Defender Threat Intelligence

Microsoft Defender Threat Intelligence (MDTI) — разведка угроз от Microsoft для аналитиков информационной безопасности, которую организации оформляли отдельной подпиской. По описанию Microsoft, служба каждый день составляла карту интернета и собирала библиотеку сведений о злоумышленниках: кто они, какими инструментами пользуются, какие у них тактики, техники и процедуры (TTP).

Что было в данных MDTI

Данные готовили команды бывшей RiskIQ, Microsoft Threat Intelligence Center (MSTIC) и исследователи Microsoft 365 Defender, а аналитик по ним находил инфраструктуру атакующих и быстрее доводил расследование до устранения. В библиотеке MDTI, по описанию Microsoft, лежали такие сведения:

• Готовая разведка — аналитические статьи и профили угроз с индикаторами компрометации (IoC)
• Машинная разведка — индикаторы компрометации и вердикты репутации
• Обогащающие данные — passive DNS, WHOIS, SSL-сертификаты, субдомены, пары хостов, порты с баннерами, веб-компоненты, трекеры, cookies и уязвимости

В портале с ними работали в разделах Intel Profiles, Intel Explorer и Intel Projects — с 01.08.2026 эти разделы выведены. В Microsoft Sentinel данные приходили через коннектор: бесплатный давал публичные IoC и OSINT, премиальный добавлял IoC Microsoft и OSINT, обогащённый Microsoft.

Где искать возможности MDTI

В портале Microsoft Defender разведка MDTI доступна в таких местах:

• Threat analytics — профили злоумышленников, аналитические отчёты, OSINT-статьи, исследования MSTIC и IoC; отчёты привязаны к MITRE ATT&CK и отраслям-целям и сами сопоставляются с инцидентами
• Threat Intelligence Insights — вкладка на страницах IP-адреса, домена, URL и файла: репутация с баллом от 0 до 100, связанные отчёты, DNS, WHOIS, пары хостов, субдомены и сертификаты, для URL и файлов — анализ в песочнице
• Case Linking — привязка кейсов расследования к индикаторам компрометации
• Microsoft Sentinel — данные премиального коннектора приходят через бесплатный коннектор Microsoft Threat Intelligence

Кому эти возможности откроются

Возможности MDTI Microsoft открыла без доплаты, но это значит без отдельной лицензии MDTI, а не для всех. Что именно откроется, зависит от ваших лицензий и настроек тенанта:

Если из служб Defender у вас только Endpoint P1, для доступа к разведке понадобится лицензия другого продукта Defender, например Defender for Endpoint P2, — она размещена отдельно.

Если подписка MDTI у вас была

Для организаций, у которых подписка MDTI оформлялась через CSP, важно правило о неиспользованном сроке. Его остаток Microsoft возвращает кредитом партнёру и требует, чтобы партнёр передал этот кредит клиенту. Суммы и сроки такой передачи в требовании не указаны, поэтому о кредите спросите партнёра, через которого шла ваша подписка.

Агент Threat Intelligence Briefing в Security Copilot общедоступен с декабря 2025 года, но преемником MDTI Microsoft его не называет.

Различия между вариантами

MDTI оформлялась на месяц (P1MM), на год (P1YY, P1YM) или на три года (P3YY, P3YM).

Назовите, для чего вам нужна разведка по угрозам и какие службы Microsoft Defender или Sentinel у вас есть, — подскажем, что из этого откроется в Threat Analytics при ваших лицензиях.