vlastnosti platforem pro zpravodajství o hrozbách
Hlavní funkce platforem pro zpravodajství o hrozbách zahrnují:
- Sběr dat z různých zdrojů
- Prioritizace hrozeb v reálném čase
- Analýza hrozeb
- Monitorování hlubokého a temného webu
- Rozsáhlá knihovna a databáze grafů pro vizualizaci útoků a hrozeb
- Integrace s existujícími bezpečnostními nástroji a systémy
- Zkoumání malwaru, phishingových podvodů a škodlivých aktérů
Nejlepší TIP platformy dokážou shromažďovat, normalizovat, agregovat a organizovat informace o hrozbách z různých zdrojů a formátů.
AutoFocus
AutoFocus od Palo Alto Networks je cloudová platforma pro analýzu hrozeb, která umožňuje identifikovat kritické útoky, provádět předběžná hodnocení a reagovat na situace bez nutnosti nasazení dalších IT zdrojů. Služba shromažďuje data o hrozbách z firemní sítě, průmyslových odvětví a globálních zpravodajských zdrojů.
AutoFocus poskytuje informace od týmu Unit 42, který se zabývá výzkumem hrozeb v Palo Alto Networks. Tým poskytuje data o nejnovějších malwarových kampaních. Zprávy o hrozbách jsou dostupné na ovládacím panelu, což umožňuje lepší pochopení technik, taktik a postupů (TTP) kybernetických útočníků.
Klíčové vlastnosti
- Zdroje výzkumu Unit 42 poskytují přehled o nejnovějším malwaru, včetně informací o jeho taktice, technikách a postupech
- Denně zpracovává 46 milionů skutečných DNS dotazů
- Získávání informací ze zdrojů třetích stran, jako jsou Cisco, Fortinet a CheckPoint
- Nástroj poskytuje informace o hrozbách pro systémy pro správu bezpečnostních informací a událostí (SIEM), interní systémy a další nástroje třetích stran prostřednictvím otevřeného a agilního RESTful API.
- Předem vytvořené skupiny značek pro ransomware, bankovní trojany a hackerské nástroje
- Uživatelé mohou vytvářet vlastní značky podle vlastních kritérií vyhledávání
- Kompatibilní s různými standardními datovými formáty, jako jsou STIX, JSON, TXT a CSV
Ceny nástroje nejsou zveřejněny na webových stránkách Palo Alto Networks. Zájemci o nákup by se měli obrátit na prodejní tým společnosti a vyžádat si cenovou nabídku. Lze si také vyžádat demo produktu, kde se dozvíte více o možnostech řešení a o tom, jak je lze využít pro danou firmu.
ManageEngine Log360
ManageEngine Log360 je nástroj pro správu protokolů a SIEM, který poskytuje společnostem přehled o zabezpečení jejich sítě, provádí audity změn v active directory, monitoruje exchange servery a nastavení veřejného cloudu a automatizuje správu protokolů.
Log360 kombinuje možnosti pěti nástrojů ManageEngine, včetně ADAudit Plus, Event Log Analyzer, M365 Manager Plus, Exchange Reporter Plus a Cloud Security Plus.
Moduly analýzy hrozeb Log360 zahrnují databázi globálních škodlivých IP adres a procesor zdroje hrozeb STIX/TAXII, který pravidelně získává data z globálních zdrojů hrozeb a průběžně vás informuje.
Klíčové vlastnosti
- Integrované funkce zprostředkovatele zabezpečení přístupu ke cloudu (CASB) pro monitorování dat v cloudu, zjišťování stínových IT aplikací a sledování schválených a neschválených aplikací
- Detekce hrozeb v podnikových sítích, koncových bodech, firewallech, webových serverech, databázích, přepínačích, routerech a dalších cloudových zdrojích
- Detekce incidentů v reálném čase a monitorování integrity souborů
- Využívá rámec MITER ATT&CK pro upřednostňování hrozeb v rámci útočného řetězce
- Detekce útoků zahrnuje korelaci v reálném čase založenou na pravidlech, analýzu chování uživatelů a entit (UEBA) a signatury založené na MITER ATT&CK
- Integrovaná prevence ztráty dat (DLP) pro eDiscovery, hodnocení rizik dat, ochranu obsahu a monitorování integrity souborů
- Bezpečnostní analytika v reálném čase
- Integrovaná správa dodržování předpisů
Log360 lze stáhnout v jednom souboru a je k dispozici ve dvou edicích: zdarma a profesionální. Uživatelé si mohou vyzkoušet pokročilé funkce profesionální edice po 30denní zkušební dobu. Poté se funkce automaticky převedou do bezplatné edice.
AlienVault USM
Platforma AlienVault USM vyvinutá společností AT&T. Řešení poskytuje detekci hrozeb, hodnocení, reakce na incidenty a správu dodržování předpisů v jedné platformě.
AlienVault USM dostává každých 30 minut aktualizace od AlienVault Labs o různých typech útoků, nových hrozbách, podezřelém chování, zranitelnostech a zneužitích, které tým objeví v celém prostředí hrozeb.
AlienVault USM poskytuje jednotný pohled na firemní bezpečnostní architekturu a umožňuje monitorovat sítě a zařízení v lokálních i vzdálených lokalitách. Platforma zahrnuje také funkce SIEM, detekci narušení cloudu pro AWS, Azure a GCP, detekci narušení sítě (NIDS), detekci narušení hostitele (HIDS) a detekci a odezvu koncových bodů (EDR).
Klíčové vlastnosti
- Detekce botnetu v reálném čase
- Identifikace provozu velení a řízení (C&C)
- Pokročilá detekce perzistentních hrozeb (APT)
- Splňuje různé průmyslové standardy, jako jsou GDPR, PCI DSS, HIPAA, SOC 2 a ISO 27001
- Signatury síťového a hostitelského IDS
- Centralizovaný sběr dat událostí a protokolů
- Detekce exfiltrace dat
- AlienVault monitoruje cloudová a on-premise prostředí z jediného rozhraní, včetně AWS, Microsoft Azure, Microsoft Hyper-V a VMWare.
Cena tohoto řešení začíná na 1 075 USD měsíčně za základní plán. Potenciální zákazníci se mohou zaregistrovat na 14denní bezplatnou zkušební verzi a dozvědět se více o možnostech nástroje.
Ochrana před hrozbami Qualys
Qualys Threat Protection je cloudová služba, která poskytuje pokročilou ochranu před hrozbami a možnosti reakce. Služba zahrnuje indikátory zranitelností v reálném čase, mapuje zjištění z Qualys a externích zdrojů a neustále koreluje informace o externích hrozbách se zranitelnostmi a inventářem IT majetku.
V rámci ochrany před hrozbami Qualys si můžete ručně vytvořit vlastní ovládací panel z widgetů a vyhledávacích dotazů a třídit, filtrovat a upravovat výsledky hledání.
Klíčové vlastnosti
- Centralizovaný ovládací a vizualizační panel
- Poskytuje živý přenos informací o zranitelnosti
- Indikátory v reálném čase (RTI) pro útoky typu zero-day, veřejné exploity, aktivně zneužívané, vysoký boční pohyb, vysokou ztrátu dat, odmítnutí služby, malware, neopravené zranitelnosti, exploit kity a snadné zneužití
- Vyhledávač pro hledání konkrétních aktiv a zranitelných míst pomocí vytváření ad hoc dotazů
- Ochrana před hrozbami Qualys neustále koreluje informace o externích hrozbách s aktuálními zranitelnostmi a inventářem IT majetku
Nabízejí 30denní bezplatnou zkušební verzi, která umožňuje potenciálním zákazníkům prozkoumat možnosti nástroje před rozhodnutím o koupi.
SOCRadar
SOCRadar se popisuje jako základní platforma SaaS Extended Threat Intelligence (XTI), která kombinuje externí správu povrchu útoků (EASM), služby ochrany digitálních rizik (DRPS) a zpravodajství o kybernetických hrozbách (CTI).
Platforma zlepšuje bezpečnostní postavení společnosti tím, že poskytuje přehled o její infrastruktuře, síti a datových aktivech. Mezi schopnosti SOCRadar patří zpravodajství o hrozbách v reálném čase, automatizované hluboké a temné webové skenování a integrovaná reakce na incidenty.
Klíčové vlastnosti
- Integrace se stávajícími bezpečnostními systémy, jako jsou SOAR, EDR, MDR a XDR, a také s řešeními SIEM
- Více než 150 zdrojů dat
- Řešení poskytuje informace o různých bezpečnostních rizicích, jako je malware, botnety, ransomware, phishing, špatná reputace, hacknuté webové stránky, distribuované útoky odmítnutí služby (DDOS), honeypoty a útočníci.
- Průmyslové a regionální monitorování
- Mapování na rámec MITRE ATT&CK
- Přístup k více než 6 000 seznamům (přihlašovací údaje a kreditní karty)
- Monitorování hlubokého a temného webu
- Detekce kompromitovaných přihlašovacích údajů
SOCRadar nabízí dvě edice: zpravodajství o kybernetických hrozbách pro týmy SOC (CTI4SOC) a rozšířené zpravodajství o hrozbách (XTI). Oba plány jsou k dispozici ve dvou verzích – zdarma a placené. Plán CTI4SOC začíná na 9 999 USD ročně.
Správce událostí zabezpečení SolarWinds
SolarWinds Security Event Manager je platforma SIEM, která shromažďuje, normalizuje a koreluje data protokolu událostí z více než 100 předem připravených konektorů, včetně síťových zařízení a aplikací.
S pomocí SEM můžete efektivně spravovat, řídit a monitorovat zásady zabezpečení a chránit svou síť. Nástroj analyzuje shromážděné protokoly v reálném čase a používá informace k upozornění na problém dříve, než dojde k vážnému poškození podnikové infrastruktury.
Klíčové vlastnosti
- Monitorování infrastruktury 24/7
- SEM má 100 předpřipravených konektorů, včetně Atlassian JIRA, Cisco, Microsoft, IBM, Juniper Sophos, Linux a dalších
- Automatizace správy rizik souvisejících s dodržováním předpisů
- SEM zahrnuje monitorování integrity souborů
- SEM shromažďuje protokoly, koreluje události a monitoruje seznamy dat o hrozbách v jediném rozhraní
- Platforma má více než 700 vestavěných korelačních pravidel
- Uživatelé mohou exportovat zprávy ve formátu PDF nebo CSV
SolarWinds Security Event Manager nabízí 30denní bezplatnou zkušební verzi se dvěma možnostmi licencování: předplatné začíná na 2 877 USD a trvalá licence na 5 607 USD. Nástroj je licencován na základě počtu uzlů, které odesílají informace o protokolu a událostech.
Tenable.sc
Tenable.sc, postavený na technologii Nessus, je platforma pro správu zranitelnosti, která poskytuje přehled o stavu zabezpečení organizace a její IT infrastruktury. Nástroj shromažďuje a vyhodnocuje data o zranitelnostech v IT prostředí, analyzuje trendy zranitelností v čase a umožňuje stanovit priority a přijmout nápravná opatření.
Produktová řada Tenable.sc (Tenable.sc a Tenable.sc+) umožňuje identifikovat, prozkoumat, stanovit priority a opravit zranitelná místa, aby bylo možné chránit systémy a data.
Klíčové vlastnosti
- Zjednodušení dodržování průmyslových standardů, jako jsou CERT, NIST, DISA STIG, DHS CDM, FISMA, PCI DSS a HIPAA/HITECH
- Funkce pasivního zjišťování aktiv umožňuje objevit a identifikovat IT aktiva v síti, jako jsou servery, stolní počítače, notebooky, síťová zařízení, webové aplikace, virtuální stroje, mobilní zařízení a cloud.
- Tým Tenable Research poskytuje časté aktualizace o nejnovějších kontrolách zranitelnosti, výzkumu zero-day a konfiguračních benchmarkech, které pomáhají chránit organizaci.
- Tenable spravuje knihovnu více než 67 000 běžných chyb zabezpečení a ohrožení (CVE)
- Detekce botnetů v reálném čase a provozu velení a řízení
- Tenable.sc Director obsahuje jeden panel, který pomáhá prohlížet a spravovat síť ve všech konzolích Tenable.sc
Tenable.sc je licencován na jeden rok na jedno aktivum, roční licence začíná na 5 364,25 USD. Nákupem víceleté licence lze ušetřit.
Závěr
Tento článek analyzoval sedm platforem pro zpravodajství o hrozbách a jejich výjimečné funkce. Nejlepší volba závisí na individuálních potřebách a preferencích organizace v oblasti zpravodajství o hrozbách. Před rozhodnutím o konkrétním nástroji je vhodné vyžádat si demo produktu nebo se přihlásit k bezplatnému vyzkoušení.
Umožní to otestovat, zda bude nástroj splňovat potřeby společnosti. V neposlední řadě je důležité ověřit kvalitu zákaznické podpory a zjistit, jak často se aktualizují zdroje informací o hrozbách.
Dále doporučujeme podívat se také na nástroje pro simulaci kybernetických útoků.