Від реактивного збагачення до прогностичної розвідки.

Клієнт

Клієнт — європейська компанія з програмного забезпечення для кібербезпеки, що будує платформу для команд безпекових операцій підприємств. Її платформа агрегує розвідку загроз із багатьох комерційних і відкритих джерел, зіставляє її з телеметрією клієнтів і виводить пріоритезовані сповіщення та контекст для розслідування аналітиками.

Платформа досягла сильного відповідності продукту ринку у своєму основному шарі кореляції й мала зростаючу базу клієнтів — команд безпеки підприємств. Шар розвідки — компонент, що надає контекст даним про загрози й керує пріоритезацією, — був ключовою відмінністю продукту та напрямом, де команда бачила найбільший розрив між поточною спроможністю й потрібним рівнем.

Виклик

Платформа приймала значні обсяги структурованої розвідки загроз: потоки індикаторів, пакети STIX, зіставлення з MITRE ATT&CK і комерційні підписки на розвідку. Дані були. Проблема була у зв'язності.

Актори, TTP, інструменти та IoC існували окремо. Надходив новий IoC, його звіряли зі списками відомих шкідливих індикаторів — і він або збігався, або ні. Нову TTP позначали технікою ATT&CK. Але платформа не могла відповісти на запитання, які насправді визначають рішення щодо реагування:

• Хто, найімовірніше, стоїть за цією активністю, з огляду на те, що ми знаємо про те, як діє цей атакуючий?
• Яка, найімовірніше, наступна поведінка після цієї техніки первинного доступу?
• Як ці IoC пов'язані з відомими кампаніями та інфраструктурою атакуючих?

Клієнти платформи — команди безпекових операцій підприємств — робили цей синтез вручну, залучаючи досвідчених аналітиків, щоб з'єднати точки в розвідці, яку виводила платформа. Це було повільно, залежало від експертизи аналітиків і не масштабувалося.

Конкретна мета CTO — збудувати шар розвідки, що перевів би платформу від реактивного збагачення («ось що ми знаємо про цей індикатор») до прогностичної розвідки («ось що, імовірно, станеться далі, і ось чому»).

AmonSul залучили, щоб надати експертизу у сфері розвідки загроз, аналітичну методологію та спроможність розробки власних алгоритмів, яких бракувало внутрішній команді платформи.

Підхід

Проєкт побудували як дванадцятимісячну програму з трьома ключовими результатами, які створювали й удосконалювали послідовно. Кожен результат живив наступний.

Результат 1: Malware Galaxy — карта зв'язаних сутностей

Перший етап зосередився на побудові базової структури даних: зв'язаного графа, що поєднує атакуючих загроз, родини шкідливого ПЗ, інструменти, TTP та IoC на основі задокументованих зв'язків із оперативної розвідки AmonSul, відкритих досліджень і наявних потоків даних клієнта.

Це була не проста нормалізація даних. Складність полягала у встановленні достовірності зв'язків — розрізненні між «цей IoC пов'язували з цим атакуючим в одному звіті» (слабкий сигнал) і «цей IoC стабільно з'являється в кількох кампаніях, атрибутованих цьому атакуючому, з криміналістичними доказами» (сильний сигнал).

AmonSul розробила модель оцінки достовірності зв'язків, що враховує:

• кількість незалежних джерел атрибуції;
• часову близькість використання IoC до задокументованих кампаній атакуючого;
• перетин інфраструктури з раніше підтвердженими активами атакуючого;
• відповідність TTP задокументованим методам роботи атакуючого.

Malware Galaxy збудували як графову базу даних: вузли — сутності (атакуючі, інструменти, TTP, IoC, кампанії), ребра — зв'язки з оцінками достовірності. До кінця етапу 1 граф містив понад 12 000 сутностей і 47 000 зв'язків, а оцінки достовірності відкалібрували на тестовому наборі історичних випадків із відомою атрибуцією.

Результат 2: Алгоритм прогнозування атак

Коли граф сутностей запрацював, другий етап став до основної прогностичної спроможності: який найімовірніший наступний крок за набором спостережених індикаторів чи технік?

AmonSul побудувала алгоритм навколо концепції імовірнісних шляхів ланцюга атаки: для кожної спостереженої техніки чи індикатора алгоритм обходить граф сутностей, щоб визначити, які атакуючі використовують цю техніку, які техніки ці атакуючі зазвичай застосовують на наступній стадії ланцюга атаки (kill chain), з якою частотою та в якій послідовності.

Алгоритм видає ранжований перелік прогнозованих технік наступної стадії з оцінками достовірності на основі:

• ймовірності атрибуції атакуючого (які атакуючі узгоджуються зі спостереженою активністю);
• історичних шаблонів ланцюгів атак цих атакуючих (що вони роблять далі і в якому порядку);
• контексту кампанії (активність ранньої стадії проти шаблонів поведінки після закріплення).

Модель прогнозування перевірили на відкладеному наборі з 34 історичних прогресій кампаній. Вона передбачила правильну техніку наступної стадії у топ-3 результатів у 78% тестових випадків проти 31% для простого базового методу на основі частоти.

Результат 3: Візуалізація ланцюга атаки

Третій етап перетворив граф сутностей і модель прогнозування на зрозумілий людині інтерфейсний шар: візуалізацію повних ланцюгів атак від первинного доступу до наслідків, з атрибуцією атакуючого, оцінкою достовірності та прогнозованими шляхами продовження у форматі, розрахованому на аналітиків.

Візуалізацію проєктували, щоб вона відповідала на конкретні запитання аналітика під час розслідування активного інциденту чи огляду звіту розвідки загроз: не лише «що сталося», а й «хто це зробив», «наскільки ми впевнені» і «що вони, імовірно, зроблять далі».

AmonSul працювала безпосередньо з продуктовою командою клієнта над дизайном візуалізації — технічна спроможність була корисною лише тоді, коли аналітики могли зрозуміти побачене й діяти на його основі. Кілька ітерацій дизайну протестували з аналітиками з наявних корпоративних клієнтів замовника, перш ніж зробити фінальну реалізацію.

Постійні операції розвідки

Паралельно з трьома результатами AmonSul протягом усіх дванадцяти місяців надавала підтримку безперервних операцій розвідки:

• Аналіз IoC: перегляд і оцінка достовірності нових індикаторів, що надходять у потоки платформи
• Моніторинг даркнету: систематичний моніторинг джерел даркнету на згадки інфраструктури, бренду та персоналу клієнтів платформи
• Аналіз шкідливого ПЗ: технічний аналіз нових зразків шкідливого ПЗ для витягування TTP, характеристик інфраструктури та поведінкових шаблонів, притаманних атакуючим, для включення в Malware Galaxy

Ця оперативна робота мала дві мети: підтримувала граф сутностей актуальним під час побудови та перевіряла прогнози алгоритму на живій активності загроз майже в реальному часі.

Результат

До кінця дванадцятимісячної співпраці шар розвідки платформи докорінно змінився.

Час прогнозування атаки — від спостереження перших індикаторів до отримання пріоритезованого набору прогнозованих технік наступної стадії — скоротився на 50%: із середніх 4 годин аналітичного часу до менш ніж 2 годин. Алгоритм виконував базовий аналіз, який аналітики вже переглядали й уточнювали, а не будували з нуля.

Швидкість збагачення розвідки загроз зросла вдвічі. Граф сутностей Malware Galaxy з оцінками достовірності дозволив автоматично контекстуалізувати нові IoC і TTP щодо відомих атакуючих і кампаній, а перегляд аналітиками зосередили на винятках і граничних випадках, а не на базовій атрибуції.

Візуалізацію ланцюга атаки включили в аналітичний інтерфейс платформи, і вона отримала дуже позитивні відгуки клієнтів — зокрема за зменшення когнітивного навантаження під час з'єднання розрізнених фрагментів розвідки в активних розслідуваннях.

Співпраця не завершилася на дванадцяти місяцях. AmonSul продовжує працювати з клієнтом як постійний партнер з розвідки: розвиває Malware Galaxy в міру появи нових атакуючих і технік, уточнює алгоритм прогнозування на нових даних кампаній і надає оперативну підтримку розвідки, оскільки база клієнтів платформи зростає.

CTO клієнта охарактеризував цей проєкт як момент, коли шар розвідки платформи перетворився з можливості агрегації даних на справжній аналітичний інструмент — перехід від «ми показуємо, що ми знаємо» до «ми показуємо, що ми знаємо і чого очікувати далі».