Cloudflare Threat Signals: ИИ-навыки разбирают отчёты об угрозах и бесплатно дают данные в WAF

Cloudflare 29 сентября в 16:00 по Москве объявила о запуске Threat Signals. Это набор агентных навыков для разведки угроз по открытым источникам. Система сама читает отчёты исследователей об атаках, достаёт из них индикаторы компрометации — адреса, домены, признаки вредоносных программ — и складывает их в личный набор данных аккаунта. Оттуда их можно сразу применить в правилах WAF, то есть межсетевого экрана для сайтов и приложений. Анонс вышел в Birthday Week — ежегодную неделю новинок компании.

Что именно умеет Threat Signals

Проблему Cloudflare описывает так: отчётов об угрозах выходит много, а читать их вручную, выписывать адреса и переносить в защиту некому. Threat Signals делает эту цепочку сама.

Навыки по умолчанию настроила команда Cloudforce One — подразделение Cloudflare, которое занимается разведкой угроз. По словам компании, привычные платформы упираются примерно в 100 RSS-лент, а новая схема масштабируется без такого потолка.

Что бесплатно. Любому аккаунту Cloudflare доступны:

• доступ через панель и через API;
• одна RSS-лента на выбор;
• закрытый набор данных с хранением до 30 дней;
• платформа Threat Events от Cloudforce One, которую компания в ту же неделю открыла для всех аккаунтов.

Что за деньги. На корпоративных пакетах Essentials, Advantage или Elite — несколько лент, собственные данные разведки Cloudflare, свои ИИ-навыки, больший срок хранения и создание своих правил WAF. Цены в анонсе не названы.

Включается функция в панели: раздел Application Security, затем Threat Intelligence, затем Threat Signals.

В тот же день Cloudflare описала общую схему защиты приложений «для эпохи ИИ». В ней четыре этапа: поиск рисков, контроль ИИ-агентов, защита во время работы и расследование с помощью ИИ. Там же — ИИ-тестирование на проникновение по заданному адресу и агенты, которые собирают разрозненные тревоги в одну хронологию взлома. Повод компания называет прямо: атакующие ИИ-агенты работают без перерыва, пробуют сразу несколько путей и делятся находками. В разобранном примере агенты получили права администратора меньше чем за 13 часов.

Что это значит для бизнеса

Раньше разведка угроз была игрушкой для банков и крупных компаний. Нужен аналитик, который каждое утро читает отчёты и переносит адреса атакующих в защиту. У небольшой фирмы такого человека нет. Сайт, личный кабинет клиента, форма заявок и связка с CRM живут на честном слове.

Threat Signals снимает часть этой работы бесплатно. Но только часть.

• Одна лента — это немного. Её нужно выбрать с умом: под свою отрасль и под программы, которые у вас стоят.
• Данные не защищают сами. Индикатор в наборе данных ничего не блокирует, пока кто-то не поставит правило в WAF. А на бесплатном тарифе свои правила из этих данных не создаются.
• 30 дней — и всё. Если нужна история для разбора инцидента, её придётся забирать через API и хранить у себя.
• Сайт должен работать через Cloudflare. Иначе WAF просто не стоит на пути трафика.

Выходит знакомая картина. Инструмент есть, он бесплатный, а довести его до работающей защиты некому. Мы уже писали, как ИИ-агент добрался до государственного сайта в Австралии и как Cloudflare выпустила Turnstile Spin для защиты сайта от ботов. Атак с помощью ИИ становится больше. Ждать, пока руки дойдут, всё дороже.

Такую доводку можно поручить IT-специалисту КАРАДЕСК — собственному IT-специалисту компании в аренду. Задачу ставят голосом, текстом или брифом, как сотруднику: написать скрипт, который забирает индикаторы через API и складывает в ваш журнал, подключить сервис к CRM, доработать сайт или существующую программу. Тесты с документацией готовятся сразу, выкладка — после вашего одобрения. Код остаётся у вас. Архитектуру утверждает инженер. Стоимость — ежемесячная аренда, дешевле штатного программиста, точная сумма после оценки задач.

Как устроена работа ИИ-программиста и где у неё границы, мы разбирали в статье «ИИ-программист».