Рынок разведки останавливается на двух этапах. Первый — наблюдение: платформа собирает артефакты и выдаёт список индикаторов. Второй — понимание: к индикатору добавляется контекст и пишется отчёт. Третий этап, действие, почти всегда остаётся человеку.
Здесь и начинается проблема. Объём угроз растёт в тысячи раз быстрее, чем аналитик успевает читать; среди тысяч оповещений важное теряется. Когда утечку наконец замечают, атака часто уже произошла — потому что между находкой и устранением стоит человек.
radar берёт на себя и третий этап. Обнаружение, корреляция и ответ — одна цепочка: решение принимается на скорости машины, действие выполняется внутри периметра клиента и в оговорённых правовых рамках.
| Этап | Обычный XTI / CTI | radar |
|---|---|---|
| Наблюдение | Собирает артефакты, выдаёт список индикаторов | То же самое, но источники региональные |
| Понимание | Добавляет контекст, пишет отчёт | Контекст привязан к вашим активам и вашему сектору |
| Действие | Передаёт человеку — реактивно, вручную | Автоматически: IAM, firewall, takedown |
| Состояние | Событие записывается в журнал и остаётся там | Риск либо открыт, либо закрыт — промежутка нет |
| Корреляция | Каждый модуль выдаёт свой отчёт | Четыре источника сходятся в один вывод |
Открытый VPN сам по себе — уязвимость. Утёкший пароль администратора сам по себе — инцидент. Активный атакующий по вашему сектору сам по себе — статистика. Все три в одной организации за одну неделю — это приближающийся взлом.
Отдельный модуль этого не увидит. Клиент получает не четыре разных отчёта, а один вывод — и каждый вывод приходит вместе с тем, что нужно сделать.
Кадры ниже сняты в самой консоли radar — организация Honeypot Security, по её собственным доменам.
Состояние внешней безопасности на одном экране: общий балл риска, критические и высокие находки, активно эксплуатируемые уязвимости и список приоритетных проблем.
Инвентарь активов, субдоменов и сервисов — балл риска по каждому домену, просроченные сертификаты и время последнего сканирования.
При открытии актива строится полный граф его связей: субдомены, IP, порты, сертификаты, ASN и хостинг-провайдеры. Расстояние в кольце — удалённость от цели. Граф строится из результатов сканирования, дополнительных запросов не отправляется.
Вредоносная инфраструктура под наблюдением: индикаторы IP и URL, семейство вредоносного ПО, балл риска и уровень уверенности.
Найденный пост при открытии: по какому термину пойман, классификация модели и уровень уверенности, а также решение аналитика — подтвердить, пометить безвредным или отклонить. Текст поста здесь намеренно размыт: это криминальное объявление.
radar даёт разведку и действует сам. Три триггера ниже могут работать в автоматическом режиме.
| Триггер | Автоматическое действие | Результат |
|---|---|---|
| Утёкший пароль | Авто-сброс в IAM | Сессии отзываются, MFA становится обязательным |
| Клон или фишинговый сайт | Автоматический takedown | Блокировка в браузере, жалоба регистратору |
| C2 или источник атакующего | Авто-блок на firewall / EDR | Запускается SOAR-сценарий |
Региональный фишинг, схемы мошенничества, форумы и язык.
Не оповещение — действие. Без очереди к человеку.
Data-residency под требования регулятора и банков.
Заметно дешевле глобальной платформы.
Локальный язык, локальная команда, быстрый онбординг.
radar построен для команд безопасности, поэтому к самой платформе предъявляются те же требования.
| Контроль | Как реализовано |
|---|---|
| Шифрование | Полное шифрование при передаче — все данные защищены |
| Обязательный MFA | Многофакторная аутентификация обязательна для каждого пользователя |
| Неизменяемый журнал аудита | Каждый вход, поиск и изменение — в журнале, который нельзя переписать |
| Вход по приглашению | Открытой регистрации нет — учётную запись создаёт администратор |
| Data-residency | Данные остаются внутри страны — под требования регулятора и банков |
Консоль платформы работает по отдельному адресу: Перейти в консоль
Ваш домен и названия брендов, которые нужно защищать. Установка агента или подключение к сети не требуются — модули обнаружения, разведки и бренда работают снаружи. Для автономного действия понадобится интеграция на стороне IAM, firewall или SOAR.
Границы задаёте вы. Для каждого триггера есть три режима: только уведомить, выполнить с подтверждением или полностью автоматически. Большинство клиентов ставит takedown и блокировку на firewall в автомат, а сброс в IAM — с подтверждением. Каждое выполненное действие остаётся в журнале.
Только внутри вашего периметра и от вашего имени: сброс пароля в вашем IAM, блокировка на вашем firewall, жалоба регистратору по клонам вашего бренда. radar не вмешивается в чужую инфраструктуру.
Закрытые форумы, paste-сайты, площадки дарквеба и логи инфостилеров. Найденное не покупается и не распространяется дальше — показывается только та часть, которая относится к вашей организации.
radar не для того, чтобы их заменить. Глобальные платформы слабо покрывают региональные источники, локальный язык и местные схемы мошенничества. Чаще всего клиент использует обе: глобальную — для широты охвата, radar — для локальной глубины и автономного ответа.
Внутри страны. Это сделано намеренно, чтобы соответствовать требованиям регулятора и банков; на уровне Enterprise доступны выделенный инстанс и отчётность для регулятора.
Запросите демо — покажем первичную картину по вашему домену: внешняя поверхность и открытые утечки. На этом этапе ничего не меняется.
