مدیریت متمرکز اطلاعات تهدید چه تغییری در امنیت سازمان‌ها ایجاد می‌کند؟

شرکت CrowdStrike در مطلبی در وبلاگ رسمی خود، قابلیت Third-Party IOC Management را در پلتفرم Falcon Next-Gen SIEM توضیح داده است. این قابلیت برای سازمان‌هایی طراحی شده که اطلاعات مربوط به تهدیدات سایبری را از چند منبع دریافت می‌کنند و می‌خواهند این اطلاعات را در کنار داده‌های امنیتی خود به کار بگیرند.

اطلاعات تهدید ممکن است از شرکت‌های ارائه‌دهنده خدمات اطلاعات تهدید، مراکز اشتراک‌گذاری اطلاعات امنیتی، منابع دولتی، پژوهش‌های متن‌باز یا بررسی‌های داخلی تیم امنیتی به دست آمده باشد. مسئله زمانی ایجاد می‌شود که این داده‌ها در فایل‌ها، سامانه‌های مختلف و ابزارهای جداگانه نگهداری شوند و ارتباط آن‌ها با رخدادهای ثبت‌شده در زیرساخت سازمان به‌سادگی برقرار نشود.

کراوداسترایک می‌گوید قابلیت مورد بحث با متمرکزکردن دریافت، پالایش و مدیریت چرخه عمر این اطلاعات، به تیم‌های امنیتی کمک می‌کند داده‌های مرتبط‌تر را در فرایندهای شناسایی و بررسی تهدید به کار بگیرند.

شاخص تهدید یا IOC چیست؟

شاخص نفوذ یا تهدید (Indicator of Compromise) که به اختصار IOC نامیده می‌شود، نشانه‌ای فنی است که می‌تواند به شناسایی فعالیت‌های مشکوک یا زیرساخت‌های مرتبط با یک تهدید کمک کند.

برای مثال، یک تیم امنیتی ممکن است پس از بررسی یک حمله، نشانی اینترنتی یک سرور مخرب یا هش یک فایل مشکوک را شناسایی کند. این اطلاعات می‌توانند در بررسی سایر دستگاه‌ها و رویدادهای سازمان نیز کاربرد داشته باشند.

بااین‌حال، وجود یک شاخص به‌تنهایی همیشه اثبات نمی‌کند که حمله‌ای در حال وقوع است. شاخص باید با زمان وقوع، اطلاعات تکمیلی و سایر شواهد امنیتی مقایسه شود تا تحلیلگر بتواند درباره اهمیت آن تصمیم بگیرد.

قابلیت معرفی‌شده در Falcon Next-Gen SIEM برای مدیریت همین نوع داده‌ها و استفاده از آن‌ها در کنار اطلاعات ثبت‌شده در محیط سازمان طراحی شده است.

چهار قابلیت اصلی مدیریت شاخص‌های تهدید در Falcon

بر اساس توضیحات رسمی کراوداسترایک، این قابلیت چهار کارکرد اصلی دارد.

۱. دریافت شاخص‌ها از منابع مختلف

سازمان‌ها می‌توانند شاخص‌های تهدید را از منابع بیرونی و بررسی‌های داخلی وارد سامانه کنند. این شاخص‌ها شامل نشانی‌های IP، دامنه‌ها، نشانی‌های وب و هش فایل‌ها هستند.

این قابلیت از استانداردهای STIX/TAXII، رابط‌های برنامه‌نویسی کاربردی (API) و بارگذاری مستقیم اطلاعات پشتیبانی می‌کند. همچنین، سامانه می‌تواند شاخص‌های تکراری دریافت‌شده از منابع مختلف را تجمیع کند تا نگهداری اطلاعات ساده‌تر شود.

۲. استفاده از اطلاعات تهدید در شناسایی و شکار تهدید

پس از ورود اطلاعات، تیم امنیتی می‌تواند از فهرست‌های مدیریت‌شده شاخص‌ها در قواعد همبستگی و جست‌وجوهای شکار تهدید استفاده کند.

برای نمونه، اگر یک مرکز اشتراک‌گذاری اطلاعات امنیتی درباره زیرساخت‌های مرتبط با یک کارزار فیشینگ هشدار دهد، تیم امنیتی می‌تواند شاخص‌های دریافت‌شده را با داده‌های ثبت‌شده در محیط سازمان مقایسه کند.

این فرایند به شناسایی رویدادهای مرتبط کمک می‌کند؛ هرچند نتیجه نهایی همچنان به کیفیت داده‌ها، تنظیمات سامانه و بررسی شواهد بستگی دارد.

۳. مدیریت چرخه عمر شاخص‌ها

یکی از چالش‌های استفاده از اطلاعات تهدید، قدیمی‌شدن داده‌هاست. یک دامنه یا نشانی IP که در گذشته با فعالیت مخرب مرتبط بوده، ممکن است در زمان دیگری تغییر کاربری دهد یا دیگر برای شناسایی تهدید موردنظر مناسب نباشد.

کراوداسترایک اعلام کرده است که قابلیت مدیریت شاخص‌ها، تنظیم تاریخ انقضا و کنترل چرخه عمر آن‌ها را فراهم می‌کند. این ویژگی می‌تواند به کاهش هشدارهای غیرضروری ناشی از شاخص‌های قدیمی و کاهش کار دستی تحلیلگران کمک کند.

البته انقضای یک شاخص لزوماً به معنای بی‌خطرشدن آن نیست؛ سازمان‌ها باید سیاست‌های نگهداری اطلاعات را متناسب با نوع تهدید و نیازهای عملیاتی خود تنظیم کنند.

۴. ترکیب اطلاعات عمومی با داده‌های اختصاصی سازمان

هر سازمان با مجموعه‌ای متفاوت از دارایی‌ها، کاربران، نرم‌افزارها و تهدیدات روبه‌رو است. به همین دلیل، اطلاعات عمومی تهدید به‌تنهایی همیشه برای تشخیص همه فعالیت‌های مشکوک کافی نیست.

این قابلیت امکان استفاده از شاخص‌های دریافت‌شده از منابع بیرونی را در کنار اطلاعات اختصاصی سازمان و داده‌های امنیتی پلتفرم فراهم می‌کند.

به این ترتیب، تحلیلگران می‌توانند رخدادها را با توجه به شرایط محیط خود بررسی کنند، نه اینکه صرفاً به فهرستی عمومی از شاخص‌های تهدید تکیه داشته باشند.

این قابلیت چگونه به بررسی یک حمله فیشینگ کمک می‌کند؟

کراوداسترایک در توضیح کاربرد این قابلیت، نمونه‌ای از یک سازمان فعال در حوزه خدمات مالی را مطرح می‌کند که اطلاعات مربوط به یک کارزار فیشینگ هدفمند را از یک شبکه اشتراک‌گذاری اطلاعات دریافت کرده است.

در چنین شرایطی، تیم امنیتی می‌تواند شاخص‌های مرتبط را وارد Falcon کند، موارد تکراری را مدیریت کند و سپس آن‌ها را برای جست‌وجو در داده‌های امنیتی و ایجاد قواعد همبستگی به کار بگیرد.

هدف این است که اطلاعات دریافتی به بخشی از فرایند واقعی بررسی رخداد تبدیل شود؛ نه اینکه صرفاً در یک گزارش یا فایل جداگانه باقی بماند.

این مثال، سناریویی توضیحی از کاربرد محصول است و به‌خودی‌خود به معنای گزارش یک حمله واقعی به بانک یا مؤسسه مالی مشخص نیست. 

ارتباط این قابلیت با هوش مصنوعی در امنیت سایبری

کراوداسترایک این قابلیت را بخشی از حرکت به سمت مراکز عملیات امنیت مبتنی بر عامل‌های هوش مصنوعی یا Agentic SOC معرفی می‌کند.

در چنین محیطی، عامل‌های هوش مصنوعی می‌توانند در تحلیل رخدادها، ارتباط‌دادن داده‌های مختلف و ارائه زمینه برای تصمیم‌گیری به تحلیلگران کمک کنند. بااین‌حال، کیفیت این فرایندها به کیفیت و ارتباط داده‌های ورودی وابسته است.

اگر اطلاعات تهدید پراکنده، تکراری یا قدیمی باشند، سامانه ممکن است با دشواری بیشتری در تفسیر رویدادها مواجه شود. در مقابل، اطلاعات متمرکز و مرتبط می‌توانند زمینه مناسب‌تری برای تحلیل فراهم کنند.

بااین‌حال، انتشار این قابلیت به‌تنهایی اثبات نمی‌کند که تمام مراحل شناسایی و پاسخ‌گویی به حملات به‌صورت خودکار انجام می‌شوند یا نیازی به بررسی انسانی وجود ندارد.

آیا این قابلیت به معنای حذف ابزارهای دیگر امنیتی است؟

خیر. توضیحات رسمی شرکت نشان می‌دهد که هدف قابلیت، واردکردن و عملیاتی‌کردن اطلاعات منابع مختلف در Falcon Next-Gen SIEM است؛ نه لزوماً جایگزین‌کردن تمام منابع اطلاعات تهدید یا ابزارهای امنیتی موجود.

سازمان‌ها همچنان باید کیفیت منابع، نحوه یکپارچه‌سازی، سیاست‌های دسترسی و میزان تناسب محصول با زیرساخت خود را ارزیابی کنند.

همچنین، در مطلب ۳۰ اکتبر اطلاعاتی درباره قیمت این قابلیت، شرایط دقیق مجوز استفاده یا میزان کاهش زمان تشخیص در محیط مشتریان ارائه نشده است. ازاین‌رو، نمی‌توان بدون اطلاعات تکمیلی درباره هزینه یا میزان اثربخشی عملی آن نتیجه‌گیری قطعی کرد.

جمع‌بندی

قابلیت Third-Party IOC Management در Falcon Next-Gen SIEM بر یک مسئله مشخص در عملیات امنیت تمرکز دارد: تبدیل اطلاعات پراکنده تهدید به داده‌هایی که بتوان در فرایندهای شناسایی و بررسی رخداد از آن‌ها استفاده کرد.

پشتیبانی از چند روش ورود اطلاعات، مدیریت شاخص‌های تکراری، تنظیم چرخه عمر و استفاده از شاخص‌ها در قواعد همبستگی می‌تواند بخشی از کار دستی تیم‌های امنیتی را کاهش دهد.

بااین‌حال، ارزش واقعی چنین قابلیتی به کیفیت منابع اطلاعات تهدید، تنظیمات سازمان و نحوه تفسیر نتایج بستگی دارد. برای سازمان‌های ایرانی نیز درس اصلی، اهمیت مدیریت منظم و اعتبارسنجی اطلاعات تهدید است؛ نه این ادعا که این خبر به‌تنهایی از وقوع حمله‌ای جدید علیه کاربران کشور حکایت دارد.

منابع

• CrowdStrike — Build an Intelligence Advantage with Falcon Next-Gen SIEM
  منتشرشده در ۳۰ اکتبر ۲۰۲۶.
  مشاهده مطلب رسمی کراوداسترایک

• CrowdStrike — Unveils Falcon Next-Gen SIEM Support for Microsoft Defender for Endpoint, Advancing Open Security Architecture
  منتشرشده در ۲۳ مارس ۲۰۲۶. این اطلاعیه نیز به مدیریت شاخص‌های تهدید شخص ثالث اشاره دارد و برای تفکیک قابلیت‌های مطرح‌شده پیشین از توضیحات جدیدتر اهمیت دارد.
  اطلاعیه رسمی کراوداسترایک