Открытые фиды
Feodo Tracker — C2-серверы ботнетов Emotet, Dridex, Qakbot. Spamhaus DROP — сети спама и ботнетов. URLhaus — вредоносные URL и домены.
Threat Intelмодуль SOC-платформы Пабион
Threat Intelligence в Пабион: известные угрозы узнаются сразу
Pabion сверяет IP-адреса, домены и URL из событий агентов и журналов с базами вредоносной инфраструктуры. Совпадение мгновенно становится алертом, а SOAR может сразу заблокировать адрес.
Первый компьютер под защитой — бесплатно. Threat Intel входит в Pabion вместе с остальными модулями.
Возможности
Что умеет Threat Intel в Пабион
Свои индикаторы
IP, домены и URL из ваших расследований и рассылок CERT добавляются вручную с описанием.
Автообновление
Ленты обновляются автоматически и по кнопке «Обновить ленты».
Связка с реакцией
Алерт «IoC: …» видят XDR и SOAR: плейбук добавляет Auto-Block в NGFW.
- 1Pabion загружает свежие индикаторы из фидов.
- 2Каждое событие агента и syslog проверяется на совпадение с базой.
- 3Совпадение создаёт алерт с указанием индикатора и источника.
- 4XDR связывает его с другими сигналами хоста, SOAR блокирует адрес.
Сценарии
Что это значит на практике
Обращение к C2
Рабочая станция стучится на адрес из Feodo Tracker — алерт, блокировка IP и проверка хоста в EDR.
Ссылка из фишинга
Пользователь открыл URL из базы URLhaus — событие сразу попадает в журнал с пометкой IoC.
Индикаторы от CERT
Получили список IP от регулятора — добавили в Pabion, совпадения начинают ловиться сразу.
Вопросы
Частые вопросы о Threat Intel
Нужна ли платная подписка на фиды?+
Нет, встроенные фиды открытые и обновляются автоматически.
Можно ли загрузить свой список?+
Да, индикаторы добавляются вручную: значение, тип и описание.
Платформа
Threat Intel работает вместе с другими модулями Пабион
Подключите Threat Intel Пабион
Регистрация за пару минут, первый компьютер — бесплатно. Все модули работают с одного агента.