Security Vision
Практически каждая современная система мониторинга безопасности умеет работать с Threat Intelligence. Производители SIEM, EDR, XDR, NGFW постоянно говорят про IOC, фиды, репутацию IP-адресов и автоматическое обогащение событий.
На практике все выглядит немного иначе.
После подключения десятка бесплатных TI-источников SOC внезапно начинает видеть тысячи «индикаторов компрометации». Половина IP-адресов оказывается давно неактивной, часть доменов уже не существует, а количество ложных срабатываний начинает раздражать аналитиков сильнее, чем реальные атаки.
Возникает закономерный вопрос: насколько вообще полезен Open Source Threat Intelligence, и где заканчивается польза, а начинается информационный шум? Попробуем разобраться.
Что вообще называют Open Source Threat Intelligence
Под Open Source Threat Intelligence обычно понимают открытые источники информации об угрозах.
Это могут быть как списки вредоносных IP-адресов, домены фишинговых сайтов, хеши вредоносных файлов, YARA-правила, Sigma-правила, так и сведения об APT-группировках, CVE и информация об эксплуатации уязвимостей.
Практически вся эта информация публикуется бесплатно исследователями, компаниями по информационной безопасности, CERT-командами и сообществом.
На первый взгляд кажется логичным подключить как можно больше подобных источников. Чем больше данных — тем выше вероятность обнаружить атаку. Но именно здесь начинается первая проблема.
Больше данных — не значит лучше
Представим типичную ситуацию.
Организация подключила открытые источники AbuseIPDB, AlienVault OTX, Feodo Tracker, URLHaus, PhishTank, несколько GitHub-репозиториев с IOC. А через сутки SIEM начинает получать тысячи совпадений.
Однако после анализа оказывается:
-
IP уже несколько месяцев никем не используется;
-
домен удален неделю назад;
-
IOC относится к атаке пятилетней давности;
-
индикатор встречается одновременно в десяти разных источниках.
Формально Threat Intelligence работает, но фактически аналитик тратит время на обработку огромного количества бесполезной информации. Поэтому главный показатель качества TI — не объем данных, а их актуальность.
Какие данные действительно работают
За последние несколько лет можно выделить несколько категорий информации, которые действительно помогают в расследованиях.
1. IOC текущих атак
Казалось бы, самый очевидный вариант. Если сегодня появилась новая фишинговая кампания, то IP-адреса и домены злоумышленников действительно полезны. Но здесь есть важный нюанс. Жизненный цикл большинства подобных IOC очень короткий.
Например, домен живет несколько часов, VPS меняется за день, IP попадает в черный список уже после окончания атаки. Поэтому индикаторы должны регулярно обновляться. Если источник публикует данные раз в неделю — его ценность резко падает.
2. CVE с признаками эксплуатации
Сегодня недостаточно знать, что существует новая уязвимость. Гораздо важнее понимать, эксплуатируется ли она сейчас, есть ли публичный эксплойт, используется ли она реальными злоумышленниками.
Именно поэтому сейчас многие команды ориентируются не только на CVSS. Например, CVE с рейтингом 9.8 может никого не интересовать из атакующих. А уязвимость с оценкой 7.5 уже активно используется в массовых атаках. Для приоритизации гораздо полезнее использовать данные KEV (Known Exploited Vulnerabilities) и аналогичные проекты.
3. YARA и Sigma
Эти два формата давно стали стандартом отрасли. YARA позволяет искать вредоносные файлы по их структуре. Sigma — описывать правила обнаружения независимо от конкретной SIEM. Преимущество подобных правил заключается в том, что они описывают поведение злоумышленника, а не конкретный IOC. Если IP завтра изменится, правило продолжит работать. Именно поэтому поведенческие детекты живут значительно дольше обычных IOC.
4. MITRE ATT&CK
Формально ATT&CK нельзя назвать Threat Intelligence в классическом понимании. Однако практически любой современный SOC использует эту базу. Почему?
Потому что она позволяет отвечать на такие вопросы, как:
-
какое действие выполняет злоумышленник;
-
зачем оно нужно;
-
что будет следующим этапом атаки;
-
какие техники уже замечены.
Для построения сценариев обнаружения ATT&CK зачастую полезнее огромного списка IOC.
Что чаще всего оказывается шумом
Теперь посмотрим на обратную сторону. Есть несколько категорий данных, которые чаще создают проблемы, чем помогают.
1. Огромные черные списки IP
Некоторые бесплатные репозитории содержат миллионы IP-адресов. Звучит впечатляюще. Но возникает вопрос: когда последний раз проверялся каждый из них? Многие адреса уже сменили владельца, некоторые принадлежат облачным платформам, часть используется CDN. В результате система начинает сигнализировать практически на любое подключение.
2. GitHub-репозитории без сопровождения
GitHub сегодня заполнен тысячами репозиториев с IOC. Проблема заключается в том, что многие из них давно не обновлялись. Можно встретить списки трехлетней давности, без указания источника, без информации о методике проверки. Использовать подобные данные без дополнительной валидации рискованно.
3. IOC без контекста
Представим запись вида: 185.xxx.xxx.xxx
Что с ней делать? Непонятно, когда обнаружен адрес, кто его использовал, относится ли он к APT, участвовал ли в фишинге, актуален ли он сейчас в принципе? Сам по себе IOC почти ничего не говорит — настоящую ценность представляет контекст вокруг него.
4. Автоматическое доверие любому источнику
Иногда встречается подход: «источник открытый, значит можно автоматически блокировать все IP». Это одна из самых распространенных ошибок. Любой источник может ошибаться, поэтому автоматическая блокировка должна применяться крайне осторожно, особенно если речь идет о критически важных сервисах.
Когда открытых фидов становится слишком много
Проблема большинства организаций возникает не в момент подключения первого TI-источника, а спустя несколько месяцев. Постепенно появляются десятки фидов, внутренние IOC, правила Sigma, отчеты исследователей, собственные наблюдения SOC. В какой-то момент становится сложно ответить даже на простой вопрос: какой из этих индикаторов действительно заслуживает доверия?
Именно поэтому сегодня все чаще используют не просто набор списков IOC, а специализированные платформы Threat Intelligence Platform (TIP).
Их задача — не заменить открытые источники, а привести их к единому виду, убрать дублирование, сохранить историю изменений и дать возможность оценить качество каждого индикатора.
Хорошая платформа TI позволяет не только агрегировать данные из разных источников, но и обогащать их дополнительной информацией: временем первого и последнего обнаружения, связями между объектами, используемыми TTP по MITRE ATT&CK, принадлежностью к конкретным вредоносным кампаниям или APT-группировкам. В результате аналитик получает не просто IP-адрес или домен, а полноценный контекст.
В качестве примера такой платформы можно привести Security Vision TIP. Интересной особенностью платформы является то, что она позволяет работать одновременно с открытыми и внутренними источниками Threat Intelligence, объединяя их в единую базу знаний. Например, при расследовании инцидента аналитик может увидеть не только факт совпадения с IOC, но и дополнительную информацию:
-
из какого источника получен индикатор;
-
насколько источник считается надежным;
-
когда индикатор появился впервые и обновлялся ли он;
-
с какими вредоносными кампаниями он связан;
-
какие техники MITRE ATT&CK использовались злоумышленниками;
-
встречался ли этот IOC ранее внутри организации.
Однако ценность современных TIP-платформ не ограничивается хранением индикаторов. По сути, они становятся единым центром управления знаниями об угрозах. Вместо того чтобы искать информацию в различных репозиториях, открытых базах данных и отчетах исследователей, аналитик работает в одном интерфейсе, где уже собраны все необходимые сведения и связи между ними. Например, если в инфраструктуре обнаружен подозрительный IP-адрес, платформа может автоматически показать, в каких внешних фидах он присутствует, к каким семействам вредоносного ПО относится, использовался ли в известных APT-кампаниях, какие объекты инфраструктуры уже взаимодействовали с ним и насколько высок уровень доверия к этому индикатору. Такой объем информации значительно сокращает время первичного анализа инцидента.
Еще одна важная особенность современных TIP — автоматическое обогащение данных (Threat Enrichment). Новые индикаторы могут дополняться информацией из различных источников практически без участия аналитика. В результате IOC перестает быть просто IP-адресом или хэшем файла и превращается в полноценный объект с описанием, связями, тегами, историей изменений и оценкой достоверности
Отдельно стоит отметить, что эффективность Threat Intelligence напрямую зависит от того, насколько хорошо он интегрирован с другими средствами защиты. Если индикаторы просто хранятся в отдельной базе, их практическая ценность ограничена. Совсем другая ситуация возникает, когда TIP становится частью общей архитектуры ИБ.
Например, Security Vision TIP поддерживает интеграцию с SIEM, SOAR, EDR, межсетевыми экранами, почтовыми шлюзами и другими средствами защиты. Благодаря этому новые IOC могут автоматически использоваться в процессах мониторинга, корреляции событий, автоматического реагирования или формирования правил обнаружения. В результате Threat Intelligence перестает быть статичным справочником и становится активным элементом защиты инфраструктуры.
Как использовать Open Source TI с пользой
Наиболее эффективный подход выглядит примерно так.
1. Использовать несколько качественных источников
Не двадцать случайных репозиториев. Лучше пять регулярно обновляемых проектов. Например, AlienVault OTX, URLHaus, Abuse.ch, CISA KEV, SigmaHQ.
2. Проверять свежесть данных
У каждого IOC желательно знать дату публикации, дату последнего обновления, источник, уровень доверия. Индикатор трехлетней давности редко имеет практическую ценность.
3. Добавлять контекст
Вместо простой записи: «IP найден в blacklist» гораздо полезнее видеть: «IP использовался группировкой FIN7 в кампании против финансового сектора в июне 2026 года». Так аналитик сразу понимает уровень риска.
4. Использовать скоринг
Не все источники одинаково надежны. Хорошей практикой является присваивать каждому источнику уровень доверия, а также регулярно осуществлять пересчёт критичности и доверия к индикатору. Тогда совпадение сразу в нескольких качественных источниках будет выглядеть значительно убедительнее.
5. Не строить детектирование только на IOC
Самая распространенная ошибка — полностью заменить аналитику списками IOC. На практике гораздо эффективнее работают комбинированные правила.
Например, запуск PowerShell, скачивание файла, соединение с подозрительным IP, создание новой службы. Все вместе значительно лучше описывает атаку, чем любой отдельный IOC.
Что меняется с появлением LLM
Последние несколько лет в Threat Intelligence начинают использовать большие языковые модели. Причем речь идет не о поиске новых IOC, а об интерпретации.
Например, вместо набора событий: PowerShell, rundll32, certutil, неизвестный IP, создание Scheduled Task, LLM может сформировать понятное объяснение: «Наиболее вероятно наблюдается последовательность действий, характерная для загрузки полезной нагрузки с последующим закреплением в системе. Рекомендуется проверить происхождение PowerShell-команды и исследовать созданную задачу планировщика». Подобные описания заметно сокращают время первичного анализа инцидента. При этом сами модели не заменяют Threat Intelligence — они помогают интерпретировать уже собранные данные.
Итоги
Open Source Threat Intelligence остается одним из самых доступных инструментов для повышения уровня защиты. Но его эффективность определяется не количеством подключенных источников, а тем, насколько осмысленно они используются.
Хорошая практика — это небольшое число регулярно обновляемых фидов, проверка актуальности индикаторов, добавление контекста и сочетание IOC с поведенческой аналитикой. Именно такой подход помогает уменьшить число ложных срабатываний и сосредоточить внимание аналитиков на действительно важных событиях.
В конечном счете Threat Intelligence — это не коллекция бесконечных списков IP-адресов. Это инструмент для понимания того, кто атакует, как именно действует злоумышленник и какие шаги стоит предпринять для защиты инфраструктуры. И чем меньше шума остается после обработки открытых источников, тем выше вероятность вовремя заметить настоящую атаку.
.jpg)
