MISP Extractor

Dieser Code verbindet sich mit einem angegebenen MISP-Server (Malware Information Sharing Platform) und parst eine angegebene Anzahl von Ereignissen. Die in den Ereignissen gefundenen IP-Adressen, URLs und MD5-Hashes werden in drei separate Dateien geschrieben.

Verwendung

Um dieses Skript zu verwenden, müssen Sie die URL Ihrer MISP-Instanz und einen gültigen API-Schlüssel angeben. Anschließend können Sie die Methode MISPConnector.run() aufrufen, um die Attribute abzurufen und in Dateien zu speichern.

Um den Code zu verwenden, führen Sie den folgenden Befehl aus:

python3 misp_connector.py --misp-url <MISP_URL> --misp-key <MISP_API_KEY> --limit <EVENT_LIMIT>

Unterstützte Attributtypen

Die Klasse MISPConnector unterstützt derzeit die folgenden Attributtypen:

• ip-src
• ip-dst
• md5
• url
• domain

Wenn ein Attribut eines dieser Typen in einem Ereignis gefunden wird, wird es dem entsprechenden Satz hinzugefügt (z. B. werden IP-Adressen zu network_set hinzugefügt) und in die entsprechende Datei (network.txt, hash.txt oder url.txt) geschrieben.

Konfiguration

Der Code kann durch Übergabe von Argumenten an das Befehlszeilenskript konfiguriert werden. Die verfügbaren Argumente sind:

• misp-url: Die URL des MISP-Servers. Dieses Argument ist erforderlich.
• misp-key: Der API-Schlüssel für den MISP-Server. Dieses Argument ist erforderlich.
• limit: Die maximale Anzahl der zu parsenden Ereignisse. Der Standardwert ist 2000.

Einschränkungen

Dieses Skript hat die folgenden Einschränkungen:

• Es ruft nur Attribute von bestimmten Typen ab (wie oben aufgeführt).
• Es schreibt die abgerufenen Attribute nur in Dateien, ohne weitere Verarbeitung oder Analyse.
• Es ruft maximal 2000 Ereignisse ab, wie durch den Parameter limit in der Methode misp.search() festgelegt.

Lizenz

Dieser Code wird unter der MIT-Lizenz bereitgestellt. Weitere Einzelheiten finden Sie in der Datei LICENSE.