Intezer

什么是 Intezer？

Intezer 相当于一名虚拟的 Tier-1 安全分析师。它能接收来自端点检测系统每天成千上万的警报，并自动解决误报问题。

这款自主式 SOC 平台由 Intezer Ltd. 开发，专为深陷“警报疲劳”的企业安全团队打造。它利用遗传代码分解技术在汇编级别分析恶意软件。这种方法能够识别已知威胁家族之间的代码重用情况。

核心功能与 Intezer 的工作原理

遗传代码分析

• 代码相似性引擎：将上传的文件与数十亿个已知代码片段进行比对。限制：需要互联网连接才能查询 Intezer 数据库。
• 内存扫描器：检测运行进程中的无文件恶意软件。限制：仅支持 Windows 端点进行实时内存提取。

自动化警报分类

• EDR 集成：直接连接 CrowdStrike 和 SentinelOne。限制：EDR 端的 API 速率限制可能会拖慢批量警报处理速度。
• 网络钓鱼自动化：从 O365 提取并分析附件。限制：如果邮件正文中未提供密码，则无法处理加密的 zip 文件。

威胁情报与报告

• MITRE ATT&CK 映射：将行为标记到特定的框架技术。限制：仅映射在沙箱执行窗口期间观察到的行为。
• 自动脱壳：剥离加壳样本的混淆层。限制：高度定制或新颖的加壳程序仍需要手动逆向工程。

Intezer 的优缺点

优点

• 为超过 90% 的传入安全警报自动进行分类。
• 即使文件哈希完全唯一，也能识别恶意软件的来源。
• 直接连接主流 EDR，实现一键式威胁修复。
• 准确区分合法的管理工具和恶意后门。

缺点

• 定价完全不透明，主要面向拥有庞大预算的大型企业。
• 分析报告需要较高的技术专业知识才能完全解读。
• 由于缺乏公开的代码历史记录，内部专有软件经常会触发误报。

谁应该使用 Intezer？

• 企业 SOC 团队：每天处理成千上万条 CrowdStrike 或 SentinelOne 警报的分析师可以节省数小时的手动分类时间。
• 事件响应人员：调查复杂违规事件的专业人员可利用遗传分析将恶意软件归因于特定的威胁行为者。
• 小型企业：没有专职安全工程师的团队会发现该平台过于昂贵，且报告过于技术化。

Intezer 定价与计划

Intezer 将其定价隐藏在销售门槛之后。该公司没有公开的定价层级，也不为企业产品提供免费试用。

Starter 计划包含针对单一警报源（端点或网络钓鱼）的 24/7 全天候监控和自动分类。这通常意味着连接您的 EDR 或网络钓鱼收件箱。

Complete 计划增加了对 SIEM、云工作负载和身份警报的支持。它还包括自定义响应工作流以及来自 Intezer 分析师的专家协助。

Enterprise 计划面向需要定制集成的 MSSP 和大型组织。

您必须联系销售人员才能获得任何实际报价。

Intezer 与替代方案的比较

与 Any.Run 类似，Intezer 提供了深度的恶意软件分析功能。但 Any.Run 侧重于交互式沙箱，分析师需要手动点击执行过程。Intezer 则优先考虑自动化的遗传代码分解，无需人工干预即可识别威胁家族。Any.Run 提供透明的 $2,999 年度计划，而 Intezer 则需要定制报价。

与 Joe Sandbox 不同，该工具直接集成到 SOC 警报管道中以自动执行分类。Joe Sandbox 擅长为单个文件生成海量、详细的执行报告。Intezer 专注于自动解决 EDR 警报并消除误报。这两个平台都瞄准企业预算，但 Intezer 更像是一名自动化分析师，而不是一个独立的沙箱。

最终结论：不堪重负的企业 SOC 的最佳选择

Intezer 为大型安全运营中心带来了巨大的价值。如果您的团队在 SentinelOne 中花费数小时来关闭误报，那么这个平台绝对物超所值。遗传代码分析能够捕获逃避标准基于签名检测的威胁。

尽管如此，陡峭的学习曲线仍会带来一些阻力。

在初始设置期间，系统将我们的几个自定义内部应用程序标记为可疑（这是专有代码的常见问题）。您将需要花费第一个月的时间来调整系统。如果您管理的是一个小团队或需要透明的定价，请考虑使用 Any.Run。