A plataforma Criminal IP foi anunciada como integração oficial no Cortex XSOAR, permitindo que playbooks de SOAR incorporem inteligência externa de exposição em tempo real. A integração foi publicada no Cortex Marketplace e descrita em comunicado de imprensa divulgado nesta sexta‑feira.
O que muda agora
A integração incorpora ao Cortex XSOAR sinais comportamentais, histórico de exposição, correlações de infraestrutura e score de ameaça baseado em IA fornecidos pela Criminal IP. Segundo o material, os analistas poderão acionar buscas automáticas por IPs e domínios suspeitos sem sair do fluxo de trabalho do SOAR, reduzindo a dependência de feeds estáticos.
Fluxo de trabalho e capacidades
Os playbooks podem disparar um workflow de três estágios da Criminal IP: Quick Lookup, Lite Scan e Full Scan. Resultados completos são entregues como relatórios estruturados dentro do XSOAR, com polling genérico que mantém o fluxo sem intervenção manual. Além disso, a integração oferece varreduras agendadas de Micro Attack Surface Management para identificar portas expostas, validade de certificados, serviços vulneráveis e software desatualizado.
Contexto operacional e benefícios
Segundo o comunicado, a Criminal IP correlaciona atividade de IP e domínio, dados SSL/TLS, estados de portas, vínculos com CVE, detecções de IDS e indicadores de anonimização. A ideia anunciada é reduzir o tempo de resposta, aumentar a precisão de classificação de incidentes e mitigar fadiga de analistas ao automatizar decisões que antes exigiam pesquisa manual em múltiplas fontes.
Evidências e limites
O release apresenta exemplos de playbooks e screenshots do pacote no Cortex Marketplace. Trata‑se de um anúncio comercial; o texto não traz métricas independentes sobre redução de MTTR nem comparativos com outras fontes de enriquecimento. Não há, no comunicado, dados sobre cobertura técnica de APIs em ambientes restritos nem acordos de nível de serviço para varreduras Full Scan.
Repercussão e ecossistema
A Criminal IP afirma estar presente em marketplaces da Azure, AWS e Snowflake e manter integrações com mais de 40 fornecedores, incluindo Cisco, Fortinet e Tenable. Byungtak Kang, CEO da AI SPERA (desenvolvedora da Criminal IP), disse: “demonstrates the growing importance of AI-driven threat intelligence and exposure analytics in enterprise security operations.”
O que as equipes de SOC devem avaliar
- Validação técnica: testar playbooks em ambiente controlado para verificar impacto em blindagem e false positives.
- Governança de dados: avaliar políticas de compartilhamento de indicadores e privacidade ao puxar dados externos para casos internos.
- Operação em larga escala: mensurar custo/benefício das varreduras Full Scan agendadas versus varreduras on‑demand.
Conclusão
A integração amplia as opções de enriquecimento externo dentro do Cortex XSOAR e reforça a tendência de operações de segurança cada vez mais automatizadas e orientadas por contextos externos. Faltam, no comunicado, métricas independentes e detalhes contratuais sobre níveis de serviço — pontos que clientes devem exigir antes de adoção ampla.