Фиды индикаторов компрометации
IOC в машиночитаемых форматах (STIX 2.x / TAXII, CSV, JSON, API), готовые к загрузке в ваши системы.
Нет услуг
Threat Intelligence
Аналитика и фиды киберугроз (Threat Intelligence)
Подключаем источники Threat Intelligence и встраиваем данные об актуальных угрозах в SIEM, EDR и другие средства защиты, а также в процессы SOC и управления уязвимостями. Отбираем релевантные индикаторы и аналитику под отрасль и инфраструктуру, чтобы команда быстрее понимала, что действительно угрожает организации.
Что это даёт
Что вы получаете от Threat Intelligence
Threat Intelligence усиливает то, что уже работает у заказчика, а не заменяет отсутствующие процессы защиты.
Аналитические отчёты
Регулярные и точечные обзоры актуальных для отрасли угроз, кампаний и уязвимостей — для ИБ-менеджмента и SOC.
Профили группировок и кампаний
Тактики, техники и процедуры (TTP) по MITRE ATT&CK, целевые отрасли и инфраструктура — с указанием уровня уверенности в атрибуции.
Настроенная интеграция
Загрузка индикаторов, обогащение событий контекстом и правила корреляции в SIEM, SOAR, EDR и других системах защиты.
Кому нужен и кому пока рано
Когда Threat Intelligence оправдан
Оправдан, если у вас уже есть на что опереться, — и пока рано, если базовые процессы защиты ещё не закрыты.
Есть SIEM, EDR или иные системы детектирования
В которые индикаторы и правила можно загрузить и которые кто-то сопровождает.
Организация — вероятная цель целевых атак
КИИ, финансовый сектор, госсектор, промышленность, крупный ритейл и e-commerce.
Нужна приоритизация уязвимостей
Не по общим спискам CVE, а по тому, что реально эксплуатируется в атаках на отрасль.
Требуется взаимодействие с регуляторами
ГосСОПКА/НКЦКИ, ФинЦЕРТ или отраслевые площадки обмена индикаторами — если это применимо к организации.
Пока рано: нет систем-потребителей
Нет систем, куда индикаторы можно загружать, и процесса их обработки — технические фиды подключать рано, аналитические отчёты можно использовать отдельно.
Пока рано: не закрыты базовые меры защиты
Периметр, обновления, антивирус — сначала дешевле закрыть известное, чем искать неизвестное.
Форматы и уровни аналитики
Форматы поставки и уровни аналитики
Формат подбирается под то, кто и как будет использовать данные — рассылка одного и того же материала всем подряд не даёт результата ни на одном из уровней.
Как соотносится с соседними услугами. Threat Intelligence — поставщик данных и контекста для остальных процессов, а не самостоятельный детектирующий контур. Она отвечает на вопрос «что происходит вовне и что из этого угрожает именно нам», тогда как хантинг и мониторинг отвечают на вопрос «что происходит у нас». Если уже есть подозрительная активность или конкретный индикатор компрометации — первичная задача проверить его по вашей телеметрии и перейти к реагированию на инцидент.
Фиды IOC. Потоки IP-адресов, доменов, хешей и URL с контекстом, источником и уровнем доверия.
Отчёты. Еженедельные, ежемесячные и точечные обзоры угроз, кампаний и уязвимостей.
Профили TTP. Аналитика по группировкам: тактики, техники, инфраструктура, целевые отрасли.
Выделенный аналитик. Постоянное сопровождение с приоритизацией данных под вашу инфраструктуру.
Стратегический и операционный уровень. Тенденции и отраслевые риски для руководства, профили кампаний для ИБ-менеджмента.
Тактический и технический уровень. Сценарии атак и TTP для SOC, сырые индикаторы для автоматической загрузки в системы.
Процесс
Как мы выстраиваем подключение и работу с Threat Intelligence
Прозрачный процесс позволяет понимать, что происходит на каждом этапе и какой результат он даёт.
Определяем профиль угроз.
Какие группировки, кампании, уязвимости и техники наиболее актуальны для вашей отрасли и инфраструктуры.
Инвентаризация систем-потребителей.
Куда индикаторы и правила реально можно загрузить: SIEM, EDR, NGFW, WAF — и кто их сопровождает.
Подбираем источники.
Сочетание коммерческих фидов, открытых источников (OSINT), отраслевых обменов и узкоспециализированных источников под профиль угроз.
Настраиваем интеграцию.
Нормализуем данные, устраняем дубли, задаём TTL и правила исключения устаревших индикаторов, обогащаем события SIEM контекстом.
Запускаем регулярную поставку.
Отчёты и оповещения в согласованном формате и периодичности.
Настраиваем обратную связь.
Фиксируем, какие индикаторы сработали, какие оказались нерелевантны, донастраиваем источники и фильтры.
Источники данных и покрытие
Откуда берутся данные
Сочетание источников подбирается под отрасль и модель угроз заказчика.
01
Коммерческие фиды
- Признанные поставщики Threat Intelligence с проверенным качеством и уровнем доверия к данным
02
Открытые источники (OSINT)
- Форумы, публичные репозитории индикаторов, исследования вендоров
03
Государственные и отраслевые источники
- НКЦКИ / ГосСОПКА, ФинЦЕРТ Банка России и отраслевые площадки — если применимы и доступны организации
04
Дополнительные источники
- Внутренняя телеметрия заказчика, результаты Threat Hunting и данные специализированных сенсоров, если доступны в проекте
05
КИИ и госсектор
- Приоритет — данные и информационный обмен в рамках взаимодействия с НКЦКИ/ГосСОПКА, если применимо и доступно
06
Финансовый сектор
- Приоритет — ФинЦЕРТ; для остальных отраслей — коммерческие источники и OSINT с отраслевым фокусом
Эскалация и регуляторный контекст
Эскалация при критичной находке и регуляторный контекст
Границы ответственности и регуляторные сроки фиксируем заранее, до начала работ.
Эскалация при критичной находке
Порядок согласуется на установочной сессии и фиксируется в договоре: представители заказчика и порядок их замещения, целевое время оповещения о критичном индикаторе, порядок действий при недоступности контакта, право на активные действия (по умолчанию — нет, блокировки выполняет заказчик), порядок работы вне рабочего времени. Threat Intelligence включает передачу индикатора, контекста и рекомендаций; блокировка на периметре, локализация и расследование инцидента — отдельный объём работ, если иное не предусмотрено договором.
Регуляторный контекст
Для субъектов КИИ и организаций, на которые распространяется ч. 4 ст. 9 187-ФЗ, действует порядок информирования по приказу ФСБ России от 25.12.2025 № 547 (с 30.01.2026): значимый объект КИИ — не позднее 3 часов с момента обнаружения; иные объекты КИИ и ресурсы органов и организаций — не позднее 24 часов; компьютерная атака — не позднее 24 часов. Сроки исчисляются от момента обнаружения инцидента, а не от момента получения индикатора. Для непрерывного взаимодействия с ГосСОПКА — отдельный порядок по приказу ФСБ России № 548. Для операторов персональных данных — уведомление Роскомнадзора в течение 24 часов, результаты расследования — в течение 72 часов (152-ФЗ, ч. 3.1 ст. 21). Для финансового сектора — обмен через ФинЦЕРТ Банка России.
Метрики и конфиденциальность
Как оцениваем результат и что с конфиденциальностью
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.
- Релевантность поставляемых индикаторов вашей инфраструктуре и отрасли
- Доля индикаторов, реально загруженных и использованных в детектировании
- Время от появления индикатора у источника до его загрузки в ваши системы
- Доля нерелевантных и ложноположительных срабатываний по индикаторам
- Покрытие согласованного набора тактик и техник MITRE ATT&CK
- Объём поставленных индикаторов сам по себе показателем эффективности не считаем — оценку строим на релевантности и реальном использовании данных
- Конфиденциальность: NDA, защищённые каналы передачи данных, ограничение доступа внутри команды и журналирование обращений, ограниченный срок хранения материалов с возвратом или уничтожением по окончании работ
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- Чем это отличается от антивирусных баз или репутационных списков в NGFW? — встроенные репутационные списки — базовый, универсальный слой защиты. Threat Intelligence добавляет контекст, отраслевую специфику и профили конкретных группировок, актуальных именно для вас.
- У нас нет SIEM. Есть ли смысл подключать фиды? — ограниченно: индикаторы можно загружать напрямую в NGFW, EDR или использовать точечно при разборе инцидентов. Полноценная автоматизация доступна при наличии SIEM.
- Как часто обновляются фиды? — зависит от источника: часть фидов обновляется в реальном времени, аналитические отчёты — по согласованному расписанию, от еженедельного до ежемесячного.
- Можно ли получать только аналитику без технических фидов? — да, часть заказчиков забирает только уровень для руководства и SOC, без автоматической загрузки индикаторов в системы.
- Что если срабатывание по индикатору окажется нерелевантным? — фиксируем результат обратной связи, проверяем актуальность и уровень доверия индикатора, корректируем фильтрацию, TTL и настройки источника.
- Сколько стоит и сколько занимает подключение? — подключение фидов и базовая интеграция — от 1 до 3 недель, полная интеграция с SIEM/SOAR и запуск регулярной аналитики — от 3 до 6 недель. Стоимость зависит от числа источников, глубины интеграции и объёма аналитики, фиксируется до начала работ. Начинаем с бесплатной первичной оценки — до 30 минут, без подключения к инфраструктуре.
Почему IST
Почему Threat Intelligence с нами
С 2011 года в информационной безопасности
Более 80 специалистов, офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве. Лицензии ФСТЭК и ФСБ.
Используем Threat Intelligence в собственных процессах
Оказываем проактивный мониторинг и Threat Hunting — не только поставляем данные заказчику, но и применяем их сами.
Понимаем рабочий контур обнаружения
Работаем с SIEM и другими средствами мониторинга и защиты, поэтому знаем, в каком виде индикаторы должны туда попадать.
Настраиваем интеграцию, а не отдаём список
Помогаем ввести индикаторы и правила в работу. Если полноценный Threat Intelligence пока избыточен — предложим более подходящий формат.
Обсудить подключение
Обсудить подключение Threat Intelligence
Расскажите, что уже развёрнуто: есть ли SIEM, EDR, NGFW, куда можно загружать индикаторы, и кто будет работать с поступающей аналитикой. Оценим модель угроз и предложим состав источников и формат поставки. Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.