Погружаемся в Озеро знаний. Концепция CTT CTI Lake
Как превратить хаос киберугроз в структурированное знание? Расскажем о том, как Озеро знаний меняет подход к Threat Intelligence. Кроме того, вы увидите запись демо-сессии всей линейки продуктов CTT.
00:00:15 Открытие
00:03:54 Постановка проблемы: Threat Intelligence используется всё шире, но главный вопрос — не наличие TI, а эффективность его применения
00:07:49 Почему одного TI-вендора недостаточно, проблема пересечения источников
00:09:26 Почему нельзя просто «отдать весь TI-хаос ИИ/RAG»: проблема качества данных и галлюцинаций
00:14:06 Главная концепция «Озеро знаний»: нормализация + семантика + постоянное обновление
00:15:40 Архитектура продуктов: Incident Hub → Report Hub / Threat KB → Threat Feed
00:17:20 Incident Hub: источники и логика работы
00:18:13 Использование реальных инцидентов для risk/threat modeling
00:20:06 Представление инцидента как STIX 2.1-графа
00:21:53 Начало live demo в OpenCTI
00:23:49 Разбор кейса канадского Telus
00:26:18 Разделение фактических последствий и прогнозов модели
00:29:20 Переход от инцидента к ShinyHunters
00:30:02 Report Hub + Threat KB
00:30:23 280+ открытых TI-источников, ~4 000 отчётов в год
00:31:48 Почти 8 000 инцидентов в Incident Hub с января 2026
00:32:59 Главная идея Report Hub: не список отчётов, а семантический граф
00:35:23 Использование данных для написания детектов
00:35:57 Использование TI для adversary emulation
00:37:27 Threat KB: автоматическое построение профилей угроз
00:38:20 Решение проблемы aliases разных threat actors
00:39:21 Автоматическое обновление профилей при появлении новых отчётов
00:40:09 Human-in-the-loop для контроля галлюцинаций LLM
00:41:02 Live demo Threat KB
00:44:14 Автоматическая Diamond Model
00:45:39 Консолидированная MITRE ATT&CK-матрица по всем источникам
00:47:32 Извлечение не только IOC, но также Sigma/YARA, mutex, registry keys и др.
00:50:14 Summary RU/EN, abstract и расширенное описание каждого TI-отчёта
00:55:01 Переход к Threat Feed / IOC
00:56:02 Threat Feed vs IOC Lookup
00:57:10 Около 200 тыс. уникальных IOC в сутки — по словам спикера
00:59:18 Очень важный блок: детерминированный scoring без AI/ML
00:59:50 Формула score: доверие к источнику + опасность контекста + время / частотность
01:01:27 Разные score-пороги для NGFW/WAF, SIEM и TIP
01:07:09 False-positive management
01:09:27 Noise Control
01:12:56 Три архитектурных сценария интеграции
01:13:00 NGFW/WAF + Threat Feed
01:13:59 SIEM + SOAR + enrichment
01:15:30 Полная интеграция через TIP
01:20:49 Завершение трансляции
