Зловмисники урізноманітнюють свої методи, тактику та процедури монетизації (TTP) за допомогою нових методів атак, оскільки технологічний прогрес знизив бар’єр входу, а поява програми-вимагача як послуги (RaaS) загострила проблему.
Щоб організація відповідала цьому рівню складності, розвідка про загрози має стати важливою частиною її системи безпеки, оскільки вона надає актуальну інформацію про поточні загрози та допомагає захистити підприємства від зловмисних атак.
Що таке платформа аналізу загроз?
Платформа аналізу загроз (TIP) — це технологія, яка дозволяє організаціям збирати, аналізувати та об’єднувати дані аналізу загроз із багатьох джерел. Ця інформація дозволяє компаніям завчасно виявляти та зменшувати потенційні ризики безпеці та захищатися від майбутніх атак.
Розвідка кіберзагроз є важливим компонентом безпеки підприємства. Відстежуючи останні кіберзагрози та вразливості, ваша організація може виявляти й реагувати на потенційні порушення безпеки до того, як вони пошкодять ваші ІТ-активи.
Як працює платформа аналізу загроз?
Платформи аналізу загроз допомагають компаніям зменшити ризики витоку даних, збираючи дані аналізу загроз із багатьох джерел, у тому числі розвідки з відкритим кодом (OSINT), глибокої та темної мережі та власних каналів аналізу загроз.
ПОРАДИ аналізують дані, визначають шаблони, тенденції та потенційні загрози, а потім діляться цією інформацією з вашою командою SOC та іншими системами безпеки, такими як брандмауери, системи виявлення вторгнень і системи керування інформацією та подіями безпеки (SIEM), щоб зменшити шкоду для вашу ІТ-інфраструктуру.
Переваги платформ аналізу загроз
Платформи аналізу загроз надають організаціям різноманітні переваги, зокрема:
- Проактивне виявлення загроз
- Покращена поза безпеки
- Кращий розподіл ресурсів
- Спрощені операції безпеки
Інші переваги TIP включають автоматичне реагування на загрози, економію коштів і покращену видимість.
Ключові характеристики платформ аналізу загроз
Основні особливості платформ аналізу загроз:
- Можливість збору даних
- Пріоритезація загроз у реальному часі
- Аналіз загроз
- Можливість моніторингу deep і dark web
- Багата бібліотека та база даних графіків для візуалізації атак і загроз
- Інтеграція з наявними інструментами та системами безпеки
- Досліджуйте зловмисне програмне забезпечення, фішингові шахрайства та зловмисників
Найкращі TIPs можуть збирати, нормалізувати, агрегувати та організовувати дані розвідки про загрози з багатьох джерел і форматів.
Автофокус
AutoFocus від Palo Alto Networks — це хмарна платформа аналізу загроз, яка дозволяє виявляти критичні атаки, проводити попередні оцінки та вживати заходів для виправлення ситуації без потреби в додаткових ІТ-ресурсах. Служба збирає дані про загрози з мережі вашої компанії, галузі та глобальних розвідувальних каналів.
AutoFocus надає дані підрозділу 42 – групи дослідження загроз мережі Пало-Альто – про останні кампанії зловмисного програмного забезпечення. Звіт про загрози можна переглянути на вашій інформаційній панелі, що дає вам додаткове уявлення про техніку, тактику та процедури зловмисників (TTP).
Ключові особливості
- Його дослідницька стрічка підрозділу 42 забезпечує видимість останніх шкідливих програм з інформацією про їх тактику, методи та процедури
- Щодня обробляє 46 мільйонів реальних DNS-запитів
- Збирайте дані зі сторонніх джерел, таких як Cisco, Fortinet і CheckPoint
- Інструмент забезпечує розвідку про загрози для інструментів безпеки та керування подіями (SIEM), внутрішніх систем та інших інструментів сторонніх розробників за допомогою відкритого та гнучкого RESTful API
- Включає попередньо створені групи тегів для програм-вимагачів, банківських троянів і інструментів злому
- Користувачі також можуть створювати власні теги на основі своїх критеріїв пошуку
- Сумісність із різними стандартними форматами даних, такими як STIX, JSON, TXT і CSV
Ціни на інструмент не рекламуються на веб-сайті Palo Alto Network. Покупці повинні зв’язатися з відділом продажів компанії, щоб отримати пропозиції, а також ви можете подати запит на демонстрацію продукту, щоб дізнатися більше про можливості рішення та про те, як ви можете використовувати його для свого підприємства.
ManageEngine Log360
ManageEngine Log360 — це інструмент керування журналами та SIEM, який надає компаніям видимість безпеки їх мережі, перевіряє зміни в активному каталозі, відстежує їхні сервери обміну та налаштування публічної хмари, а також автоматизує керування журналами.
Log360 поєднує в собі можливості п’яти інструментів ManageEngine, включаючи ADAudit Plus, Event Log Analyzer, M365 Manager Plus, Exchange Reporter Plus і Cloud Security Plus.
Модулі аналізу загроз Log360 включають базу даних, яка містить глобальні шкідливі IP-адреси, і процесор каналів загроз STIX/TAXII, який часто отримує дані з глобальних каналів загроз і оновлює вас.
Ключові особливості
- Включає інтегровані можливості брокера безпеки доступу до хмари (CASB), які допомагають контролювати дані в хмарі, виявляти тіньові ІТ-додатки та відстежувати санкціоновані та несанкціоновані програми
- Виявляйте загрози в корпоративних мережах, кінцевих точках, брандмауерах, веб-серверах, базах даних, комутаторах, маршрутизаторах та інших хмарних джерелах
- Виявлення інцидентів у реальному часі та моніторинг цілісності файлів
- Використовує фреймворк MITER ATT&CK для визначення пріоритетів загроз, які виникають у ланцюжку атак
- Його виявлення атак включає кореляцію в реальному часі на основі правил, аналітику поведінки користувачів і об’єктів (UEBA) на основі ML на основі поведінки та MITRE ATT&CK на основі сигнатур.
- Включає інтегроване запобігання втраті даних (DLP) для eDiscovery, оцінку ризиків даних, захист із урахуванням вмісту та моніторинг цілісності файлів
- Аналітика безпеки в реальному часі
- Інтегроване управління відповідністю
Log360 можна завантажити одним файлом і випускається в двох версіях: безкоштовній і професійній. Користувачі можуть користуватися розширеними функціями професійної версії протягом 30-денного пробного періоду, після чого ці функції буде перетворено на безкоштовну версію.
AlienVault USM
Платформа AlienVault USM, розроблена AT&T. Рішення забезпечує виявлення загроз, оцінку, реагування на інциденти та керування відповідністю на одній єдиній платформі.
AlienVault USM кожні 30 хвилин отримує оновлення від AlienVault Labs про різні типи атак, нові загрози, підозрілу поведінку, вразливості та експлойти, які вони виявляють у всьому середовищі загроз.
AlienVault USM забезпечує уніфіковане уявлення про архітектуру безпеки вашого підприємства, дозволяючи вам контролювати ваші мережі та пристрої на місці або у віддалених місцях. Він також включає можливості SIEM, виявлення вторгнень у хмару для AWS, Azure та GCP, виявлення вторгнень у мережу (NIDS), виявлення вторгнень на хост (HIDS) і виявлення та реагування на кінцеві точки (EDR).
Ключові особливості
- Виявлення ботнету в реальному часі
- Ідентифікація трафіку командування та управління (C&C).
- Розширене виявлення постійних загроз (APT).
- Відповідає різним галузевим стандартам, таким як GDPR, PCI DSS, HIPAA, SOC 2 та ISO 27001
- Підписи IDS мережі та хосту
- Централізований збір даних про події та журнали
- Виявлення викрадання даних
- AlientVault відстежує хмарні та локальні середовища з єдиного вікна, включаючи AWS, Microsoft Azure, Microsoft Hyper-V і VMWare
Ціна на це рішення починається від 1075 доларів США на місяць для основного плану. Потенційні покупці можуть підписатися на 14-денну безкоштовну пробну версію, щоб дізнатися більше про можливості інструменту.
Захист від загроз Qualys
Qualys Threat Protection — це хмарний сервіс, який забезпечує розширений захист від загроз і можливості реагування. Він містить індикатори вразливостей у режимі реального часу, картографує дані Qualys і зовнішніх джерел, а також постійно співвідносить зовнішню інформацію про загрози з вашими вразливими місцями та інвентаризацією ІТ-активів.
За допомогою захисту від загроз Qualys ви можете вручну створити спеціальну інформаційну панель із віджетів і пошукових запитів, а також сортувати, фільтрувати й уточнювати результати пошуку.
Ключові особливості
- Централізована панель управління та візуалізації
- Забезпечує живу стрічку розкриття вразливостей
- RTI для атак нульового дня, загальнодоступних експлойтів, активних атак, високого бокового переміщення, великої втрати даних, відмови в обслуговуванні, зловмисного програмного забезпечення, відсутності виправлення, набору експлойтів і легкого експлойту
- Включає пошукову систему, яка дозволяє шукати певні активи та вразливості, створюючи спеціальні запити
- Захист від загроз Qualys постійно співвідносить зовнішню інформацію про загрози з вашими вразливими місцями та інвентаризацією ІТ-активів
Вони пропонують 30-денну безкоштовну пробну версію, щоб дозволити покупцям ознайомитися з можливостями інструменту, перш ніж прийняти рішення про покупку.
SOCRadar
SOCRadar описує себе як платформу Extended Threat Intelligence (XTI) на базі SaaS, яка поєднує зовнішнє керування поверхнею атак (EASM), цифрові служби захисту від ризиків (DRPS) і аналіз кіберзагроз (CTI).
Платформа покращує рівень безпеки вашої компанії, забезпечуючи видимість її інфраструктури, мережі та активів даних. Можливості SOCRadar включають розвідку про загрози в режимі реального часу, автоматизоване сканування глибокої та темної мережі та інтегроване реагування на інциденти.
Ключові особливості
- Інтегрується з існуючими стеками безпеки, такими як SOAR, EDR, MDR і XDR, а також рішення SIEM
- Має понад 150 джерел живлення
- Рішення надає інформацію про різні ризики безпеці, такі як зловмисне програмне забезпечення, ботнет, програми-вимагачі, фішинг, погана репутація, зламаний веб-сайт, розподілені атаки на відмову в обслуговуванні (DDOS), приманки та зловмисники
- Моніторинг за галузями та регіонами
- Відображення MITRE ATT & CK
- Має понад 6000 комбінованих списків (облікові дані та кредитна картка)
- Глибокий і темний веб-моніторинг
- Виявлення скомпрометованих облікових даних
SOCRadar має дві версії: аналіз кіберзагроз для команд SOC (CTI4SOC) і розширений аналіз загроз (XTI). Обидва плани доступні у двох версіях – безкоштовній і платній – план CTI4SOC починається від 9999 доларів США на рік.
Менеджер подій безпеки Solarwinds
SolarWinds Security Event Manager — це платформа SIEM, яка збирає, нормалізує та корелює дані журналу подій із понад 100 попередньо створених роз’ємів, включаючи мережеві пристрої та програми.
За допомогою SEM ви можете ефективно адмініструвати, керувати та контролювати політики безпеки та захищати свою мережу. Він аналізує зібрані журнали в реальному часі та використовує зібрану інформацію, щоб повідомити вас про проблему, перш ніж вона завдасть серйозної шкоди інфраструктурі вашого підприємства.
Ключові особливості
- Контролює вашу інфраструктуру 24/7
- SEM має 100 готових роз’ємів, включаючи Atlassian JIRA, Cisco, Microsoft, IBM, Juniper Sophos, Linux тощо
- Автоматизує управління ризиками відповідності
- SEM включає моніторинг цілісності файлів
- SEM збирає журнали, корелює події та відстежує списки даних про загрози, і все це в одному вікні
- Платформа має понад 700 вбудованих правил кореляції
- Користувачі можуть експортувати звіти у форматах PDF або CSV
Solarwinds Security Event Manager пропонує 30-денну безкоштовну пробну версію з двома варіантами ліцензування: підписка, вартість якої починається від 2877 доларів США, і безстрокова, вартість якої починається від 5607 доларів США. Інструмент ліцензується на основі кількості вузлів, які надсилають журнал і інформацію про події.
Tenable.sc
Створена на основі технології Nessus, Tenable.sc — це платформа керування вразливими місцями, яка надає розуміння стану безпеки та ІТ-інфраструктури вашої організації. Він збирає та оцінює дані про вразливості у вашому ІТ-середовищі, аналізує тенденції уразливості з часом і дозволяє вам визначити пріоритети та вжити заходів для виправлення.
Сімейство продуктів Tenable.sc (Tenanble.sc і Tenable.sc+) дозволяє виявляти, досліджувати, визначати пріоритети та усувати вразливості, щоб ви могли захистити свої системи та дані.
Ключові особливості
- Він оптимізував відповідність галузевим стандартам, таким як CERT, NIST, DISA STIG, DHS CDM, FISMA, PCI DSS і HIPAA/HITECH
- Його функції пасивного виявлення активів дозволяють виявляти та ідентифікувати ІТ-активи у вашій мережі, такі як сервери, настільні комп’ютери, ноутбуки, мережеві пристрої, веб-програми, віртуальні машини, мобільні та хмарні пристрої.
- Команда Tenable Research регулярно надає оновлення щодо останніх перевірок уразливостей, досліджень нульового дня та тестів конфігурації, щоб допомогти вам захистити вашу організацію
- Tenable підтримує бібліотеку з понад 67 тисяч загальних вразливостей і вразливостей (CVE).
- Виявлення в режимі реального часу ботнетів і трафіку управління та контролю
- Директор Tenable.sc містить єдине скло, яке допоможе вам переглядати мережу та керувати нею на всіх консолях Tenable.sc
Tenable.sc ліцензується на рік, а вартість 1-річної ліцензії на актив починається від 5364,25 доларів США. Ви можете заощадити гроші, придбавши багаторічну ліцензію.
Висновок
У цьому посібнику проаналізовано сім платформ аналізу загроз та їхні відмінні функції. Найкращий варіант для вас залежить від ваших потреб і уподобань щодо аналізу загроз. Ви можете надіслати запит на демонстрацію продукту або зареєструватися на безкоштовну пробну версію, перш ніж погодитися на певний інструмент.
Це дозволить вам перевірити його, щоб визначити, чи буде він служити меті вашої компанії. Нарешті, переконайтеся, що вони пропонують якісну підтримку та підтвердьте, як часто вони оновлюють свої канали загроз.
Далі ви можете перевірити інструменти моделювання кібератак.