misp/misp-objectsKuratierte JSON-Objektvorlagen, die MISP-Attribute und Beziehungstypen für den strukturierten Austausch von Bedrohungsinformationen und interoperablen IOC-Austausch definieren.
MISP-Objekte werden im MISP-System verwendet und können auch von anderen Tools zum Informationsaustausch genutzt werden. MISP-Objekte ergänzen MISP-Attribute, um erweiterte Kombinationen von Attributen zu ermöglichen. Die Erstellung dieser Objekte und ihrer zugehörigen Attribute basiert auf realen Cybersicherheits-Anwendungsfällen und bestehenden Praktiken beim Informationsaustausch.
Zögern Sie nicht, eigene MISP-Objektvorlagen zur Aufnahme in MISP vorzuschlagen. Das System ähnelt den misp-taxonomies, bei denen jeder eigene Objekte beitragen kann, die ohne Änderung der Software in MISP aufgenommen werden.
{ "attributes": { "domain": { "categories": [ "Network activity", "External analysis" ], "description": "Domain name", "misp-attribute": "domain", "multiple": true, "ui-priority": 1 }, "first-seen": { "description": "First time the tuple has been seen", "disable_correlation": true, "misp-attribute": "datetime", "ui-priority": 0 }, "ip": { "categories": [ "Network activity", "External analysis" ], "description": "IP Address", "misp-attribute": "ip-dst", "multiple": true, "ui-priority": 1 }, "last-seen": { "description": "Last time the tuple has been seen", "disable_correlation": true, "misp-attribute": "datetime", "ui-priority": 0 }, "port": { "categories": [ "Network activity", "External analysis" ], "description": "Associated TCP port with the domain", "misp-attribute": "port", "multiple": true, "ui-priority": 1 }, "registration-date": { "description": "Registration date of domain", "disable_correlation": false, "misp-attribute": "datetime", "ui-priority": 0 }, "text": { "description": "A description of the tuple", "disable_correlation": true, "misp-attribute": "text", "ui-priority": 1 } }, "description": "A domain and IP address seen as a tuple in a specific time frame.", "meta-category": "network", "name": "domain-ip", "required": [ "ip", "domain" ], "uuid": "43b3b146-77eb-4931-b4cc-b66c60f28734", "version": 8 }
Ein MISP-Objekt wird in einer einfachen JSON-Datei beschrieben, die die folgenden Elemente enthält.
* **name** ist der Name Ihres Objekts.
* **meta-category** ist die Kategorie, in die das Objekt fällt. (z. B. Datei, Netzwerk, Finanzen, Sonstiges, Internes ...)
* **description** ist eine Zusammenfassung der Objektbeschreibung.
* **version** ist die Versionsnummer als Dezimalwert.
* **required** ist ein Array, das die minimal erforderlichen Attribute zur Beschreibung des Objekts enthält.
* **requiredOneOf** ist ein Array, das die Attribute enthält, von denen mindestens eines vorhanden sein muss, um das Objekt zu beschreiben.
* **attributes** enthält ein weiteres JSON-Objekt, das alle Attribute auflistet, die das Objekt bilden.
Jedes Attribut muss eine Referenz **misp-attribute** enthalten, um auf eine vorhandene Attributdefinition in MISP zu verweisen (MISP-Attributtypen sind case-sensitive).
Ein Array **categories** soll verwendet werden, um zu beschreiben, in welchen Kategorien das Attribut zu finden ist. Die **ui-priority**
beschreibt die Nutzungshäufigkeit eines Attributs. Dies hilft, nur die am häufigsten verwendeten Attribute anzuzeigen und
ermöglicht es fortgeschrittenen Benutzern, je nach ihrer Konfiguration alle Attribute anzuzeigen. Ein optionales Feld **multiple**
soll auf true gesetzt werden, wenn mehrere Elemente desselben Schlüssels im Objekt verwendet werden können. Ein optionales Feld **values_list**,
in dem diese Liste von Werten als Wert für ein Attribut ausgewählt werden kann. Ein optionales Feld **sane_default**, in dem diese Werteliste
einen potenziell sinnvollen Standardwert für ein Attribut empfiehlt. Ein optionales boolesches Feld **disable_correlation**,
um die Deaktivierung der Korrelation für ein bestimmtes Attribut vorzuschlagen. Ein optionales boolesches Feld **to_ids**, um das IDS-Flag eines Attributs zu deaktivieren.