Năng lực Threat intel và Leak Engine
Năng lực · Threat intelligence
Tình báo mối đe dọa tự đi tìm cho bạn.
Phần lớn nguồn threat intelligence rốt cuộc chỉ là một danh sách không ai kịp đọc. ApexAI gom các nguồn về một hub, xác định mỗi IOC dùng được vào việc gì, săn IOC mới trên chính những alert bạn đã có, và gắn tài khoản bị lộ, tài sản bị phơi nhiễm với đúng thực thể sở hữu chúng.
Trạng thái: Bản xem trước Hub threat intel, các connector, ưu tiên CVE và săn IOC tự động đang chạy trên dữ liệu thật; engine khai phá dữ liệu lộ lọt chuyên sâu chạy ở chế độ quan sát và chưa phát thông báo.
Vấn đề của các nguồn feed
Đội bảo mật hiếm khi thiếu threat intelligence. Thứ họ thiếu là thời gian để biến nó thành hành động. Feed thương mại, danh sách mã nguồn mở, cộng đồng chia sẻ và cổng thông tin của nhà cung cấp mỗi ngày đổ về hàng nghìn giá trị, mỗi nguồn một định dạng, một mức tin c ậy. Có giá trị đáng chặn, có giá trị chỉ đáng xem thêm, và có giá trị chỉ là ngữ cảnh, sẽ thành nhiễu ngay khi bị coi là kết luận.
Trong khi đó, hai tín hiệu hữu ích nhất lại nằm ngoài SOC: kẻ tấn công nhìn thấy gì về tổ chức của bạn từ Internet, và tài khoản nào của bạn đã xuất hiện trong một vụ lộ lọt. Khi những dữ kiện này không được gắn với host và người dùng đứng sau alert, chúng chỉ nằm trong một báo cáo riêng.
ApexAI làm gì với threat intelligence
Một hub cho mọi nguồn
Threat intel thương mại, collection STIX/TAXII 2.1, nền tảng TIP mã nguồn mở và các feed mở đã sàng lọc được đồng bộ về một nơi theo lịch, kèm lần thành công và lần lỗi gần nhất của từng nguồn.
Mỗi IOC có vai trò rõ ràng
Mọi giá trị được chuẩn hoá và đánh giá xem dùng vào việc gì: đáng chặn, đáng săn, hay chỉ là ngữ cảnh. Việc có tên trong một danh sách được ghi là "có trong danh sách", không bao giờ là bằng chứng độc hại.
IOC mới được săn tự động
Khi có IOC mới, ApexAI rà lại các alert và thực thể đã thấy, xem lại các case chứa nó, để threat intel soi ngược về quá khứ chứ không chỉ khớp với dữ liệu đến sau.
Lỗ hổng trong đúng bối cảnh
Dữ liệu lỗ hổng công khai, gồm danh sách lỗ hổng đang bị khai thác và khả năng bị khai thác, được khớp với tài sản bạn thực sự phơi ra ngoài và xếp ưu tiên kèm lý do viết rõ.
Lộ lọt gắn với tài sản
Các vụ lộ tài khoản và dữ liệu liên quan tới domain của bạn được gắn với thực thể người dùng và host bị ảnh hưởng, rồi được săn trên alert.
Chỉ nâng, không bào chữa
Threat intel bên ngoài có thể làm một case khẩn cấp hơn. Nó không bao giờ tự đóng case hay hạ mức ưu tiên.
Từ một IOC mới đến một phát hiện
01
Thu thập
Feed và nền tảng bạn kết nối được kéo về theo lịch riêng; giá trị được làm sạch, định kiểu và loại trùng.
02
Chọn lọc
Mỗi IOC được gán vai trò, để giá trị đáng chặn, đầu mối săn và ngữ cảnh nền được tách bạch.
03
Săn ngược
IOC mới, lỗ hổng đang phơi nhiễm và tài khoản bị lộ được săn trên alert và thực thể đã lưu.
04
Dẫn nguồn
Mỗi lần trúng thành một phát hiện nêu rõ alert và nguồn threat intel, được ghi là do AI tìm thấy cho tới khi một người xác nhận hoặc bác bỏ.
05
Đưa vào case
Phát hiện đi vào case theo thực thể và bản tóm tắt điều tra, nằm cạnh bằng chứng hành vi chứ không thay thế nó.
Tài khoản và dữ liệu của bạn được xử lý thế nào
- Mật khẩu t ừ các vụ lộ lọt không bao giờ được lưu dạng rõ, không ghi vào log và không hiển thị trên màn hình hay trong thông báo.
- Việc tìm kiếm lộ lọt chỉ áp dụng cho domain và địa chỉ thuộc sở hữu đã xác minh của tổ chức bạn.
- Tra cứu tự động có gửi giá trị của bạn ra dịch vụ bên thứ ba mặc định tắt cho tới khi bạn bật; việc tải feed theo lịch chỉ kéo dữ liệu vào.
- Địa chỉ nội bộ, tên nội bộ và domain của chính bạn không bao giờ bị gửi ra ngoài khi làm giàu dữ liệu cho case.
- Khoá API của mọi nguồn threat intel lấy từ môi trường của bạn, không bao giờ hiển thị hay ghi log.
Các nhóm nguồn
| Nhóm | Ví dụ dữ liệu mang lại | Dùng vào việc gì |
|---|---|---|
| Threat intel thương mại | IOC độ tin cậy cao kèm nhóm tấn công và họ mã độc, ví dụ CrowdStrike Falcon Intelligence | Chọn lọc, săn, ngữ cảnh case |
| Nền tảng TIP và chia sẻ | Collection STIX/TAXII 2.1 và nền tảng threat intel mã nguồn mở bạn đang vận hành | Chọn lọc, săn, ngữ cảnh case |
| Feed mở | Danh sách mã nguồn mở đã sàng lọc về URL độc hại, máy chủ C2 và IOC mã độc | Săn và ngữ cảnh, cân theo giá trị đo được |
| Threat intel lỗ hổng | Bản ghi CVE công khai, danh sách lỗ hổng đang bị khai thác, khả năng bị khai thác | Xếp ưu tiên tài sản đang phơi nhiễm |
| Bề mặt tấn công và lộ lọt | Phát hiện tài sản bên ngoài và giám sát lộ lọt cho domain của bạn | Gắn phơi nhiễm và tài khoản bị lộ với thực thể |
Câu hỏi thường gặp
Tôi có kết nối được nền tảng threat intel đang dùng không?
Có. ApexAI đọc collection STIX/TAXII 2.1 và các nền tảng threat intel mã nguồn mở phổ biến, bên cạnh threat intel thương mại như CrowdStrike Falcon Intelligence và một danh mục feed mở đã được sàng lọc.
Trúng một blocklist có nghĩa là alert độc hại không?
Không. Giá trị có trong danh sách chỉ được ghi là "có trong danh sách". Một case có phải tấn công hay không được quyết định từ bằng chứng hành vi; threat intel chỉ có thể tăng trọng số, không bao giờ đóng case.
ApexAI có lưu mật khẩu bị lộ không?
Không có mật khẩu nào được lưu dạng rõ, ghi log hay hiển thị. Tài khoản bị lộ được gắn với thực thể người dùng để bạn xử lý, mà mật khẩu không bị phơi ra thêm lần nào nữa.
Dữ liệu của chúng tôi có rời môi trường để làm giàu không?
Chỉ khi bạn cho phép. Tra cứu tự động ra ngoài mặc định tắt, giá trị nội bộ không bao giờ bị gửi đi, và việc tìm lộ lọt chỉ giới hạn trong domain đã xác minh của bạn.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.