TIP / Киберразведка

Сравнение российских TIP, порталов и TI-фидов

Q: Почему здесь сравнение, а не рейтинг TIP?

Единое место смешивает платформы, порталы и потоки данных, а также полноту открытой документации. Матрица показывает конкретные функции, версии и ограничения. Порядок и размер плиток не означают превосходства продукта.

Q: Что означает вопрос в сравнении?

В рассмотренных материалах не установлено достаточное основание по этому критерию и указанной поставке. Это не доказанное отсутствие. В раскрытии отметки приведён вопрос, который нужно уточнить у поставщика.

Q: Почему у PT Feeds отделена историческая утилита2.1.1?

Документация утилиты2.1.1 описывает отдельный транспортный компонент. Текущий PT Feeds входит в Fusion. Пока не установлен действующий операционный контракт, возможности старой утилиты нельзя переносить на Fusion или брать их из соседней библиотеки угроз.

Q: Достаточно ли наличия STIX или TAXII для совместимости?

Нет. Нужно сверить версию, направление обмена, объекты, коллекции и конкретного получателя. STIX — формат представления данных, TAXII — протокол обмена. Наличие одного не доказывает другой или совместимость со всеми подключаемыми системами.

Q: Можно ли автоматически блокировать все полученные IoC?

Правило зависит от типа индикатора, доверия к источнику, контекста и допустимого риска. На пилоте проверьте ложные срабатывания, исключения, срок актуальности и отзыв. Передача индикатора в NGFW ещё не подтверждает корректное применение и снятие блокировки.

Q: Гарантирует ли плюс качество Threat Intelligence?

Плюс подтверждает функцию в определённой области документации. Полезность данных, свежесть, задержка и нагрузка проверяются отдельно на событиях заказчика; количество плюсов не является рейтингом качества.

11 решений · 28 документальных критериев · 3 проверки на пилоте. Сопоставьте функции, версии и ограничения по техническим источникам.

Документальный срез — 8 октября 2026

Решения этого класса

Платформы, порталы и потоки данных могут дополнять друг друга. Размер и положение плитки не обозначают место в рейтинге.

R-VisionR-VisionTIP BI.ZONEBI.ZONEThreat Intelligence Security VisionSecurity VisionTIP ГардаГардаTI FeedsCyberThreat.techCTTThreat Feed / Downloader Лаборатория КасперскогоkasperskyCyberTracePositive TechnologiesPositiveThreat Analyzer Positive TechnologiesPositivePT Feeds · Fusion ГК СоларSolarThreat IntelligenceF6F6Threat Intelligence СберX-ThreatIntelligence

Сравнить выбранные решения

Выберите два или три продукта. Все функции появятся рядом; выбирать задачу перед сравнением не требуется.

Сравнение возможностей

11 решений · 28 документальных критериев · 3 проверки на пилоте.

+ Есть · ± Есть условия · ? Нужно уточнить · − Подтверждённо нет · н/п Вне области · Пилот

Как читать отметки и версии

Нажмите отметку, чтобы увидеть условия, компонент и источник. Вопрос не означает отсутствие функции; н/п относится к описанной области, а не ко всему портфелю вендора. Число плюсов не показывает качество TI.

У платформ, порталов и фидов разное назначение. Не все компоненты поставщика входят в одну лицензию.

Таблица прокручивается вправо и вниз. Названия решений закреплены сверху.

Возможности TIP и TI-сервисов по документации указанных компонентов
Возможность	R-Vision TIPНомер версии самой TIP не установлен; не переносить версии соседних компонентов.	BI.ZONE Threat IntelligenceПубличное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку.	Security Vision TIPНомер версии самой TIP не установлен; не переносить версии соседних компонентов.	Гарда TI FeedsГарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds.	CT Threat Feed / CTT DownloaderРуководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API.	Kaspersky CyberTraceДокументация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются.	PT Threat AnalyzerAPI Cybsi SDK 2.14.3; версия SDK не номер серверной поставки.	PT Threat Intelligence FeedsТекущий раздел PT Feeds в PT Fusion. Операционное руководство/API не получено; историческая утилита2.1.1 рассмотрена отдельно.	Solar TIAPI 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии.	F6 Threat IntelligenceF6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке.	X-Threat IntelligenceX-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI.
Добавление собственных IoCПриём данных	? Нужно уточнить Интеграция Solar создаёт получаемые извне IoC; отдельная процедура ввода собственных индикаторов не описана. Старые презентационные заявления не перенесены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие типы собственных IoC создаются вручную, файлом и через API? Нужны обязательные поля, валидация, ограничения пачки и пример для текущей версии.	+ Есть по документации Пользователь создаёт индикатор, задаёт источник, TTL, достоверность, риск и контекстные поля. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. manual_ioc: [30, 31, 32, 33] Источник ↗	? Нужно уточнить Процедура ручного ввода и валидации собственных IoC не получена. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие типы собственных IoC создаются вручную, файлом и через API? Нужны обязательные поля, валидация, ограничения пачки и пример для текущей версии.	? Нужно уточнить Гарда TI Feeds поставляет подготовленные фиды; из назначения нельзя заключить отсутствие загрузки своих IoC в портал. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Возможен ли ввод собственных IoC вручную и файлом? Укажите типы, поля, лимиты, проверку ошибок и доступную версию.	? Нужно уточнить Руководство описывает приём фидов по протоколу REST и преобразование файлов. Операция добавления пользователем собственных IoC в CT Threat Feed не установлена. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Есть ли импорт собственных IoC, куда они сохраняются и как отделяются от фида поставщика?	+ Есть по документации Через интерфейс добавляются один или несколько IoC в InternalTI; можно задать атрибуты и summary. URL нормализуется, например порт удаляется. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. manual_ioc: Добавление пользовательских индикаторов Источник ↗	± Есть условия или подтверждена часть сценария SDK описывает регистрацию наблюдений с атрибутами IoC и связями; подтверждён API-сценарий, не ручная форма GUI. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. manual_ioc: Register a generic observation Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Добавление собственных IoC» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Добавление собственных IoC. Уточните версию и область лицензии.	? Нужно уточнить API2.0 описывает получение фидов/правил; портал — поиск и чтение. Добавление собственных IoC клиентом не установлено. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли документированный импорт собственных IoC в сервис/портал?	? Нужно уточнить Описана поставка собственных данных F6; загрузка пользовательских индикаторов этим не установлена. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Возможен ли ввод собственных IoC вручную и файлом? Укажите типы, поля, лимиты, проверку ошибок и доступную версию.	? Нужно уточнить LSUS передаёт активы и ПО; это не документированный импорт собственных IoC. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Возможен ли ввод собственных IoC вручную и файлом? Укажите типы, поля, лимиты, проверку ошибок и доступную версию.
Подключение внешних источников по расписаниюПриём данных	± Есть условия или подтверждена часть сценария Внешний Solar TI Feeds Agent загружает IoC в TIP по настраиваемому расписанию. Это сценарий внешнего агента, не доказательство всех штатных фидов TIP. Таблица параметров и полный пример на странице расходятся по интервалам. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Интеграция с R-Vision TIP; Конфигурация интеграции; Структура pipeline; RVisionSink Источник ↗ Что уточнить: Какие источники подключаются штатно, где задаётся расписание, как обрабатываются ошибки, повторные записи и превышение квот?	? Нужно уточнить Ручной импорт из файла, текста и URL описан. Настройка регулярного приёма сторонних фидов, расписания и повторов в открытом руководстве не раскрыта. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 33–35, 48 Источник ↗ Что уточнить: Как настроить регулярный приём стороннего фида: форматы, аутентификация, расписание и повторы при сбое?	? Нужно уточнить PDF перечисляет источники; технического контракта расписаний и обработки ошибок текущей версии нет. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие источники подключаются штатно, где задаётся расписание, как обрабатываются ошибки, повторные записи и превышение квот?	? Нужно уточнить Получение фида потребителем не равнозначно импорту произвольного внешнего источника самим сервисом по настройкам заказчика. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Можно ли подключить собственный внешний TI-источник по расписанию? Нужны параметры аутентификации, retry, ошибки и контроль пропущенных обновлений.	± Есть условия или подтверждена часть сценария Регулярная загрузка настраивается через cron или планировщик Windows. Внутренний планировщик сервиса этим не подтверждается. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [7] Источник ↗	± Есть условия или подтверждена часть сценария Подключение пользовательских и сторонних потоков зависит от лицензии; кодировка UTF-8. Коммерческие Kaspersky Threat Data Feeds требуют отдельного доступа. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. О потоках данных Лаборатории Касперского, пользовательских и сторонних потоках данных Источник ↗	? Нужно уточнить API позволяет зарегистрировать описание источника. Это не подтверждение готового подключения внешнего фида по расписанию, обработки ошибок и повторов. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. external_sources: Register custom data source Источник ↗ Что уточнить: Какие источники и текущие коннекторы PT Threat Analyzer загружаются по расписанию? Нужны руководство с аутентификацией, повтором ошибок и поддерживаемыми версиями.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Подключение внешних источников по расписанию» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Подключение внешних источников по расписанию. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Агент поддерживает расписание, полную выгрузку и получение изменений; для работы нужны облачный API и JWT. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Функциональные особенности агента Источник ↗	? Нужно уточнить Сбор источников командой F6 не доказывает настройку внешнего источника самим заказчиком. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Можно ли подключить собственный внешний TI-источник по расписанию? Нужны параметры аутентификации, retry, ошибки и контроль пропущенных обновлений.	? Нужно уточнить Расписание LSUS 1–168 часов относится к инвентаризации активов, не к подключению произвольных TI-источников. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Можно ли подключить собственный внешний TI-источник по расписанию? Нужны параметры аутентификации, retry, ошибки и контроль пропущенных обновлений.
Извлечение IoC из текста и документовПриём данных	± Есть условия или подтверждена часть сценария Конечная точка SIEM передаёт TEXT по TCP/UDP для извлечения IoC из полей событий. PDF, письма и вложения этим не подтверждены. TLS-переключатель именно этой конечной точки недоступен. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. R-Vision TIP; Включение TLS-сертификата Источник ↗ Что уточнить: Из каких текстов и файлов извлекаются IoC: тело письма, вложения, PDF, DOCX? Нужны поддерживаемые типы, правила парсинга и ограничения.	± Есть условия или подтверждена часть сценария Импорт индикаторов из DOCX, текста или веб-ресурса с предварительным просмотром. Поддержка STIX/TAXII этим разделом не установлена. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. unstructured_import: [33, 34, 35] Источник ↗	? Нужно уточнить Не найдено технического перечня поддерживаемых документов, вложений и правил извлечения. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Из каких текстов и файлов извлекаются IoC: тело письма, вложения, PDF, DOCX? Нужны поддерживаемые типы, правила парсинга и ограничения.	? Нужно уточнить Перечень форматов экспорта не является процедурой извлечения IoC из пользовательского документа. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Есть ли извлечение IoC из загруженных PDF/DOCX/текста, какие типы поддерживаются и можно ли проверить результат перед импортом?	? Нужно уточнить Downloader принимает структурированный JSON. Извлечение IoC из PDF, писем и свободного текста в CT Threat Feed не подтверждено; CTT Report Hub — отдельный сервис. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Есть ли в данной поставке извлечение из текста/PDF, либо требуется отдельный Report Hub?	± Есть условия или подтверждена часть сценария Из PDF и email, включая вложения, извлекаются IoC; Check parsing показывает первые 50 строк. Предустановленные регулярные выражения хэшей могут извлекать фрагменты длинных значений, руководство рекомендует уточнять их. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. unstructured_import: Выбор полей / регулярные выражения Источник ↗	? Нужно уточнить Загрузка артефакта и регистрация наблюдений в SDK не подтверждают извлечение IoC из произвольного PDF/DOCX/письма. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Какие документы разбираются автоматически, какие IoC извлекаются, как обрабатываются вложения и ошибки?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Извлечение IoC из текста и документов» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Извлечение IoC из текста и документов. Уточните версию и область лицензии.	? Нужно уточнить Прочитаны API, портал и агент. Отчёты можно читать, но загрузка произвольного документа с извлечением IoC не установлена. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Можно ли извлекать IoC из документов заказчика; какие форматы и операция?	? Нужно уточнить Обзор данных и расследований не содержит процедуры пользовательского импорта документов и проверки извлечения. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли извлечение IoC из загруженных PDF/DOCX/текста, какие типы поддерживаются и можно ли проверить результат перед импортом?	? Нужно уточнить Лендинг описывает аналитические отчёты поставщика, но не извлечение IoC из загруженных документов. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли извлечение IoC из загруженных PDF/DOCX/текста, какие типы поддерживаются и можно ли проверить результат перед импортом?
STIX: версии и направления обменаПриём данных	? Нужно уточнить На страницах и в буклетах есть заявления о STIX; в доступных инструкциях коннекторов нет контракта объектов и направлений обмена STIX. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Уточните версии STIX, поддерживаемые объекты/связи и направления импорт/экспорт; нужен пример bundle и правила обработки неизвестных полей.	? Нужно уточнить Текущая страница продукта заявляет STIX/TAXII 2.1. В доступном руководстве нет схемы STIX, перечня объектов и направлений импорта/экспорта; техническое подтверждение требуется. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 26, 33–35, 48 Источник ↗ Что уточнить: Пришлите раздел с версиями STIX, типами объектов и направлениями обмена, включая ограничения импорта и экспорта.	? Нужно уточнить В обзорном PDF указан STIX2; версия 2.0/2.1, направления и профиль объектов не заданы. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Уточните версии STIX, поддерживаемые объекты/связи и направления импорт/экспорт; нужен пример bundle и правила обработки неизвестных полей.	? Нужно уточнить STIX указан на странице, но версия и точные направления обмена не подтверждены операционной документацией. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие точные версии STIX поддерживаются, в каких направлениях и с какими типами объектов/relations и потерями полей?	? Нужно уточнить В Downloader документированы JSON/CSV и специализированные выходные форматы. Версия и направления STIX для российской поставки CT Threat Feed не установлены; сведения RST Report Hub не перенесены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Пришлите контракт STIX для CT Threat Feed: версия, импорт/экспорт, типы объектов и пример.	± Есть условия или подтверждена часть сценария Импорт STIX 1.0/1.1, 2.0 и 2.1; функция зависит от уровня лицензирования. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. stix_import: Добавление пользовательского или стороннего потока данных об угрозах Источник ↗	? Нужно уточнить Контракт импорта/экспорта STIX в проверенных пользовательских страницах SDK не найден; REST-объекты SDK не приравнены к STIX. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Какие версии STIX и типы объектов поддерживаются на входе и выходе? Нужна схема преобразования.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «STIX: версии и направления обмена» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: STIX: версии и направления обмена. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Адаптер OpenCTI передаёт STIX Indicator либо Observed Data. Версия стандарта STIX и импорт STIX в Solar не установлены; API2.0 фидов отдаёт собственный JSON. Номер API OpenCTI6/7 не является версией STIX. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. OpenCTISink: тип сущности, TLP, API version; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ Что уточнить: Какая версия STIX поддержана адаптером и какие поля/связи сохраняются?	? Нужно уточнить В найденной статье TI/SIEM заявлены STIX/TAXII 2; схемы объектов и точные направления текущей поставки не получены. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие точные версии STIX поддерживаются, в каких направлениях и с какими типами объектов/relations и потерями полей?	? Нужно уточнить REST-передача активов по документации LSUS не является STIX-обменом. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие точные версии STIX поддерживаются, в каких направлениях и с какими типами объектов/relations и потерями полей?
TAXII: версии, роли и коллекцииПриём данных	? Нужно уточнить Руководство с версией TAXII, ролями клиента/сервера и коллекциями не найдено; сторонние сравнительные таблицы не приняты как доказательство. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Уточните версии TAXII, роли клиента/сервера, коллекции, авторизацию и инкрементальную выборку; нужен раздел руководства с настройкой.	? Нужно уточнить На странице продукта есть заявление о STIX/TAXII 2.1. Роль клиента/сервера, работа с коллекциями и процедура подключения в открытом руководстве не описаны. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 48–50 Источник ↗ Что уточнить: Где описаны TAXII 2.1, роли клиента/сервера, коллекции, аутентификация и ограничения запросов?	? Нужно уточнить Поддержка TAXII и конкретные версии/роли не подтверждены операционной документацией. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Уточните версии TAXII, роли клиента/сервера, коллекции, авторизацию и инкрементальную выборку; нужен раздел руководства с настройкой.	? Нужно уточнить Общая надпись STIX/TAXII не определяет версию TAXII, роль, коллекции, пагинацию или лимиты. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие версии TAXII, клиент или сервер, коллекции, пагинация и авторизация поддерживаются?	? Нужно уточнить Приложение 2 задаёт HTTP(S) REST HEAD/GET с x-api-key. Роли клиента/сервера TAXII, версии и коллекции в этой поставке не установлены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Есть ли TAXII для российской поставки: версия, API root, collections и роли?	± Есть условия или подтверждена часть сценария Для STIX 2.0/2.1 предусмотрены TAXII 2.0/2.1. За подключение выбирается одна коллекция; репутационные потоки одного объекта не поддерживаются. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. taxii_import: Добавление пользовательского или стороннего потока данных об угрозах Источник ↗	? Нужно уточнить Наличие REST API и репутационных списков не означает TAXII-сервер или клиент. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Поддерживаются ли TAXII1/2/2.1, какие роли, коллекции и операции?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «TAXII: версии, роли и коллекции» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: TAXII: версии, роли и коллекции. Уточните версию и область лицензии.	? Нужно уточнить API2.0 использует REST JSON; адаптер OpenCTI передаёт сущности через API OpenCTI. Это не доказательство TAXII client/server. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли TAXII: версия, discovery, collections, роли?	? Нужно уточнить Упоминание TAXII 2 в статье не устанавливает версию 2.0/2.1, сервер/клиент, коллекции и контракт доставки. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие версии TAXII, клиент или сервер, коллекции, пагинация и авторизация поддерживаются?	? Нужно уточнить Наличие API и интеграций не устанавливает поддержку TAXII или коллекций. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие версии TAXII, клиент или сервер, коллекции, пагинация и авторизация поддерживаются?
Нормализация, дедупликация и сохранение источниковЖизненный цикл	? Нужно уточнить Нормализатор RV-N-298 работает на стороне SIEM с событиями TIP; это не документация дедупликации и сохранения источников в базе TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие поля определяют дубликат и нормализацию? Сохраняются ли все исходные источники после объединения индикатора?	± Есть условия или подтверждена часть сценария Пользователь может переключать источники в карточке одного индикатора и просматривать сведения каждого источника (страница29). Это подтверждает сохранение нескольких источников, но не алгоритм канонизации, идентичности, слияния конфликтующих полей или дедупликации. Общее утверждение аннотации страницы4 не заменяет этот контракт. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. multisource_preservation: [4, 29] Источник ↗ Что уточнить: Пришлите правила канонизации и слияния одинаковых IoC: ключ идентичности, конфликт confidence/TTL/TLP, история исходных значений и обновления источников.	? Нужно уточнить Обзорный PDF упоминает нормализацию и дедупликацию; ключи слияния и сохранение всех источников не определены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие поля определяют дубликат и нормализацию? Сохраняются ли все исходные источники после объединения индикатора?	? Нужно уточнить В одностраничном обзоре указана очистка и агрегация; алгоритм дедупликации и сохранение источников не раскрыты. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Как нормализуются и объединяются дубликаты IoC? Сохраняются ли все источники и конфликтующие поля? Нужны правила слияния.	? Нужно уточнить Схема задаёт типизированные поля IP/domain/URL/hash и источник. Правила нормализации, дедупликации и слияния нескольких источников не раскрыты. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Как нормализуются и объединяются повторные IoC; сохраняются ли все источники?	? Нужно уточнить Документированы нормализация входящих событий и URL для сопоставления. Объединение дубликатов IoC из разных фидов с сохранением всех источников этим не установлено. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. event_normalization: Настройка правил нормализации; url_normalization: Правила нормализации URL Источник ↗ · Источник ↗ Что уточнить: Как CyberTrace 5.3 объединяет один IoC из разных фидов: сохраняются ли все источники, история и разные TTL/confidence? Нужен раздел документации о дедупликации фидов.	± Есть условия или подтверждена часть сценария API канонизирует ключ сущности, например IDN-домен; возвращает ошибки InvalidKeySet/InvalidKey. Вместе с агрегатами источников это описывает отдельные механизмы модели, но не полный контракт дедупликации фидов и разрешения конфликтов. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. event_normalization: EntitiesAPI.canonize_key Источник ↗ Что уточнить: Нужны правила объединения одинаковых IoC из нескольких фидов, сохранения исходных значений и разрешения конфликтов.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Нормализация, дедупликация и сохранение источников» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Нормализация, дедупликация и сохранение источников. Уточните версию и область лицензии.	? Нужно уточнить Единая схема FeedIndicatorV2 задаёт UUID, типы и массив feeds. Алгоритм нормализации/дедупликации и сохранение всех исходных записей не установлен. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие правила объединения IoC и как сохраняется происхождение при слиянии?	? Нужно уточнить Заявления об очистке данных не раскрывают правила идентичности, дедупликации и слияния конфликтующих источников. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как нормализуются и объединяются дубликаты IoC? Сохраняются ли все источники и конфликтующие поля? Нужны правила слияния.	? Нужно уточнить Классификация источников на лендинге не описывает дедупликацию IoC, канонизацию и сохранение происхождения. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как нормализуются и объединяются дубликаты IoC? Сохраняются ли все источники и конфликтующие поля? Нужны правила слияния.
Происхождение, история и достоверностьЖизненный цикл	? Нужно уточнить integrationId в загрузке Solar обозначает интеграцию; он не подтверждает историю и сохранение конфликтующих оценок IoC в TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Где хранятся источник, время наблюдения и изменений, история оценок и конфликтующие сведения об одном IoC?	± Есть условия или подтверждена часть сценария Карточка сохраняет источники индикатора; можно переключать источник и читать его сведения. История объекта показывает время добавления, удаления и изменения статуса пользователями. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. provenance: [22, 29]; object_history: [30] Источник ↗	? Нужно уточнить Не найдены схема происхождения, история изменений и разрешение конфликтов источников. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Где хранятся источник, время наблюдения и изменений, история оценок и конфликтующие сведения об одном IoC?	? Нужно уточнить Маркировка актуальности заявлена в обзоре; схемы истории, first/last seen и confidence не получены. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие поля происхождения, first/last seen, confidence и история изменений доступны в карточке и API?	± Есть условия или подтверждена часть сценария Схема JSON включает имя и URL источника, first/last seen, контекст угроз, CVE и отрасль. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [14, 15, 16] Источник ↗	± Есть условия или подтверждена часть сценария Поиск различает supplier_name/vendor/confidence, даты создания и обновления, первое/последнее обнаружение, контекст и пользователя InternalTI/FalsePositive. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. provenance: Атрибуты поиска Источник ↗	± Есть условия или подтверждена часть сценария Наблюдения содержат исходный источник, reporter, время наблюдения и регистрации; generic-факты и связи задаются с confidence. Это отличается от одного агрегированного score. Observable API показывает data_source, seen_at, share_level, confidence источника и final_confidence; отмечает конфликты атрибутов. valuable_facts отсутствует в общих aggregate-ответах по умолчанию: для получения оснований требуется соответствующий метод/параметр. forecast_at задаёт дату агрегации, а не полную историю изменений. Это SDK-контракт, не гарантия качества TI. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. provenance: Observations / GenericObservationForm; observable_provenance: Observable: AttributeAggregatedValue / ValuableFactView / RelationshipsAPI.forecast; весь синхронный раздел прочитан Источник ↗ · Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Происхождение, история и достоверность» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Происхождение, история и достоверность. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария В записи есть фиды, first/last seen, updated_at и контекст источников; заполнение зависит от доступных данных. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. GET /api/v2/feeds/{feed-name-by-tree} Источник ↗	? Нужно уточнить Источники сбора перечислены в обзоре; структура полей first/last seen и история изменений не документированы в полученных материалах. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие поля происхождения, first/last seen, confidence и история изменений доступны в карточке и API?	? Нужно уточнить Источники и экспертиза перечислены на лендинге; контракт first/last seen, confidence и истории не получен. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие поля происхождения, first/last seen, confidence и история изменений доступны в карточке и API?
TTL, старение и архивированиеЖизненный цикл	? Нужно уточнить TTL активных списков SIEM/VM относится к другим продуктам. Документального контракта старения IoC в TIP не найдено. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Как задаются TTL и старение по источнику/типу IoC; что происходит после истечения и можно ли восстановить архивную запись?	± Есть условия или подтверждена часть сценария Истечение TTL переводит объект в архив. Автоматическое удаление из внешних блок-листов этим руководством не подтверждено. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. ttl_archive: [25, 41] Источник ↗	? Нужно уточнить Не найдены документированные правила старения, TTL и архивирования IoC. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Как задаются TTL и старение по источнику/типу IoC; что происходит после истечения и можно ли восстановить архивную запись?	? Нужно уточнить Частота обновления фидов не подтверждает срок жизни и архивирование IoC. Найден вебинар с главой TTL, но не получена его техническая инструкция. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Как задаются TTL по типам IoC, от какой даты считаются и что происходит после истечения: архив, скрытие или удаление?	? Нужно уточнить fseen/lseen/collect — временные отметки наблюдения. Они не задают TTL; --cday выбирает дату файла, а очистка tmp удаляет временный архив. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Как задаются срок актуальности и архивирование каждого типа IoC?	± Есть условия или подтверждена часть сценария Срок хранения IoC настраивается для источников, отличных от Kaspersky Threat Data Feeds; нельзя переносить эту настройку на все потоки. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. ttl_archive: Указание срока хранения записей потока данных об угрозах Источник ↗	? Нужно уточнить seen_at, forecast_at и confidence описывают наблюдения/агрегацию, а не политику срока хранения и архивации IoC. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Как задаётся TTL, когда IoC перестаёт попадать в выдачу, сохраняется ли архив и история?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «TTL, старение и архивирование» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: TTL, старение и архивирование. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Сетевые IoC имеют valid_until; хэши обрабатываются через CREATE/UPDATE/DELETE. Получатель должен удалять IoC и обновлять блокировки при DELETE. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Механизмы устаревания IoCs Источник ↗	? Нужно уточнить Непрерывное обновление данных не раскрывает TTL индикаторов и поведение после истечения. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как задаются TTL по типам IoC, от какой даты считаются и что происходит после истечения: архив, скрытие или удаление?	? Нужно уточнить Обновляемая аналитика не раскрывает правила устаревания и архивирования IoC. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как задаются TTL по типам IoC, от какой даты считаются и что происходит после истечения: архив, скрытие или удаление?
Отзыв IoC и удаление у получателяЖизненный цикл	? Нужно уточнить Передача индикаторов в TIP не описывает отзыв и доставку удаления получателю; эта операция остаётся открытой. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Как отзывается ошибочный IoC и доставляется снятие блокировки/удаление получателям; как подтверждается применение?	± Есть условия или подтверждена часть сценария Ручное удаление и истечение TTL переводят объект в архив. Передача отзыва и удаление IoC в подключённом СЗИ не подтверждены. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. revoke_local: [25, 41] Источник ↗ Что уточнить: Как получатель узнаёт об отзыве IoC: DELETE, дельта, полный срез? Нужна инструкция конкретного коннектора.	? Нужно уточнить Обзорные действия блокировки не задают протокол отзыва IoC и удаления у получателя. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Как отзывается ошибочный IoC и доставляется снятие блокировки/удаление получателям; как подтверждается применение?	? Нужно уточнить Нет полученной спецификации отзыва/удаления: обновление фида само по себе не описывает удаление у получателя. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Как отзывается ошибочный/устаревший IoC, передаётся ли удаление в дельте и что должен сделать получатель, чтобы снять блокировку?	? Нужно уточнить Описана загрузка полного файла за дату; отдельное действие DELETE/revoked и гарантированное снятие индикатора у SIEM не установлены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Как получатель узнаёт об отзыве и удаляет ранее загруженный IoC?	± Есть условия или подтверждена часть сценария REST удаляет локальные IoC только из API-источников, InternalTI и FalsePositive; максимум тела64МБ, возможен частичный успех с error_indicators. Этот метод не подтверждает доставку отзыва и удаление в каждом внешнем СЗИ. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. api_delete: DELETE suppliers/{supplier}/indicators Источник ↗	? Нужно уточнить Изменения репутационных списков Add/Remove описаны отдельно в export. Запрет delete_labels не является контрактом удаления IoC или внешнего отзыва. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Как IoC отзывается, какие списки получают Remove и как подтверждается удаление у получателя?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Отзыв IoC и удаление у получателя» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Отзыв IoC и удаление у получателя. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Сетевые IoC имеют valid_until; хэши обрабатываются через CREATE/UPDATE/DELETE. Получатель должен удалять IoC и обновлять блокировки при DELETE. Фильтр только active исключает DELETE. Чтобы снимать отозванные индикаторы, интеграция должна получать и обрабатывать удаления. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Механизмы устаревания IoCs; GET /api/v2/feeds/{feed-name-by-tree} Источник ↗ · Источник ↗	? Нужно уточнить Передача фидов и блокировка у получателя не доказывают отзыв ошибочных индикаторов и дельту удаления. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как отзывается ошибочный/устаревший IoC, передаётся ли удаление в дельте и что должен сделать получатель, чтобы снять блокировку?	? Нужно уточнить Bulk API активов не содержит контракта отзыва IoC или удаления индикатора у получателя. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как отзывается ошибочный/устаревший IoC, передаётся ли удаление в дельте и что должен сделать получатель, чтобы снять блокировку?
Поиск, фильтры и сохранённые выборкиАнализ	? Нужно уточнить Поиск и RQL в руководствах SIEM/VM не атрибутированы TIP. Руководство поиска и сохранённых выборок TIP недоступно. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие поля, операторы и связи доступны в поиске, можно ли сохранять и совместно использовать выборки?	+ Есть по документации Поиск и фильтры по источнику, TLP, отрасли и времени наблюдения; до 20 сохранённых фильтров. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. search_filters: [21, 23, 24] Источник ↗	? Нужно уточнить Не получено руководство фильтров, языка поиска и сохранённых выборок. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие поля, операторы и связи доступны в поиске, можно ли сохранять и совместно использовать выборки?	? Нужно уточнить Упомянут веб-интерфейс и теги/фильтры; синтаксис, сохранённые выборки и ограничения не подтверждены руководством. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие поля поиска и фильтров поддерживает пользовательский интерфейс? Можно ли сохранять выборки, есть ли лимиты?	± Есть условия или подтверждена часть сценария Фильтрация выгружаемого фида по полям, тегам, порогу опасности, fp_alarm и исключениям. Поисковый интерфейс аналитика и сохранённые выборки этим руководством Downloader не подтверждены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [6, 7, 10, 11, 12] Источник ↗	± Есть условия или подтверждена часть сценария Есть поиск по типу, значению, датам, источнику, confidence и контексту, логические операторы и сохранение запроса. Длина 1–1024 Unicode; начальная звёздочка может замедлить поиск. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. search_filters: Синтаксис и примеры поиска Источник ↗	± Есть условия или подтверждена часть сценария Документированы поиск сущностей через CybsiLang и постраничная выдача; репутационный список связан с сохранённым запросом. Наличие произвольных пользовательских сохранённых выборок в GUI этим API-сценарием не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. search_filters: Search entities Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Поиск, фильтры и сохранённые выборки» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Поиск, фильтры и сохранённые выборки. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Портал ищет индикаторы и фильтрует их по типу, фиду, зоне, категориям и времени. Учётные данные запрашиваются отдельно у поддержки. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Использование поиска / Индикаторы Источник ↗	? Нужно уточнить Упомянут поиск по Darkweb; руководство полей поиска, сохранённых выборок и лимитов не получено. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие поля поиска и фильтров поддерживает пользовательский интерфейс? Можно ли сохранять выборки, есть ли лимиты?	? Нужно уточнить Удобный интерфейс заявлен, но руководство поиска, фильтров и сохранения запросов не получено. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие поля поиска и фильтров поддерживает пользовательский интерфейс? Можно ли сохранять выборки, есть ли лимиты?
Внешнее обогащение и условия запускаАнализ	? Нужно уточнить Презентация перечисляет сервисы обогащения; найденный RST Cloud коннектор относится к R-Vision SOAR, а не TIP. Процедуры TIP не получены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие коннекторы обогащения доступны в текущей поставке, что запускает запрос, как ограничиваются квоты и повторные запросы?	± Есть условия или подтверждена часть сценария Ручное получение Passive DNS и WHOIS для URL и FQDN; автоматическое обогащение всех типов этим разделом не подтверждается. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. enrichment: [39, 40] Источник ↗	? Нужно уточнить Сервисы перечислены в обзорном PDF; условия запуска, квоты и обработка ошибок не заданы. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие коннекторы обогащения доступны в текущей поставке, что запускает запрос, как ограничиваются квоты и повторные запросы?	? Нужно уточнить Обогащение систем готовым фидом не означает подключение пользователем внешних сервисов обогащения. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие внешние источники обогащения доступны пользователю, как запускаются, требуются ли отдельные ключи/подписки и какие лимиты?	? Нужно уточнить Фид содержит готовые ASN, WHOIS, DNS и контекстные поля; это не подтверждает внешнее обогащение по запросу пользователя или настраиваемые триггеры. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Может ли заказчик запускать обогащение собственного IoC; какие сервисы, триггеры и лицензии?	± Есть условия или подтверждена часть сценария Обогащение через Kaspersky Threat Intelligence Portal требует Enterprise TIP, настроенного доступа к порталу и включённого Kaspersky Threat Lookup. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. Обогащение индикатора из Kaspersky Threat Intelligence Portal Источник ↗	± Есть условия или подтверждена часть сценария Есть очередь задач внешнего обогащения и регистрация результатов; пример требует реализации коннектора внешней базы. Есть запуск обогащения по запросу или регистрации и настраиваемые правила для внешних баз/анализа артефактов. Для OnRegistration throttling_interval не менее 3600 секунд; поставщики и их лицензии требуют отдельной сверки. API регистрирует внешние базы и анализаторы, связывает их с источниками и задаёт поддерживаемые типы. Тайм-аут задачи 1–864000 секунд, число попыток 1–1000; для анализатора задаётся лимит размера артефакта. Защита PATCH от конкурентного изменения использует tag. Конкретный поставляемый сервис и его подписка этим контрактом не подтверждены. POST /enrichment/tasks запускает обогащение; GET фильтрует задачи по объекту, источнику и статусу с cursor/limit. Очередь назначает задачи программному enricher, принимает результат и ошибку, запрещает чужой результат NotOwner. ExternalDBLookup возвращает observation, ArtifactAnalysis — report. Это машинные задачи обогащения, не RFI/назначение аналитика/согласование бюллетеня. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. enrichment: Enrichment; enrichment_rules: Enrichment / ConfigRulesAPI / ConfigRuleForm; enrichment_external_contract: Enrichment / ExternalDBsAPI и AnalyzersAPI: register, edit, filter; enrichment_task_results: Enrichment / TasksAPI, TaskQueueAPI, TaskView и формы результатов Источник ↗ · Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Внешнее обогащение и условия запуска» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Внешнее обогащение и условия запуска. Уточните версию и область лицензии.	? Нужно уточнить API отдаёт необязательные contexts с WHOIS/infrastructure и др., портал показывает DNS-статус. Настраиваемые вызовы внешнего enrichment клиентом не установлены. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Можно ли запускать обогащение вручную/по правилу и управлять внешними провайдерами?	? Нужно уточнить Графовый пример WHOIS/DNS не определяет внешние источники, подписки и способы запуска обогащения. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие внешние источники обогащения доступны пользователю, как запускаются, требуются ли отдельные ключи/подписки и какие лимиты?	? Нужно уточнить Аналитика Сбера и связи атрибутов не доказывают пользовательское подключение внешних обогатителей. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие внешние источники обогащения доступны пользователю, как запускаются, требуются ли отдельные ключи/подписки и какие лимиты?
Контекст ATT&CK, группировки и кампанииАнализ	? Нужно уточнить Маркетинговое описание контекста MITRE не задаёт модель, версию и обновление объектов в текущем TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Как представлены техники ATT&CK, акторы и кампании, связи с IoC и версии/обновление базы ATT&CK?	± Есть условия или подтверждена часть сценария При создании индикатора доступны поля фаз MITRE ATT&CK и Kill Chain; автоматическое определение техник не доказано. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. attack_context: [33] Источник ↗	? Нужно уточнить В PDF названа MITRE ATT&CK; версия, модель связей с акторами/кампаниями и процедура обновления не заданы. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Как представлены техники ATT&CK, акторы и кампании, связи с IoC и версии/обновление базы ATT&CK?	? Нужно уточнить Анонсы контекста MITRE не раскрывают модель связей, используемую версию ATT&CK и экспорт полей. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие версии/объекты ATT&CK связываются с IoC, группировками и кампаниями, и как это представлено в интерфейсе и API?	± Есть условия или подтверждена часть сценария JSON содержит threat (группировка/ВПО/утилита), CVE и industry. MITRE ATT&CK ID и модель кампаний здесь не установлены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. Приложение 3: threat, cve, industry Источник ↗ Что уточнить: Передаются ли ATT&CK ID и кампании; как связаны с индикаторами?	? Нужно уточнить Контекст IoC, теги, граф и переход в Kaspersky TI Portal описаны. В проверенных разделах нет контракта сопоставления с актуальной ATT&CK, группировками и кампаниями; смежный портал не приравнен к встроенной базе CyberTrace. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. gap_attack: Полный релевантный раздел; журнал поиска cybertrace-pass28-search.json Источник ↗ Что уточнить: Какие поля ATT&CK/группировок/кампаний импортируются и доступны в CyberTrace5.3? Нужны схема и пример с версией источника.	± Есть условия или подтверждена часть сценария Документированы атрибуты Campaigns, ThreatActors, Tactics и Techniques для File, DomainName, IPAddress, EmailAddress и URL. Это поддержка хранения контекстных полей, а не доказательство полноты актуальной базы ATT&CK или качества автоматической атрибуции. Страница модели данных содержит TODO. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. attack_context: Observable entities / AttributeNames: Campaigns, ThreatActors, Tactics, Techniques Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Контекст ATT&CK, группировки и кампании» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Контекст ATT&CK, группировки и кампании. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Связанные объекты могут содержать технику/подтехнику и mitre_id; наличие контекста не гарантировано для каждого IoC. В портале есть Enterprise, ICS и Mobile ATT&CK, поиск по ID и фильтр по акторам/платформам. Это справочный анализ, не измеренное покрытие детектирования. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. GET /api/v2/feeds/{feed-name-by-tree}; Матрица MITRE ATT&CK Источник ↗ · Источник ↗	? Нужно уточнить Обзор атрибуции группировок не устанавливает модель ATT&CK, версии и доступные связи/API. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие версии/объекты ATT&CK связываются с IoC, группировками и кампаниями, и как это представлено в интерфейсе и API?	? Нужно уточнить Лендинг называет группировки и инструменты; версия ATT&CK и правила отображения связей не установлены. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие версии/объекты ATT&CK связываются с IoC, группировками и кампаниями, и как это представлено в интерфейсе и API?
Граф связей и объекты отчётовАнализ	? Нужно уточнить Презентационные изображения связей не задают контракт графа, объектов и сохранения отчётов текущей версии. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие объекты и связи поддерживает граф, можно ли редактировать/сохранять его и связывать с отчётами?	± Есть условия или подтверждена часть сценария Граф связей индикаторов, групп и источников; фильтрация объектов и просмотр связанных сущностей. Есть группы типа Report, связи с индикаторами и поля источника/ссылки отчёта; не приравнивать к процессу согласования бюллетеней. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. relationship_graph: [42, 43, 44, 45, 46, 47]; report_objects: [36, 54, 55, 56, 57, 72] Источник ↗	? Нужно уточнить Обзорный PDF упоминает граф; техническое описание объектов, связей и сохранения не получено. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие объекты и связи поддерживает граф, можно ли редактировать/сохранять его и связывать с отчётами?	? Нужно уточнить Портал и карточка IoC не подтверждают граф связей с редактируемыми объектами отчётов. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие сущности и связи отображаются в графе, можно ли добавлять собственные объекты и как связаны отчёты и IoC?	н/п Вне указанной области применения Построение графа и создание отчётов аналитиком находится вне документированного назначения Downloader: он загружает, фильтрует и передаёт IoC. Анализ событий выполняет подключённая система; вывод не распространяется на другие сервисы вендора. Только CT Threat Feed + CTT Downloader по руководству; не весь портфель CTT 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗	± Есть условия или подтверждена часть сценария Граф визуализирует индикаторы, обнаружения и отчёты. Обогащение внешними источниками и доступность графов зависят от настроек/лицензии. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. relationship_graph: Использование графов Источник ↗	± Есть условия или подтверждена часть сценария Через API регистрируется Report с наблюдениями, артефактами, описанием и уровнем доступа. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. report_objects: Register a report Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Граф связей и объекты отчётов» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Граф связей и объекты отчётов. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария API возвращает related_objects (включая REPORT/THREAT_ACTOR/ATTACK_PATTERN), портал позволяет переходить к связанным объектам и читать отчёты. Интерактивный граф и создание отчётов клиентом не установлены. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема; Портал: меню и все пользовательские разделы Источник ↗ · Источник ↗ Что уточнить: Есть ли графическое редактирование связей и создание собственных отчётов?	? Нужно уточнить Граф явно заявлен и проиллюстрирован, но получены брошюра и технический блог, не руководство операций графа. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие сущности и связи отображаются в графе, можно ли добавлять собственные объекты и как связаны отчёты и IoC?	? Нужно уточнить Гибкие взаимосвязи атрибутов в описании не доказывают наличие пользовательского графа и операций над ним. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие сущности и связи отображаются в графе, можно ли добавлять собственные объекты и как связаны отчёты и IoC?
Комментарии, confidence, FP и исключенияАнализ	? Нужно уточнить Заявления об исключениях встречаются в новостях, но руководство confidence/FP/комментариев текущей версии не найдено. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Как аналитик меняет confidence, отмечает false positive, добавляет комментарий и исключение; как это влияет на последующую обработку?	± Есть условия или подтверждена часть сценария Можно поставить положительную/отрицательную оценку релевантности и добавить комментарий к индикатору или группе. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. analyst_feedback: [39] Источник ↗	? Нужно уточнить Не получены инструкции confidence, FP, исключений и комментариев с влиянием на обработку. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Как аналитик меняет confidence, отмечает false positive, добавляет комментарий и исключение; как это влияет на последующую обработку?	? Нужно уточнить Рекламное снижение FP не подтверждает инструменты пользовательской оценки FP/confidence и исключений. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Может ли пользователь добавлять комментарии, менять confidence, отмечать FP и управлять исключениями; кто видит эти изменения?	± Есть условия или подтверждена часть сценария Можно фильтровать по fp.alarm и score.total, сохранять теги вопреки порогу score через ignorefilters. Изменение аналитиком исходного confidence/FP и комментарии не подтверждены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. filters.yml и схема fp/score Источник ↗ Что уточнить: Можно ли исправлять FP/оценку у источника и передавать обратную связь?	± Есть условия или подтверждена часть сценария Можно отметить один или несколько индикаторов как ложные срабатывания, опционально вместе со связанными обнаружениями. Это функция обработки, не измерение качества детектирования. В карточке можно добавлять и удалять комментарии, назначать теги и менять пользовательский контекст InternalTI. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. Отметка индикаторов как ложных срабатываний Источник ↗ · Источник ↗	± Есть условия или подтверждена часть сценария Для источника и его типа вручную задаётся доверие 0–1; значение источника переопределяет наследуемое значение типа. Это настройка, не измеренная точность. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. confidence_control: data-sources Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Комментарии, confidence, FP и исключения» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Комментарии, confidence, FP и исключения. Уточните версию и область лицензии.	? Нужно уточнить В портале описаны отображение и фильтрация признака False Positive. Возможность аналитика изменять FP/confidence, добавлять комментарии или исключения не установлена. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Индикаторы Источник ↗ Что уточнить: Может ли аналитик заказчика изменять FP/confidence и добавлять комментарии или исключения в текущем портале Solar TI? Просим инструкцию с правами доступа.	? Нужно уточнить В полученных материалах нет пользовательской процедуры комментариев, изменения confidence/FP и исключений. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Может ли пользователь добавлять комментарии, менять confidence, отмечать FP и управлять исключениями; кто видит эти изменения?	? Нужно уточнить Публичные материалы не дают процедуры комментариев, изменения confidence и обработки FP самим пользователем. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Может ли пользователь добавлять комментарии, менять confidence, отмечать FP и управлять исключениями; кто видит эти изменения?
Создание и распространение бюллетенейСовместная работа	? Нужно уточнить Бюллетени описаны в презентации и буклете; пошагового документа по созданию, согласованию и доставке не найдено. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Как создаются, согласуются, версионируются и рассылаются бюллетени; какие есть форматы и ограничения доступа получателей?	± Есть условия или подтверждена часть сценария Можно создавать группы Report и настраивать почтовые уведомления о новых объектах, комментариях, обратной связи и статусах. Процесс подготовки, согласования и адресной рассылки бюллетеня не установлен. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. bulletin_objects: [35, 36, 51, 52, 53, 72] Источник ↗ Что уточнить: Есть ли подготовка и адресная публикация бюллетеней с согласованием? Укажите отличие от группы Report и уведомления об объекте.	? Нужно уточнить Экспорт отчётности в PDF/DOCX не доказывает workflow создания и распространения бюллетеней. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Как создаются, согласуются, версионируются и рассылаются бюллетени; какие есть форматы и ограничения доступа получателей?	? Нужно уточнить Наличие отчётов как контекста IoC не подтверждает создание и распространение собственных бюллетеней. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Можно ли создавать собственные бюллетени и распространять их с ограничениями доступа? Чтение отчётов поставщика просим отделить.	н/п Вне указанной области применения Создание и распространение собственных бюллетеней находится вне документированного назначения Downloader: он загружает, фильтрует и передаёт IoC. Анализ событий выполняет подключённая система; вывод не распространяется на другие сервисы вендора. Только CT Threat Feed + CTT Downloader по руководству; не весь портфель CTT 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗	? Нужно уточнить Описана рассылка статистических отчётов по расписанию для тенанта. Создание и распространение собственных аналитических бюллетеней этим не подтверждено. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. scheduled_reports: Настройка отчетов для тенанта Источник ↗ Что уточнить: Есть ли в CyberTrace 5.3 создание собственного аналитического бюллетеня с IoC и рассылкой получателям? Просим руководство; статистические отчёты по обнаружениям рассматриваем отдельно.	± Есть условия или подтверждена часть сценария API создаёт объект отчёта с title, description, published_at, ссылками, наблюдениями и артефактами. Публикация объекта не подтверждает рассылку бюллетеня, согласование или назначение исполнителя. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. report_publication: Reports / ReportForm Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Создание и распространение бюллетеней» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Создание и распространение бюллетеней. Уточните версию и область лицензии.	? Нужно уточнить В портале есть чтение экспертных и автоматических отчётов. Создание, согласование и рассылка бюллетеня клиентом не подтверждены. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Может ли клиент создавать и рассылать собственные бюллетени?	? Нужно уточнить Ежеквартальные отчёты F6 — потребляемый контент; редактор и распространение собственных бюллетеней не подтверждены. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Можно ли создавать собственные бюллетени и распространять их с ограничениями доступа? Чтение отчётов поставщика просим отделить.	? Нужно уточнить Еженедельные дайджесты Сбера не равнозначны созданию бюллетеней пользователем. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Можно ли создавать собственные бюллетени и распространять их с ограничениями доступа? Чтение отчётов поставщика просим отделить.
Задания, RFI, ответственные и согласованиеСовместная работа	? Нужно уточнить Схема автоматизации из презентации не доказывает наличие RFI, исполнителей, сроков и согласований в отдельной TIP-поставке. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Есть ли задания/RFI, ответственные, статусы, сроки и согласование; какие сценарии требуют отдельного SOAR?	? Нужно уточнить Группы, комментарии и уведомления о событиях описаны. Назначение аналитика, RFI, сроки и согласование результата этим руководством не подтверждены. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 35–39, 51–53 Источник ↗ Что уточнить: Есть ли задания аналитика/RFI с ответственным, сроком, статусом и согласованием результата? Нужен соответствующий раздел руководства.	? Нужно уточнить Автоматический/ручной рабочий процесс описан обзорно; RFI, исполнители, сроки и согласование не определены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Есть ли задания/RFI, ответственные, статусы, сроки и согласование; какие сценарии требуют отдельного SOAR?	? Нужно уточнить Поставка фидов для SOAR не доказывает наличие собственного процесса RFI/согласования. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Есть ли внутри продукта RFI/задачи, ответственные, статусы и согласование, или запрос аналитику обслуживается отдельно?	н/п Вне указанной области применения RFI, назначение ответственных и согласование находится вне документированного назначения Downloader: он загружает, фильтрует и передаёт IoC. Анализ событий выполняет подключённая система; вывод не распространяется на другие сервисы вендора. Только CT Threat Feed + CTT Downloader по руководству; не весь портфель CTT 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗	? Нужно уточнить Карточка IoC поддерживает комментарии, FP, теги и InternalTI. Задания/RFI, ответственные, сроки и согласование в проверенных пользовательских разделах не установлены. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. gap_workflow: Полный релевантный раздел; журнал поиска cybertrace-pass28-search.json Источник ↗ Что уточнить: Есть ли встроенные задания/RFI с ответственными и сроками, либо они выполняются во внешней SIEM/SOAR? Пришлите руководство.	? Нужно уточнить Tasks в прочитанном SDK относятся к внешнему обогащению; это не задания аналитика с RFI и ответственными. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Есть ли RFI, назначение ответственных, сроки и согласование либо требуется внешняя SOAR?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Задания, RFI, ответственные и согласование» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Задания, RFI, ответственные и согласование. Уточните версию и область лицензии.	? Нужно уточнить Руководство портала содержит поиск, индикаторы, акторов и отчёты; RFI, назначения и согласования не установлены. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Поддерживает ли портал RFI, ответственных и согласование, или это задача внешней TIP/SOAR?	? Нужно уточнить Персональный аналитик и целевая аналитика по запросу не подтверждают внутренний workflow с ответственными и согласованием. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли внутри продукта RFI/задачи, ответственные, статусы и согласование, или запрос аналитику обслуживается отдельно?	? Нужно уточнить Заявка на подключение по почте не является RFI/workflow внутри платформы. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли внутри продукта RFI/задачи, ответственные, статусы и согласование, или запрос аналитику обслуживается отдельно?
Проверка текущих событий по IoCПрименение	? Нужно уточнить Коннектор SIEM → TIP подтверждает доставку событий для извлечения IoC, но не описывает алгоритм текущего сопоставления и выдачу обнаружений. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие события и типы IoC участвуют в текущем сопоставлении, какие сенсоры и коннекторы нужны и где фиксируются обнаружения?	? Нужно уточнить Поиск IoC в базе и перечень интеграций не подтверждают встроенное сопоставление потока событий заказчика с индикаторами. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 21–26, 48 Источник ↗ Что уточнить: Сопоставляет ли сама платформа события заказчика с IoC или это выполняется внешним СЗИ? Какие форматы, компоненты и режимы поддерживаются?	? Нужно уточнить Match упомянут в обзорном PDF; формальная инструкция для типов IoC, событий и условий срабатывания отсутствует. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие события и типы IoC участвуют в текущем сопоставлении, какие сенсоры и коннекторы нужны и где фиксируются обнаружения?	? Нужно уточнить Описано обогащение СЗИ; нельзя переносить корреляцию NDR/SIEM на сервис TI Feeds. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие текущие события заказчика сам продукт сопоставляет с IoC? Укажите входные форматы, движок и отличие от корреляции во внешнем SIEM/NDR.	н/п Вне указанной области применения Корреляция текущих событий заказчика находится вне документированного назначения Downloader: он загружает, фильтрует и передаёт IoC. Анализ событий выполняет подключённая система; вывод не распространяется на другие сервисы вендора. Только CT Threat Feed + CTT Downloader по руководству; не весь портфель CTT 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗	± Есть условия или подтверждена часть сценария Источники событий определяются по IP, hostname или регулярному выражению; для каждого настраиваются нормализация и извлечение URL, хэшей, IP, домена и контекста. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. event_input: Добавление источника / регулярные выражения Источник ↗	? Нужно уточнить Поиск сущностей и репутационные списки не доказывают встроенную обработку потока событий. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Где выполняется matching событий: внутри TA или во внешнем получателе? Нужна инструкция источника и схема.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Проверка текущих событий по IoC» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Проверка текущих событий по IoC. Уточните версию и область лицензии.	н/п Вне указанной области применения API/агент доставляют TI в СЗИ, портал позволяет поиск по индикаторам. Проверка текущего потока событий заказчика относится к принимающей SIEM/NDR; документированный контур Solar TI Feeds не является коллектором событий. Solar TI Feeds API2.0 и портал; не другие продукты Solar SOC API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы Источник ↗ · Источник ↗	? Нужно уточнить Интеграция с SIEM не доказывает, что сопоставление событий выполняет сам портал F6 TI. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие текущие события заказчика сам продукт сопоставляет с IoC? Укажите входные форматы, движок и отличие от корреляции во внешнем SIEM/NDR.	? Нужно уточнить Анализ уязвимостей активов и внешний мониторинг не подтверждают сопоставление текущих событий SOC с IoC. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие текущие события заказчика сам продукт сопоставляет с IoC? Укажите входные форматы, движок и отличие от корреляции во внешнем SIEM/NDR.
Ретроспективная проверка событийПрименение	? Нужно уточнить Заявления о ретропоиске есть в презентациях; процедуры выбора периода, источника событий и ограничений текущей версии не найдены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Как задаётся период ретропоиска, где хранятся исходные события, какие индексы/интеграции и ограничения нужны?	? Нужно уточнить Поиск объектов в архиве описан; повторная проверка исторических событий заказчика при получении нового IoC не установлена. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 25, 41, 48 Источник ↗ Что уточнить: Есть ли повторная проверка накопленных событий по новым IoC? Где хранятся события, как запускается проверка и каков срок истории?	? Нужно уточнить Retro упомянут в обзорном PDF; источник событий, период и процедура запуска не установлены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Как задаётся период ретропоиска, где хранятся исходные события, какие индексы/интеграции и ограничения нужны?	? Нужно уточнить Термин «ретроспективное описание угрозы» в обзоре не подтверждает хранение и повторную проверку событий заказчика. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Есть ли повторная проверка сохранённых событий при новых IoC, где хранятся события и каковы срок хранения и ограничения?	н/п Вне указанной области применения Повторная проверка исторических событий заказчика находится вне документированного назначения Downloader: он загружает, фильтрует и передаёт IoC. Анализ событий выполняет подключённая система; вывод не распространяется на другие сервисы вендора. Только CT Threat Feed + CTT Downloader по руководству; не весь портфель CTT 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗	± Есть условия или подтверждена часть сценария Сохранённые события повторно проверяются по обновлённым потокам; настраиваются расписание, сроки хранения и объём. Настройки доступны администратору; ресурсоёмкость проверяется на пилоте. Для CyberTrace ≥5.0 описаны коллектор обогащения и отдельный TCP-коллектор оповещений с нормализатором [OOTB] CyberTrace. API lookup и ретроскан включаются в CyberTrace; неизвестные при первичном проходе индикаторы сохраняются в его базе ретроскана. Повтор по расписанию или вручную отправляет совпадения в KUMA; не заявлять поиск по всему историческому хранилищу KUMA. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. Настройка ретроспективного сканирования Источник ↗ · Источник ↗	? Нужно уточнить Поиск накопленных сущностей не равен повторной проверке исторических событий по новым IoC. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Есть ли ретропоиск событий, где они хранятся и как запускается проверка нового IoC?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Ретроспективная проверка событий» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Ретроспективная проверка событий. Уточните версию и область лицензии.	н/п Вне указанной области применения API/агент доставляют TI в СЗИ, портал позволяет поиск по индикаторам. Повторная проверка исторических событий заказчика относится к принимающей SIEM/NDR; документированный контур Solar TI Feeds не является коллектором событий. Solar TI Feeds API2.0 и портал; не другие продукты Solar SOC API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы Источник ↗ · Источник ↗	? Нужно уточнить Ретроспективные данные исследований не равны пересканированию журнала событий заказчика. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли повторная проверка сохранённых событий при новых IoC, где хранятся события и каковы срок хранения и ограничения?	? Нужно уточнить Сведения об атаках и уязвимостях не подтверждают повторную проверку сохранённых событий организации. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Есть ли повторная проверка сохранённых событий при новых IoC, где хранятся события и каковы срок хранения и ограничения?
Экспорт IoC: форматы, полный срез и дельтаПередача	? Нужно уточнить TIP → SIEM документирует отправку событий; это не полный/дельта-экспорт базы IoC с удалениями. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие форматы экспорта IoC доступны, есть ли полный снимок и дельта с удалениями, как устроены фильтры и пагинация?	± Есть условия или подтверждена часть сценария Выгрузка индикаторов и групп в CSV с фильтрами; до 10000 индикаторов на файл, набор полей задаётся администратором. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. csv_export: [26] Источник ↗	? Нужно уточнить Файлы отчётности перечислены в PDF; полный/дельта-экспорт базы IoC с удалениями не описан. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие форматы экспорта IoC доступны, есть ли полный снимок и дельта с удалениями, как устроены фильтры и пагинация?	? Нужно уточнить JSON/SIG/TXT/CSV/STIX заявлены, но нет операционной схемы полей, лимитов и полной/дельта-выгрузки. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Нужны форматы и поля экспорта IoC, ограничения размера/пагинации, отличие полного снимка от дельты и отражение удалений.	± Есть условия или подтверждена часть сценария Загрузка IP, Domain, URL и Hash через HTTP(S), x-api-key, HEAD Last-Modified и GET JSON/gzip. Скачанные индикаторы сохраняются локально и преобразуются в CSV; исходный формат JSON. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [3, 13]; [3, 6, 8] Источник ↗	± Есть условия или подтверждена часть сценария CSV-экспорт с фильтрами и расписанием: максимум 1000000 записей, по умолчанию 50000; зависит от лицензии и настраивается администратором. Полный/инкрементный входной поток Kaspersky не доказывает delta-экспорт произвольному получателю. Формат и поля сверяются по конкретной задаче экспорта. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. csv_export: Настройка экспорта индикаторов; delta_updates: Инкрементные потоки Источник ↗ · Источник ↗	± Есть условия или подтверждена часть сценария API отдаёт изменения репутационного списка по курсору. Перед слежением требуется получить все страницы исходного списка. API выдаёт полный репутационный список и изменения Add/Remove по курсору. Список привязан к сохранённому запросу. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. delta_updates: Reputation list changes; reputation_export: reputation-lists Источник ↗ · Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Экспорт IoC: форматы, полный срез и дельта» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Экспорт IoC: форматы, полный срез и дельта. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Агент выгружает CSV/TXT, настраивает поля, разделители и режим записи; также поддерживает отправку в Kafka. Для последовательной выгрузки изменений используется updated_at и возрастающая сортировка; обход продолжается до пустого ответа. JSON API: типы IP/IPv6, домен, URL, socket, FILE и хэши; размер страницы 1–1000, пагинация updated_at. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Результаты работы агента; Получение изменённых индикаторов; GET /api/v2/feeds/{feed-name-by-tree} Источник ↗ · Источник ↗ · Источник ↗	? Нужно уточнить Форматы упомянуты в статье, но контракт полей, лимитов, полного снимка и дельты не получен. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужны форматы и поля экспорта IoC, ограничения размера/пагинации, отличие полного снимка от дельты и отражение удалений.	? Нужно уточнить LSUS экспортирует данные в X-TI; это не экспорт IoC из X-TI. Полная/дельта-выгрузка не установлена. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужны форматы и поля экспорта IoC, ограничения размера/пагинации, отличие полного снимка от дельты и отражение удалений.
API: операции, аутентификация и пагинацияПередача	± Есть условия или подтверждена часть сценария Solar Agent отправляет IoC через TIP API с x-api-key и integrationId. Чтение, изменение, удаление, пагинация и лимиты TIP API не описаны. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Интеграция с R-Vision TIP; Конфигурация интеграции; Структура pipeline; RVisionSink Источник ↗ Что уточнить: Нужна спецификация API текущей версии: операции, endpoint, схема авторизации и прав, пагинация, лимиты и коды ошибок.	± Есть условия или подтверждена часть сценария Пользователь создаёт ключ API после подтверждения текущим паролем; подробные API-инструкции отсылаются в раздел Документация. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. api_key: [49, 50] Источник ↗	? Нужно уточнить Публикации в блоге сообщают REST/JSON, но спецификация endpoint, auth, pagination и ошибок текущей TIP не получена. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Нужна спецификация API текущей версии: операции, endpoint, схема авторизации и прав, пагинация, лимиты и коды ошибок.	? Нужно уточнить Упоминание интеграций не заменяет API-спецификацию методов, авторизации, пагинации и ошибок. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Нужна актуальная спецификация API: операции чтения/изменения TI-объектов, аутентификация, права токена, пагинация, rate limits и ошибки.	± Есть условия или подтверждена часть сценария Загрузка IP, Domain, URL и Hash через HTTP(S), x-api-key, HEAD Last-Modified и GET JSON/gzip. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [3, 13] Источник ↗	± Есть условия или подтверждена часть сценария REST API управляет источниками, созданными через API, а также индикаторами InternalTI и FalsePositive. Управление всеми обычными потоками через API не подтверждено: руководство прямо ограничивает область. REST API использует HTTPS и Basic-аутентификацию; версия API в примере 1.1 не является версией CyberTrace. Удаление IoC доступно только для источников, созданных REST API, InternalTI и FalsePositive. Максимум тела 64 МБ; возможен частичный успех с error_indicators, который получатель обязан разбирать. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. О REST API; роли доступа к API Источник ↗ · Источник ↗ · Источник ↗	± Есть условия или подтверждена часть сценария Ключу задаются срок действия и права; возможен необратимый отзыв. По умолчанию наследуются права владельца. Клиент получает Bearer-токен по API-ключу и использует его для запросов к Threat Analyzer. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. api_keys: api-keys; api_auth: API-Key Источник ↗ · Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «API: операции, аутентификация и пагинация» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: API: операции, аутентификация и пагинация. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария JWT Bearer-токен выдаёт поддержка на согласованный срок и набор фидов; продление также запрашивается через поддержку. JSON API: типы IP/IPv6, домен, URL, socket, FILE и хэши; размер страницы 1–1000, пагинация updated_at. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Описание API; GET /api/v2/feeds/{feed-name-by-tree} Источник ↗ · Источник ↗	? Нужно уточнить REST API заявлен; текущая публичная спецификация операций/пагинации не обнаружена в проверенных источниках. API отдельного TI Feeds не наследуется. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужна актуальная спецификация API: операции чтения/изменения TI-объектов, аутентификация, права токена, пагинация, rate limits и ошибки.	± Есть условия или подтверждена часть сценария Документация LSUS описывает POST /api/users/myorg/assetWithSoft/bulk с Bearer для приёма активов и ПО в X-Threat. Только запись активов: чтение/изменение TI-объектов, пагинация и права токена не подтверждены. Версия X-Threat не указана. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ Что уточнить: Нужна спецификация именно TI API: методы IoC/отчётов, права токена, пагинация и лимиты. Подтвердите совместимую сборку X-Threat для LSUS-коннектора.
Интеграции: направление, версии и типы данныхПередача	± Есть условия или подтверждена часть сценария Документированы TIP → R-Vision SIEM (Socket, RV-N-298), SIEM → TIP (TEXT, TCP/UDP) и Solar Agent → TIP (API). Версия TIP и общая матрица совместимости не указаны. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Настройка R-Vision TIP / Настройка в R-Vision SIEM; R-Vision TIP; Конфигурация интеграции Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужна матрица совместимости коннекторов с направлением потока, версиями SIEM/SOAR/NGFW/NDR, типами IoC и инструкцией настройки.	± Есть условия или подтверждена часть сценария В руководстве Mail Security описана проверка выбранных почтовых объектов через TI с сервером, токеном и timeout. Релиз не указан; прямой HTTP запрос 07.10 вернул 404, текст получен из индексированного web-reader. Актуальный адрес и совместимость требуют сверки. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. mail_integration: Настройка подключения, шаги 1–5 Источник ↗	? Нужно уточнить Обзорный список коннекторов не содержит достаточной версии/направления/инструкции настройки для подтверждения ячейки. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Нужна матрица совместимости коннекторов с направлением потока, версиями SIEM/SOAR/NGFW/NDR, типами IoC и инструкцией настройки.	? Нужно уточнить На странице названы KUMA, UserGate, Континент и другие, но конкретные версии/операционные инструкции не получены. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Пришлите инструкции конкретных SIEM/SOAR/NGFW/NDR-интеграций с версиями обеих сторон, направлением данных, типами IoC и лимитами.	± Есть условия или подтверждена часть сценария Предусмотрены mpsiem, qradar, arcsight и другие выходные форматы; автоматическая установка --upload описана только для MP SIEM и QRadar. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [8] Источник ↗	± Есть условия или подтверждена часть сценария Задачи экспорта формируют списки для восьми семейств NGFW; приём списка дополнительно настраивается в самом NGFW. Формат и тип IoC зависят от получателя. Руководство KUMA 4.2 описывает обогащение на коллекторе через cybertrace-http с сопоставлением полей. Проверка соединения по умолчанию отсутствует; приведены тестовое событие и проверка результата/журнала. Встраивание веб-интерфейса — отдельный сценарий, не условие любого HTTP-обогащения. Встраивание интерфейса CyberTrace в KUMA использует credentials-секрет, CORS и выбор версии API. Для ≥5.0 запросы идут в тенант General; значение по умолчанию <5 нужно изменить. Через меню события можно добавлять домен, URL, IP или хеш в Internal TI. Общая страница интеграции требует TIP Enterprise для встроенного UI; не переносить это требование автоматически на любой поиск IoC. Для CyberTrace ≥5.0 описаны коллектор обогащения и отдельный TCP-коллектор оповещений с нормализатором [OOTB] CyberTrace. API lookup и ретроскан включаются в CyberTrace; неизвестные при первичном проходе индикаторы сохраняются в его базе ретроскана. Повтор по расписанию или вручную отправляет совпадения в KUMA; не заявлять поиск по всему историческому хранилищу KUMA. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. ngfw_export: Экспорт индикаторов в NGFW; kuma_enrichment: Шаги интеграции, пример проверки обогащения; kuma_web_integration: Параметры интеграции и обновление Internal TI; kuma_retro_delivery: Настройка и этапы ретроспективного сканирования Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗	± Есть условия или подтверждена часть сценария PT Email Security5.30 отправляет результаты заданий с опасными/потенциально опасными файлами в PT Threat Analyzer2.10 и выше через REST API: отдельный отчёт на задание. Нужны выделенная учётная запись, API-ключ с перечисленными привилегиями, источник PT Email Security и привязка к учётной записи. Настраиваются уровень доступа и отправка только угроз либо также связанных файлов. Это входящий сценарий Email Security→TA, не универсальная совместимость всех коннекторов. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. email_security_delivery: [195, 196] Источник ↗ Что уточнить: Подтвердите совместимость текущих версий, повторы после ошибок и ограничения размера/типов передаваемых файлов.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Интеграции: направление, версии и типы данных» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Интеграции: направление, версии и типы данных. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Документированы отдельные коннекторы Solar TI. CyberTrace, NAD и MISP проверены по исторической ветке 1.1.0: совместимость с текущим агентом и API 2.0 требует сверки. Для R-Vision предусмотрено настраиваемое расписание, но таблица параметров и полный пример конфигурации расходятся; фактические интервалы нужно сверить в поставке. OpenCTI описан отдельной инструкцией. Возможности одного адаптера не переносятся на остальные. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Pipeline / фильтрация; Вся инструкция: требования, параметры, полный пример, мониторинг; Вся инструкция: требования, параметры, полный пример, мониторинг; Вся инструкция: требования, параметры, полный пример, мониторинг; Требования, pipeline, таблицы параметров и мониторинг; скрытый полный код не раскрыт Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗	? Нужно уточнить Есть перечень классов SIEM/SOAR/TIP, но нет полученной инструкции с версиями и конкретным направлением IoC. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Пришлите инструкции конкретных SIEM/SOAR/NGFW/NDR-интеграций с версиями обеих сторон, направлением данных, типами IoC и лимитами.	? Нужно уточнить Документированный LSUS-коннектор — импорт активов, не SIEM/SOAR/NGFW/NDR-поток IoC. Партнёрские анонсы не операционные инструкции. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Пришлите инструкции конкретных SIEM/SOAR/NGFW/NDR-интеграций с версиями обеих сторон, направлением данных, типами IoC и лимитами.
TLP и ограничения распространенияДоступ	? Нужно уточнить Ни инструкция передачи событий, ни интеграция Solar не описывает применение TLP к выдаче и экспорту данных TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие версии TLP поддерживаются, где проверяются права распространения и блокируется ли запрещённый экспорт автоматически?	± Есть условия или подтверждена часть сценария У объектов есть TLP, описаны White/Green/Amber/Red. Соответствие современной TLP 2.0 и автоматическое внешнее разграничение требуют проверки. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. tlp: [5, 6, 33] Источник ↗	? Нужно уточнить TLP упоминается в обзоре блога; принудительное применение правил распространения не подтверждено руководством. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие версии TLP поддерживаются, где проверяются права распространения и блокируется ли запрещённый экспорт автоматически?	? Нужно уточнить В полученных материалах нет операционного описания TLP и принудительных ограничений экспорта. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Поддерживаются ли TLP и ограничения распространения; это метки или принудительный контроль на экспорт/API? Нужен конкретный сценарий.	? Нужно уточнить В схеме JSON и фильтрах нет установленного контракта TLP и запретов дальнейшей передачи. Права использования потока нужно уточнить отдельно. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Какие метки TLP и ограничения распространения поддерживает конкретный поток?	? Нужно уточнить Можно назначать теги индикаторам. Общий механизм тегов не подтверждает поддержку TLP2.0 и автоматическое ограничение распространения. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. gap_tlp: Полный релевантный раздел; журнал поиска cybertrace-pass28-search.json Источник ↗ Что уточнить: Как хранится TLP2.0 и ограничивается экспорт/доступ? Нужна инструкция, отличающая enforcement от произвольного тега.	± Есть условия или подтверждена часть сценария У отчётов, наблюдений и артефактов есть share_level; API отчёта отфильтровывает наблюдения и артефакты выше прав пользователя. White/Green/Amber/Red не объявляются соответствием TLP 2.0. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. sharing: Reports / filter_observations / filter_artifacts; ShareLevels Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «TLP и ограничения распространения» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: TLP и ограничения распространения. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария OpenCTISink задаёт TLP red/amber/green/white при передаче в OpenCTI. Это маркировка адаптера; автоматический запрет распространения в Solar и поддержка TLP2.0 не установлены. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. OpenCTISink: тип сущности, TLP, API version Источник ↗ Что уточнить: Где применяется enforcement TLP, поддерживается ли TLP2.0?	? Нужно уточнить В полученных материалах нет операционного описания TLP и принудительных ограничений экспорта. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Поддерживаются ли TLP и ограничения распространения; это метки или принудительный контроль на экспорт/API? Нужен конкретный сценарий.	? Нужно уточнить В полученных материалах нет операционного описания TLP и принудительных ограничений экспорта. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Поддерживаются ли TLP и ограничения распространения; это метки или принудительный контроль на экспорт/API? Нужен конкретный сценарий.
Роли, области доступа и тенантыДоступ	? Нужно уточнить Упоминание API-ключа не задаёт права на объекты и изоляцию организаций TIP; разделы SIEM/VM не перенесены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие права задаются на источники, IoC, отчёты и экспорт? Как изолируются организации и доступ администраторов?	± Есть условия или подтверждена часть сценария Редактирование и удаление объектов доступны пользователям с соответствующими правами. Состав ролей, выдача прав, изоляция организаций и тенантов не описаны. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. rbac: [37, 41] Источник ↗ Что уточнить: Какие роли и области доступа предусмотрены? Нужен раздел администрирования с проверкой изоляции организаций.	? Нужно уточнить Заявления страницы о ролевой модели не определяют область прав и изоляцию организаций. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие права задаются на источники, IoC, отчёты и экспорт? Как изолируются организации и доступ администраторов?	? Нужно уточнить Не получена матрица ролей и изоляции организаций; многопользовательский доступ не доказывает RBAC/тенантность. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Нужна модель ролей, областей доступа и изоляции организаций/тенантов, включая API и действия администратора.	? Нужно уточнить Доступ к источнику описан через API-key. Раздельные роли, области доступа и изоляция арендаторов этим не подтверждены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Какие права ограничивает API-key; есть ли отдельные ключи/тенанты и отзыв доступа?	± Есть условия или подтверждена часть сценария Методы REST API ограничены ролями: администратор, аналитик, менеджер тенанта. Аналитик выполняет поиск; тенантные операции имеют отдельную область. Раздельные настройки потоков, событий и оповещений для тенантов; доступность зависит от лицензии. Превышение заданного EPS приводит к сбросу сверхлимитного трафика. Роли Администратор, Менеджер тенанта и Аналитик с областью тенантов. Многопользовательский режим зависит от лицензии. После обновления существующие Аналитики получают доступ ко всем тенантам, включая будущие. Пользовательские сведения и списки FP копируются в каждый существующий тенант. Этот сценарий миграции требует проверки прав; он не означает изоляцию старых пользователей по одному тенанту. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. О REST API; роли доступа к API Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗	± Есть условия или подтверждена часть сценария В API описаны шесть ролей с правами ресурс:действие и уровнем доступа; состав привилегий изменялся в SDK 2.12–2.14. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. rbac: users Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Роли, области доступа и тенанты» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Роли, области доступа и тенанты. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария API возвращает только разрешённые родительские и дочерние фиды по политике доступа. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Описание API Источник ↗	? Нужно уточнить Не получена матрица ролей и изоляции организаций; многопользовательский доступ не доказывает RBAC/тенантность. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужна модель ролей, областей доступа и изоляции организаций/тенантов, включая API и действия администратора.	? Нужно уточнить Не получена матрица ролей и изоляции организаций; многопользовательский доступ не доказывает RBAC/тенантность. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужна модель ролей, областей доступа и изоляции организаций/тенантов, включая API и действия администратора.
Аудит действий пользователейЭксплуатация	? Нужно уточнить Диагностические логи Solar Agent и события интеграции не подтверждают аудит действий пользователей TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие действия пользователя фиксируются в аудите, срок хранения, экспорт и защита от изменения? Нужен пример записи.	± Есть условия или подтверждена часть сценария История объекта показывает действия пользователей: добавление, удаление и смену статуса. Уведомления можно фильтровать по пользователям и частоте. Общий журнал входов, административных действий, экспорт и сроки хранения аудита этим руководством не подтверждены. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. user_audit: [30, 51, 52, 53] Источник ↗ Что уточнить: Есть ли отдельный журнал входов и административных действий, экспорт и политика хранения? Пришлите раздел руководства и номер релиза.	? Нужно уточнить Руководство аудита пользователей TIP не получено; диагностические логи других модулей не перенесены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие действия пользователя фиксируются в аудите, срок хранения, экспорт и защита от изменения? Нужен пример записи.	? Нужно уточнить Не получено описание состава и хранения аудита действий пользователей самого продукта. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие действия пользователей записываются в аудит самого продукта, срок хранения, доступ и экспорт? Диагностические логи коннектора просим отделить.	? Нужно уточнить logging.yml описывает журнал работы программы и ротацию. События изменения настроек с идентификацией пользователя и защищённый аудит не установлены. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Есть ли аудит действий пользователей, состав событий и защита/экспорт журнала?	? Нужно уточнить Документированы диагностические журналы Service: исходные события, результаты сопоставления и сообщения сервиса. По умолчанию журналирование выключено; отладка влияет на производительность, журналы могут содержать незашифрованные конфиденциальные данные. Аудит входов и административных действий пользователей этим не подтверждён. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. user_audit: Журнал Kaspersky CyberTrace Service: включение, безопасность, параметры и содержимое; прочитан полностью Источник ↗ Что уточнить: Есть ли отдельный аудит входов и действий пользователей CyberTrace5.3: состав событий, идентификатор пользователя, экспорт, хранение и защита от изменения? Нужен раздел документации.	+ Есть по документации API журнала возвращает пользователя, IP, операцию, объект, время, результат и детали; фильтруется по пользователю, операции и периоду. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. user_audit: accesslogs Источник ↗	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Аудит действий пользователей» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Аудит действий пользователей. Уточните версию и область лицензии.	? Нужно уточнить Агент пишет технические логи, включая ошибки и ротацию. Аудит действий пользователей портала и операций доступа не установлен. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие пользовательские действия журналируются, где читать/экспортировать audit trail?	? Нужно уточнить Не получено описание состава и хранения аудита действий пользователей самого продукта. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие действия пользователей записываются в аудит самого продукта, срок хранения, доступ и экспорт? Диагностические логи коннектора просим отделить.	? Нужно уточнить Журнал runs и integrations.log описаны на стороне LSUS; собственный аудит пользователей X-TI этим не подтверждён. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие действия пользователей записываются в аудит самого продукта, срок хранения, доступ и экспорт? Диагностические логи коннектора просим отделить.
Резервное копирование и восстановлениеЭксплуатация	? Нужно уточнить SQLite-кэш Solar Agent не является резервной копией TIP. Процедура резервирования и восстановления TIP не получена. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Нужен порядок полного резервного копирования и восстановления: данные/конфигурация/секреты, совместимость версий и проверка целостности.	? Нужно уточнить Открытое пользовательское руководство не содержит процедуры резервирования и восстановления данных, ключей и конфигурации. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. Оглавление 2–3; пользовательские разделы 7–53 Источник ↗ Что уточнить: Пришлите правила резервирования и восстановления: состав копии, ответственность сторон и доступность для варианта поставки.	? Нужно уточнить Руководство резервирования и восстановления TIP не найдено; наличие этой функции в VM не является доказательством для TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Нужен порядок полного резервного копирования и восстановления: данные/конфигурация/секреты, совместимость версий и проверка целостности.	? Нужно уточнить Не получена проверяемая процедура резервного копирования/восстановления данных и настроек. Облачная поставка сама по себе не подтверждает её свойства. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Кто выполняет резервное копирование и восстановление, что включено, как проверяется восстановление и экспортируются данные заказчика?	? Нужно уточнить Названы локальные target/tmp/state и конфигурации. Регламент согласованного резервного копирования и восстановления не описан. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Что резервировать и как восстановить состояние без пропуска/повторной загрузки IoC?	? Нужно уточнить Раздел обновления описывает обновление бинарных файлов и SIEM-интеграции. Прочитанные процедуры миграции/отката не заменяют резервирование и восстановление данных, пользователей, сертификатов и конфигурации. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. gap_backup: Полный релевантный раздел; журнал поиска cybertrace-pass28-search.json Источник ↗ Что уточнить: Пришлите процедуру резервирования и восстановления CyberTrace5.3: состав копии, согласованность, ключи/сертификаты и проверка восстановления.	? Нужно уточнить Общие условия техподдержки упоминают восстановление из заранее настроенной копии, но не процедуру резервирования TA. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Нужна процедура согласованного backup/restore: БД, файлы, конфигурация, ключи, пользователи и проверка восстановления.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Резервное копирование и восстановление» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Резервное копирование и восстановление. Уточните версию и область лицензии.	? Нужно уточнить SQLite хранит кэш/состояние агента; это не регламент backup/restore. Резервирование облачного портала в руководстве не раскрыто. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как сохранять и восстанавливать агент/SQLite; какие гарантии восстановления облачного сервиса?	? Нужно уточнить Не получена проверяемая процедура резервного копирования/восстановления данных и настроек. Облачная поставка сама по себе не подтверждает её свойства. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Кто выполняет резервное копирование и восстановление, что включено, как проверяется восстановление и экспортируются данные заказчика?	? Нужно уточнить Не получена проверяемая процедура резервного копирования/восстановления данных и настроек. Облачная поставка сама по себе не подтверждает её свойства. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Кто выполняет резервное копирование и восстановление, что включено, как проверяется восстановление и экспортируются данные заказчика?
Отказоустойчивость и синхронизация узловЭксплуатация	? Нужно уточнить Распределённые сенсоры заявлены в продуктовых материалах; это не достаточное основание для HA сервера/БД TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какая схема HA поддерживается, что синхронизируется и как выполняется переключение/восстановление при отказе узла?	? Нужно уточнить Сценарий отказоустойчивости платформы, переключение и сохранность данных при отказе открытым руководством не раскрыты. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. Оглавление 2–3; требования 7 Источник ↗ Что уточнить: Как устроена отказоустойчивость в доступных вариантах поставки и какие ограничения есть при переключении?	? Нужно уточнить Не получен документ по синхронизации и переключению узлов TIP при отказе. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какая схема HA поддерживается, что синхронизируется и как выполняется переключение/восстановление при отказе узла?	? Нужно уточнить Не получено техническое описание отказов, синхронизации и сохраняемых операций. Наличие облачного сервиса не равно доказанной HA. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Как обеспечена отказоустойчивость сервиса/локальных компонентов, какие операции сохраняются и как синхронизируются узлы после сбоя?	? Нужно уточнить Standalone-загрузка и повтор соединения retry не подтверждают кластер, синхронизацию узлов или SLA облачного потока. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Как обеспечивается отказоустойчивость источника и Downloader; поддерживается ли несколько узлов?	± Есть условия или подтверждена часть сценария Balancer распределяет сопоставление, CSV-экспорт и ограниченный набор REST-запросов. Синхронизации между экземплярами нет; идентичность настроек, InternalTI и FalsePositive обеспечивает администратор. Balancer настраивает отдельные порты событий/API, retry недоступных узлов и тайм-ауты 1–3600 секунд. Разрешённые REST-маршруты задаются явно; стандартная конфигурация перечисляет suppliers, lookup, tags и ioc_exports. Это не полная HA всех операций управления. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. high_availability: О Balancer; balancer_configuration: Настройка Balancer: Instances, AllowedRequests и конфигурация по умолчанию Источник ↗ · Источник ↗	? Нужно уточнить Таймауты и ограничения HTTP-клиента SDK не подтверждают кластеризацию серверного продукта. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Какие варианты HA, синхронизация данных и поведение при отказе узла поддерживаются?	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Отказоустойчивость и синхронизация узлов» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Отказоустойчивость и синхронизация узлов. Уточните версию и область лицензии.	? Нужно уточнить Повтор доставки и SQLite-буфер уменьшают последствия сетевых ошибок, но не доказывают синхронизацию узлов или отказоустойчивый кластер. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права; Портал: меню и все пользовательские разделы; GET /api/v2/feeds/{feed-name-by-tree}: параметры и схема Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какова HA-схема сервиса и агента, гарантии доступности и работа двух экземпляров?	? Нужно уточнить Не получено техническое описание отказов, синхронизации и сохраняемых операций. Наличие облачного сервиса не равно доказанной HA. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как обеспечена отказоустойчивость сервиса/локальных компонентов, какие операции сохраняются и как синхронизируются узлы после сбоя?	? Нужно уточнить Не получено техническое описание отказов, синхронизации и сохраняемых операций. Наличие облачного сервиса не равно доказанной HA. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Как обеспечена отказоустойчивость сервиса/локальных компонентов, какие операции сохраняются и как синхронизируются узлы после сбоя?
Развёртывание, обновление и сетевые зависимостиЭксплуатация	? Нужно уточнить Docker и proxy из инструкции относятся к Solar Agent. Требования, обновление и автономность самой TIP не установлены. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Нужны актуальные требования ОС/СУБД, схема установки и обновления, сетевые зависимости, поддержка изолированного контура.	? Нужно уточнить Руководство описывает работу через браузер. Серверные требования, локальная установка, изолированный контур и границы ответственности не установлены. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. 7–10 Источник ↗ Что уточнить: Какие варианты размещения сейчас доступны: облако, on-premise, изолированный контур? Пришлите архитектуру, системные требования и номер релиза.	? Нужно уточнить Общий стек платформы из footer не устанавливает поддерживаемую установку, обновление и автономность TIP. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Нужны актуальные требования ОС/СУБД, схема установки и обновления, сетевые зависимости, поддержка изолированного контура.	? Нужно уточнить В анонсах назван on-premise контейнер коннекторов, не вся TIP; процедура установки, обновления и зависимости не получены. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Нужна эксплуатационная схема поставки: облако/локальные компоненты, обновления, сетевые зависимости, прокси и поведение без связи с сервисом.	± Есть условия или подтверждена часть сценария Локальное standalone-приложение Windows/Linux получает данные облачного источника напрямую или через прокси; не автономная TI-база без обновлений. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. [3, 4, 5] Источник ↗	± Есть условия или подтверждена часть сценария Компонент сопоставления можно изолировать от интернета, получая обновления от компонента в DMZ. Это разделённая схема обновлений, не доказательство полной автономности всего решения. Обновление до CyberTrace 5.3 разрешено только с 5.2. Эта страница задаёт путь версии, но сама не является полной процедурой резервного копирования/отката. Обновление RPM/DEB через run.sh upgrade требует root, принятого EULA и остановки сервиса. Параметры, пользователи, потоки и сертификаты мигрируют; поля контекста новых потоков настраиваются вручную. При неудаче документирован откат работоспособной версии; это не полная резервная копия. Обновление установщиком Windows требует принятого EULA и остановки сервиса. Настройки/пользователи/потоки/сертификаты переносятся; при ошибке предусмотрен откат и временный каталог старых файлов. Резервное копирование всего решения этой процедурой не подтверждено. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. deployment_dmz: Функциональные возможности; upgrade_version_path: Обновление предыдущей версии; upgrade_linux: Весь текст инструкции обновления / изменения после обновления; upgrade_windows: Весь текст инструкции обновления / изменения после обновления Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗	? Нужно уточнить Установка Python SDK не установка сервера TA; API-версия не версия серверной поставки. Серверное руководство2.14.0 недоступно (HTTP403); отсутствие функции не установлено. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. Что уточнить: Пришлите актуальное серверное руководство: версия, ОС/ресурсы, сетевые зависимости, обновление и откат.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Развёртывание, обновление и сетевые зависимости» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Развёртывание, обновление и сетевые зависимости. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария Агент поставляется Docker-образом; пример использует v3.0.22-public. Это версия агента, не API и не всего сервиса. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. Альтернативный способ установки через Docker Registry Источник ↗	? Нужно уточнить FAQ описывает облачный сервис, но эксплуатационное руководство с сетевыми зависимостями и обновлением не получено. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужна эксплуатационная схема поставки: облако/локальные компоненты, обновления, сетевые зависимости, прокси и поведение без связи с сервисом.	? Нужно уточнить Открытая регистрация на сервис не описывает локальную поставку, обновление или автономность. Пример xt.corp.loc в LSUS — пример URL, не доказательство on-prem X-TI. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Нужна эксплуатационная схема поставки: облако/локальные компоненты, обновления, сетевые зависимости, прокси и поведение без связи с сервисом.
Лицензии и поведение при превышении лимитовЭксплуатация	? Нужно уточнить Наличие пункта «Лицензия» на снимке интерфейса не задаёт лимиты или поведение при истечении. Лицензионное руководство TIP не найдено. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. Перечень опубликованных руководств; Login / permissionViolation=true Источник ↗ · Источник ↗ Что уточнить: Какие единицы лицензирования и лимиты действуют; что происходит при превышении, истечении лицензии и потере доступа к фиду?	? Нужно уточнить Официальные условия приобретения предусматривают индивидуальный расчёт стоимости. Метрика лицензирования, наборы доступа, лимиты API и поведение при окончании подписки не раскрыты. Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку. Условия приобретения, страница 1 Источник ↗ · Источник ↗ Что уточнить: Каковы единицы лицензирования, состав доступа к фидам/API, лимиты и поведение после истечения подписки?	? Нужно уточнить Обзорное заявление о встроенных коннекторах без лицензирования не задаёт полную лицензию и поведение при превышении лимитов. Номер версии самой TIP не установлен; не переносить версии соседних компонентов. С. 1–2, обзорное описание, без версии; Техническая поддержка / регламент Источник ↗ · Источник ↗ Что уточнить: Какие единицы лицензирования и лимиты действуют; что происходит при превышении, истечении лицензии и потере доступа к фиду?	? Нужно уточнить Подписка без ограничения устройств заявлена в FAQ; эксплуатационная обработка квот/истечения не документирована. Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds. HTTP403 при прямом запросе; HTTP403; не PDF; Сохранённое текстовое представление страницы; маркетинг; Reader, физическая стр.1 по извлечению; обзор продукта Источник ↗ · Источник ↗ Что уточнить: Какие ограничения лицензии/тарифа действуют по пользователям, запросам, данным и интеграциям, и что происходит при их превышении/истечении?	? Нужно уточнить Дистрибутив, baseurl и API-key предоставляются после приобретения. Лимиты и поведение после окончания доступа не раскрыты. Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API. 1.1–1.3 Назначение и сценарий работы; приложения 1–3 Источник ↗ Что уточнить: Каковы лимиты, срок ключа и поведение при истечении лицензии/превышении запросов?	± Есть условия или подтверждена часть сценария Community Edition: одна учётная запись администратора, до 250 EPS и 1000000 записей. Это лицензионные ограничения, не измеренная производительность. Поиск, сторонние фиды, пользователи, тенанты, экспорт, графы и отчёты зависят от ключа. Без разрешения пользовательских фидов нельзя подключать и OSINT. Часть коммерческих ключей вводит жёсткий EPS-лимит после длительного превышения; Community прекращает чтение новых записей при превышении лимита индикаторов. Это лицензирование, не результат нагрузочного испытания. Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются. license_scope: О лицензировании; license_dependencies: Прочие ограничения / пользовательские потоки; license_overflow: Ограничение EPS / количества индикаторов Источник ↗ · Источник ↗	± Есть условия или подтверждена часть сценария SDK описывает загрузку ZIP с license-access-token.key; объём прав и ограничения регулируются лицензионным соглашением. Лимиты объёма/API и поведение при превышении или истечении лицензии здесь не описаны. API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки. license_scope: Licenses Источник ↗ Что уточнить: Пришлите параметры лицензирования и поведение при превышении лимитов или истечении лицензии текущего серверного релиза.	? Нужно уточнить Для текущего раздела PT Feeds в Fusion операционный контракт «Лицензии и поведение при превышении лимитов» не получен. Доступные release notes описывают изменения разделов, но не устанавливают эту функцию/ограничение. Документация утилиты2.1.1 сохранена отдельно. Текущий PT Feeds в Fusion; не библиотека/исследование угроз и не утилита2.1.1 Протокол области и недоступности операционного руководства Источник ↗ Что уточнить: Пришлите действующее руководство/API для PT Feeds в Fusion: Лицензии и поведение при превышении лимитов. Уточните версию и область лицензии.	± Есть условия или подтверждена часть сценария JWT выдаётся поддержкой на согласованный срок и набор разрешённых фидов; после истечения нужен новый токен. Численные rate limits, квоты объёма и поведение при превышении не раскрыты. API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии. API2.0: аутентификация, эндпоинты, права Источник ↗ Что уточнить: Каковы rate limits/квоты, ошибки и правила повторов при превышении?	? Нужно уточнить Публичная стартовая стоимость и рекламный пилот без ограничений не описывают поведение рабочего тарифа при превышении квот. F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке. FAQ и Обзор функционала; описание продукта; стр.1–2; обзор, не операционное руководство; Отдельное предложение F6 TI Feeds; White Paper: получение через форму; сам материал не прочитан; Обзор графа и пример расследования; не спецификация Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие ограничения лицензии/тарифа действуют по пользователям, запросам, данным и интеграциям, и что происходит при их превышении/истечении?	? Нужно уточнить Бесплатное подключение на лендинге не устанавливает лимиты API, роли, объёмы данных и реакцию на превышение. X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI. Официальный SPA-лендинг; Публичные RU/EN тексты лендинга и ссылки; Как это работает; Что экспортируется; Настройка; API управления; Журнал отправок Источник ↗ · Источник ↗ · Источник ↗ Что уточнить: Какие ограничения лицензии/тарифа действуют по пользователям, запросам, данным и интеграциям, и что происходит при их превышении/истечении?
Полезность TI, свежесть и ложные срабатыванияПилот	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.	Пилот Проверяется на пилоте Согласовать одинаковые события и контрольный набор без нового фида.; Разметить полезные совпадения и ложные срабатывания с аналитиком.; Сопоставить возраст IoC и результаты с контрольным набором. Измерить: Доля подтверждённых полезных совпадений, FP, возраст IoC; согласованные пороги.
Потери данных, задержка обновлений и отзываПилот	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.	Пилот Проверяется на пилоте Передать новый IoC и его отзыв на согласованной нагрузке.; Измерить задержки на получателе.; Повторить при обрыве сети и восстановлении связи. Измерить: p95 задержки нового IoC и отзыва, доля потерь и повторов.
Трудозатраты аналитика и пригодность для SOCПилот	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.	Пилот Проверяется на пилоте Выбрать одинаковые кейсы для сравнения.; Зафиксировать ручные шаги и время аналитика.; Передать кейс другому аналитику для воспроизведения. Измерить: Время разбора, число ручных операций, воспроизводимость вывода.

Версии и источники

R-Vision TIP

Номер версии самой TIP не установлен; не переносить версии соседних компонентов.

Платформа работы с данными об угрозах; проверяйте руководство конкретной поставки и отдельно условия коннекторов.

Технические источники

BI.ZONE Threat Intelligence

Публичное руководство без номера релиза; metadata PDF 2023 не подтверждает текущую сборку.

Интерфейс аналитической работы и источники TI; публичное руководство не устанавливает номер текущей серверной сборки.

Технические источники

Security Vision TIP

Номер версии самой TIP не установлен; не переносить версии соседних компонентов.

TIP в составе платформы Security Vision. Функции других модулей и общий маркетинговый обзор не переносятся в матрицу автоматически.

Технические источники

Гарда TI Feeds

Гарда TI Feeds: сервис поставки данных и пользовательский портал; текущий номер релиза и версия локального коннектора не установлены. Гарда NDR не рассматривается как часть TI Feeds.

Поставка TI-данных и связанные инструменты; уточняйте точный компонент, доступные источники и контракт доставки.

Технические источники

CT Threat Feed / CTT Downloader

Руководства Downloader по URL 2024/05 без номера релиза; не переносить RST Cloud API.

Поток CT Threat Feed и локальный CTT Downloader. Российская поставка отделена от международных RST-сервисов и отдельного Report Hub.

Технические источники

Документ 1 ↗

Kaspersky CyberTrace

Документация CyberTrace 5.3; ограничения лицензий и отдельных экспортных сценариев сохраняются.

Обработка фидов и применение IoC. В сравнении указана область руководства CyberTrace5.3; фиды и лицензии проверяются отдельно.

Технические источники

Документ 1 ↗
Документ 2 ↗
Документ 3 ↗
Документ 4 ↗
Документ 5 ↗
Документ 6 ↗
Документ 7 ↗
Документ 8 ↗
Документ 9 ↗
Документ 10 ↗
Документ 11 ↗
Документ 12 ↗
Документ 13 ↗
Документ 14 ↗
Документ 15 ↗
Документ 16 ↗
Документ 17 ↗
Документ 18 ↗
Документ 19 ↗
Документ 20 ↗
Документ 21 ↗
Документ 22 ↗
Документ 23 ↗
Документ 24 ↗
Документ 25 ↗
Документ 26 ↗
Документ 27 ↗
Документ 28 ↗
Документ 29 ↗
Документ 30 ↗
Документ 31 ↗
Документ 32 ↗
Документ 33 ↗
Документ 34 ↗
Документ 35 ↗
Документ 36 ↗
Документ 37 ↗

PT Threat Analyzer

API Cybsi SDK 2.14.3; версия SDK не номер серверной поставки.

Аналитическая платформа PT Threat Analyzer. Документация SDK описывает API-клиент, а не заменяет руководство серверной поставки.

Технические источники

PT Threat Intelligence Feeds

Текущий раздел PT Feeds в PT Fusion. Операционное руководство/API не получено; историческая утилита2.1.1 рассмотрена отдельно.

Текущий раздел PT Feeds в Fusion; старая утилита2.1.1 не используется как подтверждение возможностей текущего сервиса.

Технические источники

Документ 1 ↗

Solar TI

API 2.0 и портал с отдельным доступом; пример агента 3.0.22 не номер серверной версии.

API TI Feeds, агент доставки и аналитический портал имеют разные интерфейсы и условия доступа.

Технические источники

F6 Threat Intelligence

F6 Threat Intelligence, актуальный облачный портал без опубликованного номера сборки. Отдельный F6 TI Feeds не наследуется; Group-IB/Unified Risk Platform не приравнены к текущей поставке.

Аналитический портал F6 Threat Intelligence; отдельные компоненты TI Feeds проверяются в своей области.

Технические источники

X-Threat Intelligence

X-Threat Intelligence Сбера: текущий портал с аналитикой угроз и смежным управлением уязвимостями; сборка не указана. LSUS — самостоятельный поставщик коннектора активов, не документация всех функций X-TI.

X-Threat Intelligence. Интеграция с передачей активов не считается доказательством обмена индикаторами компрометации.

Технические источники

PT Feeds2.1.1: отдельная историческая область

В сохранённом руководстве утилиты2.1.1 описаны получение и доставка репутационных списков, дедупликация, ограниченный TTL и резервное копирование PostgreSQL. Эти сведения относятся к той утилите. Текущий раздел PT Feeds в Fusion проверяется отдельно; функции библиотеки угроз и исследовательского раздела Fusion также не наследуются фидами.

Поддерживаемый состав поставки и действующий контракт API требуется подтвердить у Positive Technologies. Исторические возможности не добавляют плюсы в текущую матрицу.

Историческое руководство утилиты2.1.1 ↗

Как составлено сравнение

Факты о продуктовых функциях берём из технической документации точного компонента и подкреплённых ответов поставщиков. Обзоры и рекламные страницы помогают искать документы, но не заменяют их. Для неизвестных критериев сохранены предметные вопросы после проверки русских и английских терминов.

Критерии учитывают исследование ENISA о TIP, OASIS STIX2.1 и жизненный цикл IoC. Методические источники не доказывают функции конкретного поставщика.

91 ячеек имеют документальное или предметное основание области применения; 217 требуют уточнения; 33 относятся к пилоту. Число оснований не является оценкой качества продукта.

Частые вопросы

Почему здесь сравнение, а не рейтинг TIP?

Единое место смешивает платформы, порталы и потоки данных, а также полноту открытой документации. Матрица показывает конкретные функции, версии и ограничения. Порядок и размер плиток не означают превосходства продукта.

Что означает вопрос в сравнении?

В рассмотренных материалах не установлено достаточное основание по этому критерию и указанной поставке. Это не доказанное отсутствие. В раскрытии отметки приведён вопрос, который нужно уточнить у поставщика.

Почему у PT Feeds отделена историческая утилита2.1.1?

Документация утилиты2.1.1 описывает отдельный транспортный компонент. Текущий PT Feeds входит в Fusion. Пока не установлен действующий операционный контракт, возможности старой утилиты нельзя переносить на Fusion или брать их из соседней библиотеки угроз.

Достаточно ли наличия STIX или TAXII для совместимости?

Нет. Нужно сверить версию, направление обмена, объекты, коллекции и конкретного получателя. STIX — формат представления данных, TAXII — протокол обмена. Наличие одного не доказывает другой или совместимость со всеми подключаемыми системами.

Можно ли автоматически блокировать все полученные IoC?

Правило зависит от типа индикатора, доверия к источнику, контекста и допустимого риска. На пилоте проверьте ложные срабатывания, исключения, срок актуальности и отзыв. Передача индикатора в NGFW ещё не подтверждает корректное применение и снятие блокировки.

Гарантирует ли плюс качество Threat Intelligence?

Плюс подтверждает функцию в определённой области документации. Полезность данных, свежесть, задержка и нагрузка проверяются отдельно на событиях заказчика; количество плюсов не является рейтингом качества.

Сравнение российских TIP, порталов и TI-фидов

Решения этого класса

Сравнить выбранные решения

Сравнение возможностей

Версии и источники

R-Vision TIP

BI.ZONE Threat Intelligence

Security Vision TIP

Гарда TI Feeds

CT Threat Feed / CTT Downloader

Kaspersky CyberTrace

PT Threat Analyzer

PT Threat Intelligence Feeds

Solar TI

F6 Threat Intelligence

X-Threat Intelligence

PT Feeds2.1.1: отдельная историческая область

Как составлено сравнение

Частые вопросы

Смежные классы и материалы