Тактический, оперативный и стратегический Threat Intelligence: кому какой нужен и как не перепутать
Threat Intelligence (TI) приносит пользу ровно в тот момент, когда помогает принимать решения быстрее и точнее: SOC — в часах, IR и хантинг — в неделях, CISO — в кварталах. Самая дорогая ошибка — пытаться одним и тем же потоком закрыть всё сразу: тогда тактический слой превращается в шум, а стратегический — в «дайджест тревожности». Развести уровни TI можно по трём признакам: кто потребитель, какой горизонт и какое действие должно стать лучше. Ниже — компактная модель трёх уровней с минимально‑достаточными шагами по сбору/анализу и встраиванию в процессы.TI часто продают как универсальный «витамин безопасности»: выпил — и сразу стал зрелым. На практике TI скорее похож на хороший навигатор в тумане: двигатель (процессы, люди, инструменты) он не заменит, но заметно снижает шанс улететь в кювет, когда видимость нулевая. Проблема начинается, когда навигатор пытаются использовать как молоток: одним и тем же набором индикаторов закрывают и ночные блокировки, и охоты, и разговор о бюджете. Результат предсказуем: SOC получает шум и исключения «потому что мешает», а руководство — цифры без смысла.В зрелых методологиях TI повторяется один тезис: информация об угрозах ценна не сама по себе, а как материал для решений. Поэтому в авторитетных определениях TI обычно понимают широко: это и индикаторы компрометации, и поведение противника (TTP), и выводы из расследований, и рекомендации по обнаружению/сдерживанию/предотвращению. Из одного и того же «сырья» можно делать разные продукты — и именно здесь чаще всего всё и путают: разные продукты начинают требовать от одного потока одновременно скоростной автоматизации, глубокой аналитики и красивой коммуникации для руководства. Читать далее