Кіберрозвідка: характерні особливості, переваги, тенденції.

Останнім часом слід констатувати різке ускладнення конкурентної боротьби у світі. Вона набула глобального характеру, стала більш динамічною і менш прогнозованою. У цих умовах потрібні нові підходи до застосування методів та засобів розвідки у кібернетичному просторі, які дають можливість планувати проведення наступальних кібернетичних операцій з метою домінування у кібернетичному просторі певної бізнес-структури над противником (конкурентом) та заздалегідь з’ясувати та запобігти спрямованому кібернетичному впливу на власний бізнес.

Простий і швидкий доступ до мережі, з одного боку, автоматизує роботу з інформацією, а з іншого боку, робить цю інформацію більш вразливою для кіберзлочинців. Сьогодні противник (хакер) вміло і добре оснащений різними інструментами злому, що дає йому можливість легко використовувати будь-які вразливості в інформаційній системі бізнес-структур для здійснення несанкціонованого доступу (кібератак).


Кіберрозвідка (Threat Intelligence) – інструмент, який активно обговорюється, як мінімум, останні п’ять років. Однак в Україні він практично не застосовується.

Кіберрозвідку в тій чи іншій формі у світі зараз пропонують традиційні вендори (постачальники рішень з) ІТ-безпеки та вузькоспеціалізовані компанії; окремі вендори розробляють спеціальні інструменти для аналізу розвідданих і пошуку слідів кіберзлочинця у кіберпросторі.

Кіберрозвідка організовується та здійснюється в інтересах вирішення двох груп завдань, а саме добування розвідувальних відомостей з комп’ютерних систем або інформаційних мереж та їх обробка за допомогою апаратно-програмних засобів (комп’ютерна розвідка), а також добування і систематизація даних про потенційні джерела кіберзагроз (розвідка кібернетичних загроз).

Справа в тому, що всі можливості сучасних IT-рішень, які роблять світ сучасним, цифровим та зручним, також використовуються для підвищення ефективності атак кіберзлочинців. Боротьба з кіберзагрозами, які постійно розвиваються, вимагає відповідної, своєчасної та дієвої кіберрозвідки.

Атаки зловмисників у кіберпросторі сьогодні стають справжніми IT-проектами високопрофесійних команд. Вони мають виражений цільовий характер, коли під бажаний кінцевий результат набирається відповідна команда, її забезпечують необхідними інструментами, стратегією, планом, і, звичайно, відповідною винагородою. Подібні зловмисні цільові кібератаки потребують аналогічного цільового кіберзахисту. Традиційний напрям з інформаційної безпеки компаній у звичайній реалізації виявляється занадто повільним та негнучким, що не дозволяє бізнесу встигати за діями кіберзлочинців.

Потреба в розвідувальних даних у галузі інформаційної безпеки виникла не відразу. Довгий час галузь інформаційної безпеки лише реагувала на вже вчинені дії зловмисників, але при сучасних технологіях і стрімкої швидкості кібератак виникає гостра потреба передбачати кібератаки та розпізнавати їх за ранніми ознаками. Threat Intelligence – одна з таких технік, що дозволяє дізнаватися про кіберзагрози до того, як вони реалізувалися та спричинили шкоду компанії. Однак поки лише деякі профільні компанії можуть похвалитися наявністю фахівців, які працюють в напрямку кіберрозвідки. Ще менше компаній можуть констатувати, що мають реальний досвід або успішні проєкти в галузі кіберрозвідки. Але це не означає, що кіберрозвідка – це щось технічно складне або вимагає великих ресурсних вкладень.

Успішно відбивати кібератаки винахідливого супротивника з власною системою кіберрозвідки можна, тільки маючи аналогічні розвіддані про його цілі, тактику, інструментарій, вивчаючи його активність, вибудовуючи прогнози розвитку кіберзагроз. Саме цим займається Threat Intelligence.

Кіберрозвідка – це один з тих інструментів і навичок, які здатні превентивно детектувати кіберзагрозу, оцінити і передбачити можливі сценарії її реалізації стосовно конкретної компанії, заздалегідь усунути наявні уразливості та своєчасно запропонувати комплексні заходи кіберзахисту, які найбільш адекватно протидіятимуть методам атакуючого.

Згідно з даними Google Trends, за останні п'ять-вісім років інтерес до технологій Threat Intelligence зріс багаторазово. Одним з основних чинників успішного функціонування корпоративної системи інформаційної безпеки, а отже, і мінімізації ризиків, як фінансових, так й репутаційних, є своєчасне викриття та нейтралізація кіберзагроз. Зростання уваги до Threat Intelligence, передусім, обумовлено зростанням обсягу даних про кіберзагрози та вразливості, які вже не встигають та не можуть самостійно обробляти команди аналітиків з кібербезпеки у компаніях. Переважно в компаніях просто відсутня необхідна кількість фахівців для виконання цього завдання. Існуючі рішення, застосовані для обміну даними щодо кіберзагроз, не завжди можуть забезпечити необхідний рівень роботи аналітиків з кібербезпеки. Тому виникла необхідність впровадження процесу кіберрозвідки (Threat Intelligence).

До технологій Threat Intelligence, які найчастіше використовуються для виявлення кіберзагроз і кібератак, відносяться:

· викриття кіберзагроз і кібератак;

· реагування на кіберінциденти;

· блокування кіберзагроз;

· управління кіберзагрозами (ідентифікація кіберзагроз);

· управління уразливостями кібербезпеки;

· поінформованість про кібербезпеку;

· «полювання за кіберзагрозами» (проактивний захист);

· пріоритизація заходів кібербезпеки;

· моделювання кіберзагроз.

Значення та цінність кіберрозвідки для компанії – дуже значні: Threat Intelligence знаходиться в тісному взаємозв'язку з іншими процесами інформаційної безпеки – реагуванням на кіберінциденти, управлінням кіберризиками, управлінням уразливостями, виявленням кібершахрайства та операційною діяльністю підрозділу з інформаційної безпеки. Підвищити ефективність даних процесів, якість та швидкість прийняття управлінських рішень у межах цих процесів – це і є, по суті, головне завдання кіберрозвідки.

У першу чергу, використання Threat Intelligence в рази підвищує якість та швидкість реагування на кіберінциденти. Коли приходить інформація про нову кіберзагрозу, можна оперативно поставити її на моніторинг, паралельно блокуючи деякі індикатори компрометації. Знаючи контекст, розуміючи, яким чином буде відбуватися кібератака, всі можливі варіанти її розвитку і яким чином ця кіберзагроза могла потрапити в інфраструктуру, можна вчасно її виявити, обробити у межах конкретного кіберінциденту, побудувати для неї відповідні сценарії реагування.

З метою управління вразливостями дані про кіберзагрози допомагають в розстановці пріоритетів та визначення критичності цих вразливостей. Threat intelligence надає необхідну фактуру для аналізу та оцінки кіберризиків – інформацію про актуальні кіберзагрози, отриману на тактичному та стратегічному рівнях кіберрозвідки. В результаті процес ризик-менеджменту стає більш практичним та якісним.

Threat Intelligence дозволяє вибудовувати операційну діяльність підрозділу з інформаційної безпеки компанії, діяти проактивно, планувати, впроваджувати та реалізовувати захисні заходи з метою кіберзахисту компанії, орієнтуючись на актуальний ландшафт кіберзагроз, а не наосліп.

Використовуючи зібрану кіберрозвідкою інформацію про кіберзагрози та додавши до неї знання про важливість бізнес-процесів, бізнес-систем та активів, можна проактивно управляти кіберризиками, знижуючи економічну вигоду кібератак на конкретну компанію.

Інформація про кіберзагрози – життєво важливий компонент ефективного кіберзахисту бізнесу. Вона дозволяє передбачити кібератаки і готуватися до них заздалегідь, а не займатися дорогим та тривалим усуненням їх наслідків.

Але недостатньо на корпоративному рівні просто впровадити технологію Threat Intelligence. Для того, щоб вона почала працювати, потрібно проаналізувати ситуацію щодо кібербезпеки у компанії та визначити можливі кіберзагрози, потім на основі зібраних даних передбачити відповідні заходи попередження (але це вже питання з організації роботи SOC (Security operation center) на корпоративному рівні).

Таким чином, Threat Intelligence – це важливий інструмент для прийняття рішень у сфері корпоративної інформаційної безпеки. Цей інструмент дає розуміння ландшафту кіберзагроз для прогнозування можливих кібератак та реалізації адекватних заходів кіберзахисту; підвищує якість та швидкість реагування на кіберінциденти, тим самим дозволяючи мінімізувати можливий збиток. Інформація про актуальні кіберзагрози допомагає в більш точній оцінці ризиків інформаційної безпеки компанії та планування необхідних заходів з їх обробки.