ממודיעין לפעולה: איך הופכים Threat Intelligence להגנה בפועל

הפער המוכר: מודיעין שנצרך אך לא נאכף

התסמינים חוזרים על עצמם כמעט בכל ארגון: התראת CERT מגיעה בדוא״ל ומחכה שאנליסט יקרא אותה; פיד מודיעין זורם ל־SIEM ומשמש לחקירות בדיעבד, אבל לא לחסימה מראש; ועדכון חוקים ב־Firewall דורש טיקט, אישור וחלון תחזוקה. כל אחד מהשלבים האלה סביר בפני עצמו — יחד הם הופכים מודיעין בזמן אמת למידע היסטורי.

וכשמדובר בקמפיין שחי שעות ספורות, מידע היסטורי הוא בדיוק זה: היסטוריה. הקמפיין כבר החליף תשתית.

שלב 1: לבחור מקורות לפי רלוונטיות, לא לפי כמות

יותר פידים אינם בהכרח יותר הגנה. עשרות מקורות חופפים מייצרים בעיקר כפילויות ורעש, ומציפים את הצוות באינדיקטורים באיכות נמוכה. הבחירה הנכונה משלבת מעט מקורות גלובליים איכותיים עם מקורות מקומיים ומגזריים — אלה שרואים את הקמפיינים שמכוונים לשוק שלכם לפני כולם.

שלב 2: אימות ותעדוף — האוטומציה צריכה שופט

לפני שאינדיקטור הופך לחוק חסימה, הוא צריך לעבור שלוש שאלות: כמה אמין המקור והדיווח? מה ההקשר — לאיזה קמפיין וסוג תקיפה הוא שייך? ומה הרלוונטיות לארגון — האם זה איום על המגזר, הטכנולוגיות או הגיאוגרפיה שלנו?

אוטומציה עונה על רוב המקרים, אבל מקרי הקצה דורשים שיפוט אנושי: כתובת של ספק ענן גדול, דומיין של שירות לגיטימי שנפרץ, אינדיקטור בודד ממקור לא מוכר. בלי שכבת הבקרה הזו, אוטומציה של חסימות עלולה להשבית שירותים עסקיים — וזו הסיבה המרכזית שארגונים מהססים להפעיל אכיפה אוטומטית.

שלב 3: תרגום והפצה — לכל מערכת בשפה שלה

אותו אינדיקטור צריך להגיע ל־Firewall כחוק חסימה, ל־DNS Security כרשומת סינון, ל־Microsoft 365 ככלל Anti-Spam או Tenant Block, ול־EDR כחתימה או רשימת Hash. כל מערכת עם ה־API, הפורמט והמגבלות שלה — כולל מגבלות קיבולת של רשימות חסימה, שמחייבות ניהול מחזור חיים והסרה של אינדיקטורים ישנים.

זו העבודה ההנדסית שהופכת מודיעין לאכיפה, והיא בדיוק מה ששירות Active Threat Response מנוהל כמו PULSE מספק כמוצר מוגמר: החיבורים למערכות, התרגום האוטומטי, ההפצה המקבילה והתחזוקה השוטפת — עם צוות SOC שמלווה את התהליך 24/7.

שלב 4: למדוד ולשפר

תהליך בוגר נמדד: כמה זמן עובר מקבלת אינדיקטור עד אכיפתו בכל מערכת? כמה חסימות בוצעו בפועל, ואילו מהן העידו על ניסיון תקיפה אמיתי? כמה חסימות שווא נרשמו? המדדים האלה הופכים את המודיעין מהוצאה קבועה לפעילות מבצעית עם תוצאות הניתנות להצגה — גם להנהלה וגם לרגולטור.