Перейти к основному содержимому
Версия: 2.0

Портал

Threat Intelligence Portal (TI Portal)

TI Portal — это веб-интерфейс для анализа киберугроз, предоставляющий доступ к актуальной информации о вредоносных индикаторах, отчетах о расследованиях и данных о хакерских группировках. Портал позволяет специалистам по безопасности проверять подозрительные файлы, домены, IP-адреса и URL-адреса, используя агрегированные данные из различных источников (включая собственные Threat Intelligence Feeds).
TI Portal доступен по ссылке — https://portal.data.rt-solar.ru.

Получение доступа​

Для регистрации и получения учетных данных для входа в Портал необходимо написать запрос на электронную почту технической поддержки: support.tic@rt-solar.ru.
После получения логина и пароля вы сможете войти в систему через веб-браузер по ссылке, предоставленной в ответном письме.

Меню управления​

После авторизации в боковой панели доступны следующие элементы управления:

ЭлементЗначениеОписание
Логотип Портала
Логотип ПорталаПереход на главную страницу
Поиск
ПоискПереход в раздел поиска
Индикаторы
ИндикаторыПереход в раздел Индикаторы, содержащий объекты компрометации
Файлы
ФайлыПереход в раздел Файлы, содержащий образцы вредоносного ПО
Threat Actors
Threat ActorsПереход в раздел Threat Actors, содержащий информацию об отслеживаемых группировках
Отчеты
ОтчетыПереход в раздел Отчеты
Malware
MalwareПереход в раздел Malware
Tools
ToolsПереход в раздел Tools
Матрица
Матрица MITRE ATT&CKПереход в раздел Матрица MITRE ATT&CK
Руководство пользователя
Руководство пользователяДокументация для API TI Feeds
Тема
ТемаПереключение светлой и темной темы
Профиль пользователя
Профиль пользователяВыход из профиля пользователя

Использование поиска​

Навигация по главной странице

  1. Введите в поле поиска (1) подозрительный хеш, IP-адрес, домен или URL.
    Пример: dfde12321.ru
  2. По мере ввода система отображает промежуточные результаты. Выберите подходящий вариант из выпадающего списка или нажмите клавишу Enter.
  3. Откроется страница с данными по индикатору.

Навигация по интерфейсу

На странице индикатора доступны вкладки с информацией:

  1. «Обнаружение» (1) — сводные данные об индикаторе: дата первого и последнего обнаружения, источники (фиды), тип и зона опасности (MALICIOUS / SUSPICIOUS / CLEAN / UNKNOWN).
  2. «Детали» (2) — расширенная техническая информация: связанные домены, IP-адреса, URL, а также дополнительный контекст по индикатору.
  3. «DNS» (3) — отображает текущий статус разрешения домена:
    • успешно (DNS RESOLVED: OK);
    • с ошибкой (DNS RESOLVED: ERR);
    • в процессе проверки (Проверка DNS).
  4. «Акторы» (4) — перечень хакерских группировок (Threat Actors), связанных с данным индикатором, с возможностью перехода к карточке каждой группировки.
  5. «Сетевые индикаторы» (5) — связанные сетевые индикаторы: домены, IP-адреса и URL, ассоциированные с проверяемым объектом.
  6. «Файловые индикаторы» (6) — связанные файловые индикаторы: хеш-суммы файлов (MD5, SHA1, SHA256), обнаруженные в связке с проверяемым объектом.

В блоке (7) отображается наиболее важная информация по объекту.

Индикаторы​

Этот раздел содержит сетевые индикаторы: домены, IP-адреса и URL, ассоциированные с проверяемым объектом.

Threat actor

  1. Для поиска используйте окно (1).
  2. Для наглядности доступен график (2) активности по датам (ось X — дата, ось Y — количество) с возможностью интерактивного взаимодействия.
  3. При помощи инструмента (3) можно управлять значением даты. При двойном нажатии на нижний график выделяется интервал «За все время». Если интервал «За все время» уже выделен, то применяется интервал «Последние 24 часа», обеспечивая быстрый переход между крайними периодами.
  4. Фильтр периода (4) предназначен для выбора даты вручную.
  5. Добавить фильтр (5) позволяет использовать фильтры по следующим полям:
    • Тип
    • Фиды
    • Зона
    • False Positive
    • Категории
  6. Таблица индикаторов (6) содержит кликабельные колонки:
    • Значение — конкретный домен, IP или URL;
    • Тип — domain, url, ip;
    • Фиды — источники, предоставившие этот индикатор;
    • Зона — уровень доверия (MALICIOUS, SUSPICIOUS, UNKNOWN);
    • Первое обнаружение — дата первого появления в системе;
    • Последнее обнаружение — дата последнего появления в системе;
    • False Positive — признак ложного срабатывания;
    • Категории — категория индикатора;
    • Связи — связанные с данным индикатором объекты.
  7. Нажмите на строку в таблице, чтобы посмотреть детальный отчет.

Файлы​

Этот раздел содержит файловые индикаторы: хеш-суммы файлов (MD5, SHA1, SHA256), обнаруженные в связке с проверяемым объектом.

Threat actor

  1. Для поиска используйте окно (1).
  2. Для наглядности доступен график (2) активности по датам (ось X — дата, ось Y — количество) с возможностью интерактивного взаимодействия.
  3. При помощи инструмента (3) можно управлять значением даты. При двойном нажатии на нижний график выделяется интервал «За все время». Если интервал «За все время» уже выделен, то применяется интервал «Последние 24 часа», обеспечивая быстрый переход между крайними периодами.
  4. Фильтр периода (4) предназначен для выбора даты вручную.
  5. Добавить фильтр (5) позволяет использовать фильтры по следующим полям:
    • Тип
    • Фиды
    • Зона
    • Категории
    • Операционная система
  6. Таблица файлов (6) содержит кликабельные колонки:
    • Идентификатор файла — имя образца (например, testfile_e0afecde.exe);
    • Hash — хеш-суммы файла (MD5, SHA1, SHA256);
    • Фиды — стандартные фиды;
    • Зона — уровень опасности (NONE, MALICIOUS, SUSPICIOUS, CLEAN, UNKNOWN);
    • Вердикты — результат проверки;
    • Создан — дата добавления в систему;
    • Обновлен — дата последнего обновления;
    • Первое обнаружение — дата первого появления в системе;
    • Последнее обнаружение — дата последнего появления в системе;
    • Категории — категории файла;
    • ОС — операционные системы;
    • Связи — связанные с данным файлом объекты.
  7. Нажмите на строку в таблице, чтобы посмотреть детальный отчет.

Threat Actors​

Этот раздел содержит базу данных отслеживаемых хакерских группировок.

Threat actor

  1. На главной странице или в боковой панели нажмите на кнопку «Threat Actors».
  2. На экране отобразится список группировок с карточками.
  3. Для поиска информации воспользуйтесь окном поиска (1).
  4. Нажмите кнопку «Добавить фильтр» (2) для уточнения поиска по геолокации.
  5. Кнопками (3) можно переключать вид списка с карточного на табличный.
  6. Информация на карточке (4):
    • Название группировки (например, AUTO TTP tech, Zmiy);
    • Первое обнаружение — дата и время первой фиксации активности;
    • Обновлен — дата и время последнего обновления информации о группировке;
    • Атакуемые страны — список стран, в которых была замечена активность группировки;
    • Геолокация актора — географическое положение группировки;
    • Цели атак — описание целей атак;
    • Индустрии — сфера деятельности жертв.
  7. При выборе карточки становится доступна дополнительная информация о группировке.

Отчеты​

В разделе собраны аналитические отчеты, подготовленные экспертами вручную или автоматически.

Threat actor

  1. Перейдите на вкладку «Отчеты».
  2. Используйте поиск (1) для нахождения нужного документа.
  3. Таблица (2) содержит следующую информацию об отчете:
    • Название — имя отчета (например, [AUTO] Portal PUBLIC b5a9743a);
    • Тип — формат файла (обычно md — Markdown);
    • Создан — дата и время создания отчета;
    • Обновлён — дата и время последней модификации.
  4. Кликните по строке отчета, чтобы открыть его содержимое.

Malware​

В разделе собраны данные о семействах вредоносного ПО.

Threat actor

  1. Перейдите на вкладку «Malware».
  2. Используйте поиск (1) для нахождения нужной записи.
  3. Используйте «Добавить фильтры» (2) для выбора фильтра по интересующим полям.
  4. Таблица (3) содержит следующую информацию:
    • Название — имя вредоносного ПО (например, Ryuk, REvil).
    • Алиасы — другие известные имена или синонимы, под которыми данное семейство фигурирует в разных источниках (например, Sodinokibi для REvil).
    • Класс — тип вредоносного ПО: троян, вымогатель (ransomware), бэкдор, шпионское ПО, загрузчик, червь и т.д.
    • Платформы — операционные системы, на которых функционирует данное семейство (Windows, Linux, macOS, Android, iOS и др.).
    • Создан — дата и время создания записи о семействе в системе.
    • Обновлён — дата и время последнего изменения записи.
    • Первое обнаружение — дата первого зафиксированного обнаружения данного семейства в глобальной телеметрии.
    • Последнее обнаружение — дата самого недавнего обнаружения экземпляра этого семейства.
    • Языки — языки программирования, на которых написано вредоносное ПО (например, C++, C#, Python, Go, Rust).
    • Возможности — перечень основных функций: кража учётных данных, шифрование файлов, удалённое управление, кейлоггинг, загрузка дополнительных модулей и т.п.
    • Архитектура — поддерживаемая процессорная архитектура: x86, x64, ARM, MIPS и др.
    • Обнаружено 4RAYS — флаг, что данное семейство было впервые идентифицировано командой 4RAYS.
    • Связи — ссылки на другие семейства (например, общий код, общая инфраструктура) или на хакерские группировки, использующие это ПО.
  5. Кликните по строке, чтобы открыть подробную карточку семейства.

Tools​

В разделе собраны данные о легитимных инструментах, которые злоумышленники используют в своих атаках (например, легитимное ПО для администрирования, сканеры, пентест-инструменты, которые могут быть применены во вредоносных целях).

Threat actor

  1. Перейдите на вкладку «Tools».
  2. Используйте поиск (1) для нахождения нужного инструмента.
  3. Используйте «Добавить фильтры» (2) для выбора фильтра по категориям.
  4. Таблица (3) содержит следующую информацию:
    • Название — имя инструмента (например, Mimikatz, Cobalt Strike, Metasploit).
    • Алиасы — другие названия или псевдонимы, под которыми инструмент известен в сообществе.
    • Класс — тип инструмента: сканер уязвимостей, эксплойт-фреймворк, инструмент для пост-эксплуатации, средство для сбора данных, брутфорсер, туннелировщик и т.д.
    • Платформы — поддерживаемые операционные системы (Windows, Linux, macOS, а также кросс-платформенные решения).
    • Создан — дата и время создания записи об инструменте в системе.
    • Обновлён — дата и время последнего обновления записи.
    • Первое обнаружение — дата первого зафиксированного использования данного инструмента в атаках.
    • Последнее обнаружение — дата самого недавнего обнаружения использования инструмента.
    • Языки — языки программирования, на которых написан инструмент (например, C, Python, PowerShell, .NET).
    • Возможности — описание функциональных возможностей: извлечение паролей, выполнение команд, обход защиты, персистентность, разведка и т.п.
    • Архитектура — поддерживаемая архитектура (x86, x64, ARM и др.).
    • Обнаружено 4RAYS — флаг, что инструмент был впервые идентифицирован командой 4RAYS.
    • Связи — связи с хакерскими группировками, которые используют данный инструмент, или с другими инструментами, часто применяемыми в связке.
  5. Кликните по строке, чтобы открыть подробную карточку инструмента.

Матрица MITRE ATT&CK​

В разделе представлены уникальные тактики, техники и процедуры из базы знаний MITRE ATT&CK.

Threat actor

  1. Перейдите на вкладку «Матрица MITRE ATT&CK».

  2. Используйте поиск (1) для нахождения нужной тактики, техники или процедуры по названию или ID.

  3. Выберите один из трёх разделов (2) — Enterprise, ICS или Mobile. Каждый из них соответствует отдельной матрице, адаптированной для разных сред:

    • Enterprise — основная матрица для корпоративных ИТ-систем, охватывающая операционные системы Windows, Linux, macOS, а также облачные среды (AWS, Azure, GCP), контейнеры (Docker, Kubernetes) и сетевые устройства. Эта матрица наиболее полная и используется для анализа большинства целевых атак.
    • ICS — матрица для промышленных систем управления (ICS/SCADA). Включает техники, специфичные для промышленного оборудования, протоколов (Modbus, DNP3, OPC) и процессов автоматизации. Используется при анализе угроз для критической инфраструктуры, энергетики, производства и транспорта.
    • Mobile — матрица для мобильных устройств (Android и iOS). Охватывает техники, связанные с мобильными платформами: взлом приложений, эксплуатация уязвимостей ОС, фишинг через SMS, перехват данных, работа с разрешениями и т.д. Применяется при анализе угроз для смартфонов и планшетов.

    Выбор нужного раздела позволяет отфильтровать данные по контексту, релевантному для вашей задачи.

  4. Используйте «Добавить фильтры» (3) для уточнения поиска по дополнительным атрибутам: платформа и актор.

  5. При помощи переключателя (4) можно отобразить только те элементы, которые совпадают с поисковым запросом (скрыть несоответствующие).

  6. При помощи переключателя (5) можно раскрыть подтехники — более детальные варианты реализации техник. Это полезно для углублённого анализа конкретных способов действия злоумышленников.

  7. Таблица (6) содержит карточки тактик, техник и подтехник. Каждая карточка включает название, уникальный идентификатор (например, T1003), краткое описание, ссылки на внешние ресурсы и, при наличии, информацию об использовании в атаках.

  8. Кликните по карточке, чтобы открыть полное описание элемента MITRE ATT&CK с деталями, примерами процедур и способами обнаружения.

Диагностика и поддержка​

Если при работе с Порталом возникли ошибки (не загружаются данные, не приходит ответ на запрос, проблемы с авторизацией):

  1. Проверьте стабильность интернет-соединения.
  2. Убедитесь, что в URL-строке браузера указан корректный адрес портала.
  3. Обратитесь в техническую поддержку по электронной почте support.tic@rt-solar.ru, подробно описав проблему и приложив скриншоты.