Wywiad Zagrożeń (Threat Intelligence)

Czym jest Threat Intelligence?

Threat Intelligence (wywiad zagrożeń) to usługa dostarczająca organizacji kontekst zagrożeń specyficzny dla jej branży, lokalizacji i profilu technologicznego. Analizujemy: grupy APT aktywne w sektorze klienta, ich taktyki i techniki (TTP), kampanie malware i podatności aktywnie exploitowane.

Atrybut	Wartość
Framework	MITRE ATT&CK
Źródła	Commercial feeds, dark web, CERT, ISAC
Format IOC	STIX/TAXII, YARA, Sigma
Dostarczanie	Raport + IOC feed + alerty

W odróżnieniu od OSINT, Threat Intelligence odpowiada na pytanie: kto nas atakuje, jak i dlaczego. To informacja proaktywna pozwalająca przygotować się na konkretne zagrożenia.

Reaktywna obrona kosztuje więcej

Organizacje reagują na zagrożenia po fakcie — gdy atak już nastąpił. Zespoły bezpieczeństwa są zalewane alertami bez kontekstu. Threat Intelligence zmienia paradygmat: wiedząc, jakie grupy APT celują w nasz sektor, wdrażamy detekcję zanim atak nastąpi.

Bez Threat Intelligence:

• Reaktywne podejście — dowiadujesz się o zagrożeniu po ataku
• Tysiące alertów bez kontekstu — nie wiesz co jest ważne
• SIEM/EDR pracuje bez IOC — nie widzi znanych zagrożeń
• Decyzje bezpieczeństwa oparte na intuicji, nie danych
• Brak widoczności w dark web — nie wiesz, czy Twoje dane są na sprzedaż

Proaktywna obrona oparta na intelligence

Zbieramy intelligence z wielu źródeł, korelujemy z profilem organizacji i dostarczamy actionable intelligence: konkretne IOC do wdrożenia, TTP do monitorowania, rekomendacje priorytetyzacji.

Co dostajesz:

• Raport Threat Landscape: przegląd zagrożeń dla Twojego sektora
• Profile grup zagrożeń: APT celujące w Twój sektor, ich TTP (MITRE ATT&CK)
• IOC Feed: IP, domeny, hashe, reguły YARA do wdrożenia w SIEM/EDR
• Rekomendacje detekcji: reguły Sigma/Splunk/KQL
• Dark web monitoring: wzmianki o organizacji, wycieki danych
• Threat Model: aktywa, wektory ataku, prawdopodobieństwo i wpływ
• Briefing: prezentacja wyników dla SOC, CISO i zarządu

Źródła intelligence i proces analityczny

Wartość Threat Intelligence zależy od jakości źródeł i umiejętności analitycznej korelacji informacji. nFlo łączy wiele warstw intelligence w spójny obraz zagrożeń dla konkretnej organizacji.

Commercial Threat Feeds dostarczają surowe dane IOC (Indicators of Compromise) od wiodących dostawców - IP adresy C2 serwerów, domeny phishingowe, hashe malware, certyfikaty SSL używane w atakach. Ale same feedy to za mało - kluczowa jest filtracja i kontekstualizacja. Z tysięcy IOC dziennie wybieramy te istotne dla sektora, regionu i profilu technologicznego klienta, eliminując szum informacyjny.

Dark web i underground monitoring obejmuje regularne przeszukiwanie forów cyberprzestępczych, kanałów Telegram, paste sites i marketplace’ów pod kątem wzmianek o organizacji klienta, wycieków danych (credentials, dokumenty, bazy danych), ofert sprzedaży dostępu do infrastruktury klienta (initial access brokers) oraz dyskusji o planowanych kampaniach w sektorze klienta. Wczesne wykrycie wycieku danych lub sprzedaży dostępu pozwala na reakcję zanim atakujący wykorzysta te informacje.

MITRE ATT&CK mapping to standard, w którym przedstawiamy wyniki analizy. Każda zidentyfikowana grupa zagrożeń jest opisana w kontekście taktyk (Initial Access, Execution, Persistence, Lateral Movement, Exfiltration) i technik (np. T1566 Phishing, T1078 Valid Accounts). Mapowanie na ATT&CK pozwala zespołowi SOC na bezpośrednie tworzenie reguł detekcji - raport zawiera gotowe query Sigma, które można zaimportować do SIEM-a.

Atrybucja i scoring przypisuje zagrożeniom poziom pewności (High/Medium/Low) i priorytet na podstawie: aktywności grupy w regionie CEE, historii ataków w sektorze klienta, dostępności exploitów i toolingu oraz motywacji (finansowa, szpiegowska, hacktywistyczna).

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Chcesz zrozumieć landscape zagrożeń w swojej branży
• Posiadasz SOC i chcesz wzbogacić alerty o kontekst TI
• Przygotowujesz się do Red Team i potrzebujesz threat model
• Podlegasz regulacjom wymagającym analizy zagrożeń (NIS2, DORA)
• Chcesz podejmować decyzje bezpieczeństwa na podstawie danych

Warianty usługi

BASIC — Threat Intelligence Report

Jednorazowy snapshot zagrożeń dla Twojej branży:

• TOP 5 threat actors sprofilowanych z TTP
• Przegląd aktualnych kampanii ransomware/APT
• Rekomendacje defensywne priorytetyzowane
• Min. 50 IOC dostarczonych

Jednorazowo: 15 000-25 000 PLN

STANDARD — Managed Threat Intelligence

Ciągły cykl intelligence z miesięcznymi raportami:

• Wszystko z BASIC + miesięczne raporty TI
• Dedykowany IOC feed zintegrowany z SIEM/EDR
• Early warning alerts o zagrożeniach dla Twojego sektora
• Kwartalne warsztaty threat landscape
• Dedykowany analityk TI

Od 5 000 PLN/mies. | Min. 12 miesięcy

PREMIUM — Threat Intelligence Platform

Pełna platforma TI z real-time dostępem:

• Wszystko ze STANDARD + dashboard TI 24/7
• Real-time IOC feed (STIX/TAXII)
• Custom threat hunting queries
• VIP alerting (threats targeting executives)
• Incident support (TI-informed response)

Od 12 000 PLN/mies. | Min. 12 miesięcy