مقدمه
در عصر تهدیدات پیشرفته سایبری، تنها داشتن ابزارهای دفاعی سنتی کافی نیست. مهاجمان روزبه‌روز پیچیده‌تر عمل می‌کنند، زیرساخت‌ها گسترده‌تر و متنوع‌تر می‌شوند و سطح حمله (Attack Surface) سازمان‌ها مدام افزایش می‌یابد. در چنین شرایطی، هوش تهدیدات (Threat Intelligence) به‌عنوان یک مؤلفه کلیدی برای پیشگیری، شناسایی سریع‌تر و پاسخ مؤثرتر مطرح می‌شود.
سرویس MonoTI بخشی از پلتفرم MonoSuite – Cybersecurity Asset Intelligence Platform است که با هدف ارائه یک جریان مداوم از اطلاعات تهدیدات معتبر و به‌روز طراحی شده. این سرویس داده‌های مرتبط با IPها، دامنه‌ها، URLها، Indicators of Compromise (IoCs) و آسیب‌پذیری‌های شناخته‌شده (CVEها) را به‌صورت یکپارچه در اختیار تیم‌های امنیتی قرار می‌دهد و آن‌ها را قادر می‌سازد تهدیدات واقعی را از میان انبوه هشدارها جدا کنند.
جایگاه MonoTI در معماری دفاع سایبری
- تکمیل‌کننده دید دارایی‌ها: در حالی که MonoSuite شناسنامه کامل هر دارایی را فراهم می‌کند، MonoTI لایه‌ای از هوش تهدیدات جهانی را روی آن می‌نشاند. نتیجه این است که هر دارایی نه‌تنها از منظر داخلی (پیکربندی، کاربران، نرم‌افزارها) بلکه از منظر بیرونی (آیا با سرورهای مشکوک در ارتباط بوده؟ آیا نرم‌افزارهایش CVE فعال دارند؟) ارزیابی می‌شود.
- حمایت از SOC: تیم‌های مرکز عملیات امنیت (SOC) می‌توانند با اتصال MonoTI به SIEM، هشدارهای خود را غنی‌سازی کنند. به‌جای صدها هشدار خام، حالا SOC می‌داند کدام هشدار واقعاً به یک تهدید فعال متصل است.
- شتاب‌دهنده واکنش به حادثه: هنگام وقوع یک Incident، داشتن اطلاعات به‌روز از دامنه‌ها و IPهای آلوده باعث می‌شود محدوده حادثه سریع‌تر شناسایی و دارایی‌های آلوده ایزوله شوند.
معماری و روش ارائه سرویس
برای دسترسی سازمان‌ها به MonoTI از یک معماری پراکسی ایمن استفاده شده است. سازمان یک ماشین مجازی (VM) به‌عنوان Proxy در محیط خود راه‌اندازی می‌کند که به‌صورت امن به سرورهای MonoTI متصل می‌شود. این VM آخرین اطلاعات تهدید را دریافت کرده و در اختیار MonoSuite یا سایر اجزای امنیتی سازمان قرار می‌دهد.
مزایای این رویکرد:
- عدم نیاز به دسترسی مستقیم هر سیستم سازمان به اینترنت یا سرویس MonoTI.
- امنیت بالاتر (ارتباط فقط از طریق یک کانال امن میان VM و MonoTI).
- کاهش پهنای باند مصرفی (به‌جای پرس‌وجوی هر کلاینت، اطلاعات یکجا توسط Proxy دریافت و توزیع می‌شود).
- امکان به‌روزرسانی آفلاین در شبکه‌های بسته (Air-Gapped) با سینک دوره‌ای.
فهرست فیچرهای کلیدی MonoTI
1. Indicators of Compromise (IoCs) Feed
- فهرست به‌روز IPها، دامنه‌ها، URLها و Hash فایل‌های مخرب.
- دسته‌بندی بر اساس نوع تهدید (C2 Servers، Phishing، Malware Distribution).
- امتیازدهی به هر Indicator بر اساس اعتبار و زمان مشاهده.
2. Vulnerability Intelligence (CVE Data)
- دریافت بلادرنگ داده‌های CVEهای جدید.
- تطبیق CVEها با نرم‌افزارها و دارایی‌های موجود در MonoSuite.
- اولویت‌بندی آسیب‌پذیری‌ها بر اساس Exploitability و شدت تهدید.
3. Threat Actor Profiling
- اطلاعات درباره گروه‌های تهدید فعال (APT Groups، Ransomware Gangs).
- تطبیق رفتار و IoCهای مرتبط با هر گروه.
4. Attack Surface Mapping
- بررسی ارتباط دارایی‌های سازمان با IoCهای شناخته‌شده.
- هشدار هنگام مشاهده ارتباط مشکوک در ترافیک شبکه.
5. Integration with Security Ecosystem
- اتصال مستقیم به SIEM و SOAR برای enrich کردن هشدارها.
- امکان ارسال خودکار IoCها به فایروال، IPS، EDR.
- API باز برای استفاده در ابزارهای شخص ثالث.
6. Automated Response Support
- قرنطینه خودکار دارایی‌هایی که با IoCهای سطح بالا ارتباط دارند.
- ایجاد تیکت خودکار در ITSM هنگام شناسایی تهدید.
7. Threat Intelligence Dashboard
- داشبورد تحلیلی با نمایش:
- آخرین IoCهای مهم،
- CVEهای بحرانی فعال،
- ارتباط آن‌ها با دارایی‌های سازمان،
- روند تهدیدات در زمان.
مقایسه با سرویس‌های مشابه جهانی
- مانند Recorded Future و Anomali ThreatStream، MonoTI جریان مداوم داده‌های تهدید را فراهم می‌کند.
- مشابه Mandiant Threat Intelligence، اطلاعات مربوط به گروه‌های مهاجم و روش‌های حمله (TTPs) را ارائه می‌دهد.
- مزیت رقابتی: یکپارچگی کامل با MonoSuite و ارائه از طریق Proxy VM ایمن که به‌ویژه برای سازمان‌های حساس (با شبکه‌های بسته یا نیمه‌بسته) بسیار ارزشمند است.
ارزش نهایی برای سازمان
با MonoTI، سازمان‌ها می‌توانند:
- تهدیدات را قبل از وقوع حادثه شناسایی کنند.
- بار کاری SOC را کاهش دهند و بر تهدیدات واقعی تمرکز کنند.
- سرعت واکنش و دقت تصمیم‌گیری را افزایش دهند.
- یک لایه هوش تهدید بومی و یکپارچه در کنار مدیریت دارایی‌های امنیتی داشته باشند.