Threat Signals کلادفلر: گزارش خام به قاعدهٔ WAF
هوش مصنوعیخلاصهٔ کامل‌تر
کار تکراری تحلیلگر امنیت این بوده: یه گزارش تحقیقی رو بخون، IP و دامنه و هشِ بدافزار رو بیرون بکش، فرمتشون رو یکدست کن، با تاکسونومی داخلی سازمان برچسب بزن، بریزشون تو پلتفرم اطلاعات تهدید و لینک منبع رو هم نگه دار. کلادفلر می‌گه Threat Signals همین زنجیره رو خودکار می‌کنه. این سرویس از امروز برای همهٔ اکانت‌ها فعاله.
پایهٔ کار AI skills هستن، یعنی مجموعه‌ای از دستورهای دقیق که روش کار یه تحلیلگر باتجربه رو برای یک بخش از کار ثبت می‌کنه و روی هر گزارش دقیقاً یک‌شکل اجرا میشه. فیدهای ساخت‌یافته سال‌هاست خودکار مصرف می‌شن؛ به گفتهٔ کلادفلر بخش سخت همیشه گزارش‌های غیرساخت‌یافته بوده، یعنی تبدیل یه پست تحقیقی به اندیکاتور قابل استفاده بدون این‌که زمینه‌ای که توضیح می‌ده چرا مهمه از دست بره.
مسیر فنی‌ش این‌طوریه: هر فید RSS وارد یه Workflow میشه که هر چند وقت یک‌بار دنبال مطلب جدید می‌گرده. بعد Browser Run با اکشن Markdown متن مقاله رو تمیز می‌کنه و تو R2 ذخیره میشه. اون متن می‌ره سراغ یه استخراج‌کنندهٔ IOC و یه سری skill پیش‌فرض که خلاصه می‌سازن، برچسب می‌زنن و به هر اندیکاتور زمینه اضافه می‌کنن. هر سه استاندارد فید یعنی RSS 2.0 و Atom و RSS 1.0/RDF پشتیبانی میشه.
بستهٔ رایگان شامل دسترسی API و داشبورد، یک فید RSS، یه دیتاست خصوصی با نگهداری تا ۳۰ روز و دسترسی به Threat Events Platform برای بررسی رویدادها و برچسب‌هاست. مشتریان Essentials و Advantage و Elite می‌تونن تعداد فیدها رو بالا ببرن، به دیتاست‌های اختصاصی Cloudforce One برسن، skill سفارشی بسازن و روی رویدادهای تهدید قاعدهٔ WAF سفارشی تعریف کنن.
جالب‌ترین بخش پست، درس‌هایی‌ه که تیم می‌گه گرفته. اول وسوسه شدن بذارن سیستم هر برچسبی که به نظرش مفیده از خودش بسازه، ولی تیم‌های مشتری مخالفت کردن: اطلاعاتی که با یه واژگان ناآشنا برچسب خورده سخت‌تر استفاده میشه، چون حالا باید دو واژگان رو با هم جور کرد. پس برچسب‌زنی AI محدود شد به همون کاتالوگ برچسبی که هر اکانت داره. دوم، ثبت این‌که یه برچسب خودکار خورده یا دستی، ظاهراً یه متادیتای کم‌اهمیته ولی حیاتی بود؛ تحلیلگرها وقتی می‌دیدن دقیقاً چی خودکار زده شده، بیشتر به‌ش اعتماد می‌کردن.
نکتهٔ آخر این‌که چیزی که کاربر اول از همه می‌بینه خلاصه‌هاست، ولی چیزی که تحلیلگرها تو تست‌های اولیه مدام به‌ش برمی‌گشتن، لینک بین رویداد و گزارش اصلی بود. همین لینک جلوی اون وضعیت آشنا رو می‌گیره که چند هفته بعد یه دامنه تو blocklist نشسته و هیچ‌کس یادش نیست چرا. کلادفلر می‌گه قدم بعدی اضافه کردن مسیرهای ورودی دیگه غیر از RSS هست، چون بعضی پلتفرم‌های موجود بالای ۱۰۰ فید کم می‌آرن.
نکات کلیدی:
- Threat Signals از امروز برای همهٔ اکانت‌های کلادفلر فعاله، از طریق API و داشبورد
- بستهٔ رایگان: یک فید RSS، دیتاست خصوصی با نگهداری تا ۳۰ روز، دسترسی به Threat Events Platform
- زنجیره: Workflow برای پولینگ، Browser Run برای تمیز کردن متن، ذخیره در R2، بعد استخراج IOC و skillهای خلاصه‌سازی و برچسب‌زنی
- برچسب‌زنی AI فقط از کاتالوگ برچسب موجود همون اکانت استفاده می‌کنه، برچسب تازه از خودش نمی‌سازه
- هر اندیکاتور به یه Threat Event وصله و از اون‌جا میشه قاعدهٔ WAF ساخت
- مسیر داشبورد: Application Security ← Threat Intelligence ← Threat Signals
