Источники информации о киберугрозах: открытые данные, разведка, теневая сеть

Threat Intelligence (TI), или разведка угроз, представляет собой знания об угрозах, полученные в результате анализа и интерпретации данных. Это не просто набор технических индикаторов или статистики, а полноценные знания, которые можно применить для принятия решений в сфере информационной безопасности. Классическими примерами разведки являются направления FININT (финансовая разведка), HUMINT (разведка через людей), SIGINT (разведка сигналов), GEOINT (геопространственная разведка) и другие.

Но ведь мы здесь говорим о кибербезопасности, а значит, вводим новое понятие — Cyber Threat Intelligence (CTI), или «разведка киберугроз». Оно является одним из направлений большой разведки угроз (TI) и отвечает за все угрозы в киберпространстве. По сути, CTI — это информация об актуальных угрозах и группировках киберпреступников, позволяющая организациям изучить цели, тактику и инструменты злоумышленников для выстраивания эффективной стратегии защиты.

В CTI выделяют три уровня:

Подведём небольшой итог:

Где специалисту киберугроз брать эти актуальные знания об угрозах, атаках, методах атакующих? Аналитики CTI работают с огромным массивом информации, поступающей из разных источников. Чтобы навести порядок, принято разделять их на два ключевых типа: внутренние и внешние.

Это данные, которые собираются внутри самой организации с помощью средств защиты и мониторинга. Сюда относятся:

Преимущество таких источников в том, что они позволяют видеть именно те угрозы, которые реально направлены против вашей компании. Например, система защиты почты может заблокировать письмо с вредоносным вложением. На первый взгляд, это стандартная активность, которая происходит ежедневно, но при детальном анализе и другом взгляде, со стороны направления разведки киберугроз, она может оказаться частью целевой кампании. В рамках CTI специалисты могут определить: что за вложение было использовано, к какой группировке относится атака, какие тактики и техники применяют злоумышленники. Такой анализ позволяет не просто реагировать на факт атаки, а выстраивать проактивную защиту — готовиться к действиям противника заранее.

С внутренними источниками мы разобрались, теперь нам осталось понять, как специалисты по разведке киберугроз анализируют внешние источники. Далее разберём открытые и закрытые источники данных, в том числе форумы, куда посторонним вход запрещён.

Когда мы говорим об открытых источниках, важно помнить: «открытый» не всегда значит «официальный» или «безопасный». Это просто означает, что доступ к данным не требует взлома, внутреннего доступа или нарушений закона.

Разведка через открытые источники (Open Source Intelligence, OSINT) — это основа разведки киберугроз, потому что значительная часть информации об атакующих, инструментах и жертвах находится в публичном пространстве.

В отличие от открытых, закрытые источники требуют специальных условий доступа: подписки, членства в профессиональном сообществе, сотрудничества с вендорами или государственных разрешений.

Закрытые данные обычно дороже (буквально и в смысле ценности), поскольку:

Теневая сеть (Dark Web) — это часть интернета, которая не индексируется обычными поисковыми системами и доступ к которой чаще всего осуществляется через анонимизирующие технологии (Tor, I2P, Freenet).

Там расположены форумы, маркетплейсы и чаты, где киберпреступники обмениваются данными, инструментами и услугами.

Для аналитика CTI такие ресурсы — ценный источник информации, но работать с ними нужно аккуратно, соблюдая законы и этику.