Cortex XDR 5.2 (XTI)

Салем, достар!
Продолжаем тему обновлений Cortex XDR 5.2.
Полноценный TI подъехал в Cortex XDR в нужное время и в нужном месте.

Cortex Extended Threat Intelligence XTI - это не отдельная система, а модуль расширенной разведки угроз, который подключается к Cortex XDR (начиная с версии 5.2) и встраивает качественную разведку Unit 42 прямо в рабочие процессы XDR.

Он превращает обычные алерты и расследования XDR в более «умные» - с контекстом, кто именно атакует, какими методами и насколько это релевантно именно вашей организации.

Как именно работает связка XTI + Cortex XDR

1. Библиотека угроз (Threat Intel Library) В консоли XDR появляется единый каталог:
• хакерские группы (threat actors)
• семейства вредоносного ПО
• уязвимости
• отчёты Unit 42 Аналитик может быстро посмотреть актуальные угрозы, связанные с его отраслью или регионом.

2. Автоматическое обогащение алертов и инцидентов Когда XDR детектирует подозрительную активность:
• XTI автоматически добавляет к алерту/кейсу связанную разведку
• Показывает, похоже ли поведение на известные TTP (тактики, техники и процедуры) конкретных группировок
• Подтягивает связанные индикаторы (IOC)

3. AI-driven Behavioral Threat Analysis Система сравнивает реальное поведение в вашей среде (которое видит XDR-агент) с известными паттернами атак. Это помогает быстрее понять: «Это не просто странный процесс, а техника конкретной APT-группы».

4. Мониторинг индикаторов (IOC Detection) XTI постоянно проверяет ваши эндпоинты и данные XDR на известные вредоносные индикаторы. При совпадении автоматически создаёт задачу в XDR.

5. Поиск и охота (Threat Hunting) Можно использовать XQL-запросы (Cortex Query Language), чтобы искать угрозы, связывая данные XDR с библиотекой XTI.

6. Дашборды и автоматизация Появляются готовые панели по угрозам + возможность использовать разведку в playbook-ах (если у вас есть автоматизация).

Важные моменты
• XTI доступен как аддон к Cortex XDR (в лицензионном плане XDR он прямо указан среди Security add-ons).
• Работает «бесшовно» - не нужно переключаться между разными консолями. Всё появляется прямо в интерфейсе XDR.