कल्पना करें कि आप काम करने आए थे, कंप्यूटर चालू करें और देखें कि आपकी कंपनी की वेबसाइट काम नहीं कर रही है, सामान सीमा शुल्क पर अटके हुए हैं और गोदाम तक नहीं पहुंच सकते। और यहां तक ​​कि कंप्यूटर स्क्रीन सेवर पर, एक अपरिचित व्यक्ति ने एक मजाकिया चित्र दिया। एक लेखाकार आपके पास आता है और आपको सूचित करता है कि सभी धन खातों से निकाल लिए गए हैं, और आपका व्यक्तिगत डेटा इसकी उपस्थिति के साथ पूरे इंटरनेट को प्रसन्न करता है। आप एक कप कॉफी लेते हैं और खिड़की पर जाते हैं, और सड़क के पार एक पड़ोसी कंपनी पहले से ही एक बार आपके अद्वितीय उत्पादों को जारी कर रही है। तो आपकी सुंदर पत्नी एक अधिक सफल प्रतियोगी के साथ उड़ गई। इस बिंदु पर, समझ आती है - आपको हैक कर लिया गया है।

लेकिन आपको चेतावनी दी गई - टीआई को रखना आवश्यक था। लेकिन पहले, आइए देखें कि यह कैसे काम करता है और सुरक्षा करता है।

थ्रेट इंटेलिजेंस - साइबर इंटेलिजेंस जिसका काम संभावित खतरों पर डेटा प्राप्त करना और विश्लेषण करना है ताकि संभावित हमलों की भविष्यवाणी की जा सके और उन्हें रोका जा सके।

खतरों की खुफिया में निम्नलिखित चरण होते हैं: एक ही प्रणाली में विभिन्न स्रोतों से खतरों पर डेटा का संग्रह और संचय, उनका संवर्धन, विश्लेषण और अर्जित ज्ञान का अनुप्रयोग।

डेटा संग्रह और संचय

निम्नलिखित सिस्टम का उपयोग करके धमकी डेटा एकत्र किया जाता है:

खोज रोबोट - इंटरनेट पर मौजूदा साइटों के बारे में जानकारी एकत्र करने के लिए सिस्टम;

सैंडबॉक्स - मैलवेयर का पता लगाने और विश्लेषण करने के लिए संदिग्ध कोड के सुरक्षित निष्पादन के लिए एक अलग वातावरण;

बॉटनेट नेटवर्क की निगरानी - एक हमलावर के प्रबंधन सर्वर के नियंत्रण में कंप्यूटर नेटवर्क;

हनीपोट - एक हमलावर के लिए आवंटित नेटवर्क सेगमेंट, जिसे संगठन के मुख्य सुरक्षित नेटवर्क से अलग किया गया था;

सेंसर एजेंट प्रोग्राम हैं जो विभिन्न उपकरणों से उपयोगी जानकारी एकत्र करते हैं।

इसके अलावा, डेटाबेस को लीक के डेटाबेस के साथ अद्यतन किया जाता है - संवेदनशील जानकारी जो अवैध रूप से खुले स्रोतों में मिली है। यह सिस्टम और सेवाओं, ईमेल पते, क्रेडिट कार्ड की जानकारी, पासवर्ड से साख हो सकता है।

OSINT खुले स्रोतों से, फ़ीड्स (संरचित विश्लेषण डेटा) आते हैं - आईपी पते और डोमेन के बारे में डेटा जिसमें से दुर्भावनापूर्ण फ़ाइलें वितरित की जाती हैं, उनके नमूने और हैश; फ़िशिंग साइटों की सूची और फ़िशिंग ईमेल भेजने वालों के डाक पते; C & C (कमांड एंड कंट्रोल) सर्वर की गतिविधि; सिस्टम संस्करण, सेवा बैनर और भेद्यताओं की सूची और पहचान के उद्देश्य से जिन नेटवर्क से स्कैन किए गए हैं; आईपी ​​पते जिसमें से ब्रूटफोर्स हमले किए जाते हैं; मैलवेयर का पता लगाने के लिए यारा हस्ताक्षर।

विश्लेषणात्मक केंद्रों, सीईआरटी और स्वतंत्र शोधकर्ताओं के ब्लॉगों पर उपयोगी जानकारी पाई जा सकती है: खोजी गई कमजोरियां, उनके पता लगाने के लिए नियम, जांच का विवरण।

लक्षित हमलों की जांच की प्रक्रिया में विश्लेषकों को दुर्भावनापूर्ण फ़ाइलों के नमूने, उनके हैश, आईपी पते की सूची, डोमेन, अवैध सामग्री वाले URL प्राप्त होते हैं।

यह प्रणाली सॉफ्टवेयर में खोजी गई कमजोरियों और साझेदारों, विक्रेताओं, और ग्राहकों से हमलों पर डेटा भी प्राप्त करती है।

SZI से जानकारी एकत्र की जाती है: एंटीवायरस, आईडीएस / आईपीएस, फ़ायरवॉल, वेब एप्लिकेशन फ़ायरवॉल, ट्रैफ़िक विश्लेषण उपकरण, इवेंट लॉगिंग टूल, एंटी-अनधिकृत एक्सेस प्रोटेक्शन सिस्टम, आदि।

सभी एकत्र किए गए डेटा एक ही मंच के भीतर जमा होते हैं, जो खतरों के बारे में जानकारी को समृद्ध, विश्लेषण और प्रसारित करने की अनुमति देता है।

डेटा संवर्धन

विशिष्ट खतरों पर एकत्रित जानकारी को प्रासंगिक जानकारी - खतरे का नाम, पता लगाने का समय, भू-स्थान, खतरे का स्रोत, परिस्थितियों, लक्ष्यों और हमलावरों के उद्देश्यों से पूरित किया जाता है।

इस स्तर पर भी संवर्धन होता है - डेटा संवर्धन - पहले से ज्ञात हमलों के लिए एक तकनीकी प्रकृति के अतिरिक्त गुण प्राप्त करना:

• यूआरएल
• आईपी ​​पते
• डोमेन
• WHOIS डेटा
• निष्क्रिय डीएनएस
• जियोआईपी - आईपी पते के बारे में भौगोलिक जानकारी
• दुर्भावनापूर्ण फ़ाइलों और उनके हैश के नमूने
• सांख्यिकीय और व्यवहार संबंधी जानकारी - तकनीक, रणनीति और हमले की प्रक्रिया

के विश्लेषण

विश्लेषण चरण में, एक हमले से संबंधित घटनाओं और विशेषताओं को निम्नलिखित मानदंडों के अनुसार जोड़ा जाता है: प्रादेशिक स्थान, समय अवधि, आर्थिक क्षेत्र, आपराधिक समूह, आदि।

विभिन्न घटनाओं के बीच संबंध निर्धारित किया जाता है - सहसंबंध।

फ़ीड के साथ काम करते समय, उद्योग की बारीकियों के आधार पर फ़ीड के स्रोत का चयन किया जाता है; किसी विशेष कंपनी के लिए प्रासंगिक हमलों के प्रकार; उन विशेषताओं और IOC की उपस्थिति जो जोखिमों को कवर करती हैं जो सुरक्षा प्रणालियों के नियमों द्वारा कवर नहीं की जाती हैं। फिर फ़ीड मान निर्धारित किया जाता है और उन्हें निम्न मापदंडों के आधार पर प्राथमिकता दी जाती है:

• डेटा स्रोतों को फ़ीड करें - यह संभव है कि यह स्रोत OSINT स्रोतों से डेटा का एक एग्रीगेटर है और कोई मालिकाना विश्लेषण प्रदान नहीं करता है।
• प्रासंगिकता - प्रदान की गई डेटा की समयबद्धता और "ताजगी"। दो मापदंडों को ध्यान में रखा जाना चाहिए: जिस क्षण से हमले का पता चलता है, फीड के वितरण के लिए खतरा डेटा के साथ न्यूनतम होना चाहिए; स्रोत को ऐसी आवृत्ति पर फ़ीड वितरित करना चाहिए जो यह सुनिश्चित करता है कि खतरे की जानकारी अद्यतित है।
• विशिष्टता - अन्य फ़ीड में नहीं मिला डेटा की मात्रा। फ़ीड प्रदान करने वाले विश्लेषिकी की मात्रा।
• अन्य स्रोतों में घटना। पहली नज़र में, ऐसा लग सकता है कि अगर कोई विशेषता या IOC (संकेतक का संकेतक) कई स्रोतों से फीड में पाया जाता है, तो आप इसके विश्वास के स्तर को बढ़ा सकते हैं। वास्तव में, फीड के कुछ स्रोत उसी स्रोत से डेटा खींच सकते हैं, जिसमें जानकारी को असत्यापित किया जा सकता है।
• प्रदान की गई संदर्भ की पूर्णता। सूचना को कितनी अच्छी तरह से सॉर्ट किया गया था, क्या हमले के उद्देश्य, अर्थव्यवस्था का क्षेत्र, आपराधिक समूह, उपयोग किए गए उपकरण, हमले की अवधि आदि।
• फ़ीड से डेटा के आधार पर SIS के लिए नियमों की गुणवत्ता (झूठी सकारात्मकता का हिस्सा)।
• डेटा उपयोगिता - घटना की जांच में फ़ीड डेटा की प्रयोज्यता।
• डेटा प्रदान करने के लिए प्रारूप। प्लेटफॉर्म में उनके लोडिंग को संसाधित करने और स्वचालित करने की सुविधा को ध्यान में रखा जाता है। क्या थ्रेट इंटेलिजेंस के लिए चयनित प्लेटफ़ॉर्म आवश्यक स्वरूपों का समर्थन करता है? क्या डेटा का हिस्सा खो गया है।

निम्नलिखित टूल का उपयोग फीड से डेटा को वर्गीकृत करने के लिए किया जाता है:

• टैग
• टैक्सोनोमीज़ - हमले की प्रक्रियाओं द्वारा वर्गीकृत पुस्तकालयों का एक समूह, खतरों का प्रसार, डेटा विनिमय, आदि। उदाहरण के लिए, ENISA, CSSA, VERIS, डायमंड मॉडल, किल चेन, CIRCL, MISP के अपने स्वयं के वर्गीकरण हैं।
• क्लस्टरिंग खतरों और हमलों के स्थिर संकेतों द्वारा वर्गीकृत पुस्तकालयों का एक सेट है। उदाहरण के लिए, अर्थव्यवस्था के क्षेत्र; प्रयुक्त उपकरण और कारनामे; टीटीपी (टैक्टिक्स, तकनीक और प्रक्रियाएं), एटीटी और सीके मैट्रिक्स पर आधारित प्रणाली में प्रवेश, संचालन और समेकन के चरणों और तरीकों।

विश्लेषकों ने हमलावरों की रणनीति, तकनीक और प्रक्रियाओं की पहचान की, सिस्टम में घुसपैठ के मॉडल पर डेटा और घटनाओं को लगाया और हमले की श्रृंखला का निर्माण किया। संरक्षित प्रणाली की जटिल वास्तुकला और घटकों के बीच संबंधों को ध्यान में रखते हुए, हमले का एक सामान्य दृष्टिकोण तैयार करना महत्वपूर्ण है। बहु-चरण के हमले की संभावना को ध्यान में रखा जाता है, जो कई मेजबान और कमजोरियों को प्रभावित करेगा।

आवेदन

किए गए कार्य के आधार पर, पूर्वानुमान किया जाता है - हमलों की संभावित दिशाओं की पहचान की जाती है, खाते की उद्योग की बारीकियों, जियोलोकेशन, समय के फ्रेम, संभावित उपकरण और विनाशकारी परिणामों की डिग्री को व्यवस्थित रूप से लिया जाता है। कार्यान्वयन के दौरान संभावित नुकसान के आधार पर पहचाने गए खतरों को प्राथमिकता दी जाती है।

थ्रेट इंटेलिजेंस जानकारी आपको संवेदनशील संगठन डेटा के लीक का पता लगाने की अनुमति देती है जो इंटरनेट पर गिर गए हैं और ब्रांड जोखिमों को नियंत्रित करते हैं - डार्कनेट मंचों पर हमले की योजनाओं की चर्चा, फ़िशिंग कंपनियों में ब्रांड के नाजायज उपयोग, व्यापार रहस्य का खुलासा और प्रतियोगियों के साथ इसका उपयोग।

एकत्रित ज्ञानकोष का उपयोग एसआईएस के लिए हमले का पता लगाने के नियमों को लिखने के लिए किया जाता है, ताकि एसओसी के भीतर के खतरों का तुरंत जवाब दिया जा सके और घटनाओं की जांच की जा सके।

विशेषज्ञ बदली हुई स्थिति के संबंध में खतरे के मॉडल और जोखिम के जोखिम को अद्यतन करते हैं।

निष्कर्ष

इस तरह का एक एकीकृत दृष्टिकोण आपको सूचना प्रणाली में घुसने के प्रयासों के चरण में हमलों को रोकने की अनुमति देता है।

एसओसी सेवाएं प्रदान करते समय सुरक्षा खतरों के बारे में जानकारी एकत्र करने और विश्लेषण करने के लिए एक मंच FSTEC (पैराग्राफ 24) की आवश्यकताओं में शामिल है। इसके अलावा, थ्रेट इंटेलिजेंस राज्य SOPCA के भीतर खतरे की सूचना के आदान-प्रदान में सहायता कर सकता है।

धमकी डेटा के संग्रह, विश्लेषण और अनुप्रयोग में साइबर खुफिया पेशेवरों के अनुभव का उपयोग करके आईएस इकाइयों को अपनी कंपनी की जानकारी के संरक्षण को उचित आधुनिक स्तर पर लाने की अनुमति देता है।