BRIntelcollector

Übersicht

Der BRIntelcollector ist ein Tool zur Cyber Threat Intelligence (CTI), das sich auf nationale Bedrohungsindikatoren Brasiliens konzentriert. Das Tool ermöglicht es, Informationen über Cyber-Bedrohungen aus mehreren Intelligence-Quellen zu suchen und zu konsolidieren, um die Erstellung einer zentralisierten Datenbank für die Sicherheitsanalyse zu erleichtern.

Ziele

• Sammeln von Indikatoren für brasilianische nationale Bedrohungen
• Integration mehrerer CTI-Quellen in eine einzige Schnittstelle
• Erleichterung von Recherchen und Bedrohungsidentifikation
• Unterstützung von Organisationen bei der Suche nach potenziell relevanten Bedrohungen

Datenquellen

Derzeit integriert das Tool zwei Haupt-Intelligence-Quellen:

1. OTX (Open Threat Exchange) – AlienVault
2. XFE (X-Force Exchange) – IBM

Voraussetzungen

Software

• Python 3+
• pip (entsprechend der Python-Version)

API-Zugangsdaten

Es ist erforderlich, API-Schlüssel von den folgenden Plattformen zu erhalten:

• Open Threat Exchange (OTX): https://otx.alienvault.com
• IBM X-Force Exchange: https://exchange.xforce.ibmcloud.com

Wichtig: Der IBM-Schlüssel muss im Format Schlüssel:Passwort Base64-kodiert sein.

Installation

1. Paket installieren

pip3 install BRIntel1

2. Umgebungsvariablen konfigurieren

Erstellen Sie eine .env-Datei mit Ihren Zugangsdaten:

echo "OTX_KEY = '<Ihr Schlüssel>'" > .env
echo "IBM_KEY = '<Ihr Schlüssel + Passwort in Base64>' " >> .env

Beispiel für die Kodierung des IBM-Schlüssels:

echo -n "Ihr_Schlüssel:Ihr_Passwort" | base64

Verwendung

Suche in allen Quellen

Vollständige Suche (Absolute Daten)

from BRIntel import allSources

# Gibt eine Liste mit Dictionaries zurück, die alle Daten der Quellen enthalten
ergebnisse = allSources("Suchbegriff")

Standardsuche (Vereinfachte Daten)

from BRIntel import default

# Gibt eine Liste mit Dictionaries im standardisierten Format zurück
ergebnisse = default("Suchbegriff")

Standard-Rückgabestruktur

Die Funktion default() gibt die Daten im folgenden Format zurück:

Suche in bestimmten Quellen

IBM X-Force Exchange (XFE)

from BRIntel import xfe

# Suche im XFE (gibt STIX 2.1-Format zurück)
ergebnisse_xfe = xfe.search("Suchbegriff")

# Im Standardformat anzeigen
xfe.show(ergebnisse_xfe[0])

# Vollständige Details eines bestimmten Berichts abrufen
details = xfe.details(ergebnisse_xfe[0]["id"])

Open Threat Exchange (OTX)

from BRIntel import otx

# Suche im OTX (gibt offenes OTX-Pulse-Format zurück)
ergebnisse_otx = otx.search("Suchbegriff")

# Im Standardformat anzeigen
otx.show(ergebnisse_otx[0])

# Vollständige Details eines bestimmten Pulses abrufen
details = otx.details(ergebnisse_otx[0]["id"])

Anwendungsbeispiele

Beispiel 1: Einfache Suche

from BRIntel import default

# Nach einer verdächtigen Domain suchen
ergebnisse = default("beispiel.com.br")

for ergebnis in ergebnisse:
    print(f"Titel: {ergebnis['title']}")
    print(f"Autor: {ergebnis['author']}")
    print(f"TLP: {ergebnis['tlp']}")
    print(f"URL: {ergebnis['url']}")
    print("-" * 50)

Beispiel 2: Suche mit Details

from BRIntel import otx, xfe

# In beiden Quellen suchen
ergebnisse_otx = otx.search("Malware Brasilien")
ergebnisse_xfe = xfe.search("Malware Brasilien")

# Details des ersten Ergebnisses aus jeder Quelle abrufen
if ergebnisse_otx:
    details_otx = otx.details(ergebnisse_otx[0]["id"])
    print("OTX-Details:", details_otx)

if ergebnisse_xfe:
    details_xfe = xfe.details(ergebnisse_xfe[0]["id"])
    print("XFE-Details:", details_xfe)

Beispiel 3: Vergleich zwischen Quellen

from BRIntel import allSources

# In allen Quellen mit vollständigen Daten suchen
alle_quellen = allSources("Phishing")

print(f"Insgesamt gefundene Ergebnisse: {len(alle_quellen)}")

for eintrag in alle_quellen:
    print(f"Quelle: {eintrag.get('quelle', 'N/A')}")
    print(f"Titel: {eintrag.get('title', 'N/A')}")

Traffic Light Protocol (TLP)

Das Tool verwendet den TLP-Standard zur Klassifizierung der Informationsweitergabe:

• TLP:RED – Eingeschränkte Informationen, nicht weitergeben
• TLP:AMBER – Eingeschränkte Weitergabe
• TLP:GREEN – Weitergabe innerhalb der Community
• TLP:WHITE – Unbeschränkte öffentliche Weitergabe

Weitere Informationen: https://www.gov.br/cisc/pt-br/tlp

Datenformate

• OTX: Gibt Daten im offenen OTX-Pulse-Format zurück
• XFE: Gibt Daten im STIX 2.1-Format zurück

Anwendungsfälle

1. Bedrohungsanalyse: Identifizierung von bösartigen Kampagnen, die auf Brasilien abzielen
2. Incident-Response-Untersuchung: Korrelation von Indikatoren mit bekannten Bedrohungen
3. Threat Hunting: Proaktive Suche nach Kompromittierungsindikatoren
4. IOC-Anreicherung: Hinzufügen von Kontext zu gesammelten Indikatoren
5. Intelligence-Berichte: Konsolidierung von Informationen für Führungsberichte

Bewährte Praktiken

1. Credential-Management: Geben Sie Ihre API-Schlüssel niemals weiter und committen Sie sie nicht
2. Rate Limiting: Halten Sie sich an die Anforderungslimits der APIs
3. Datenvalidierung: Validieren und kontextualisieren Sie die erzielten Ergebnisse stets
4. Regelmäßige Aktualisierung: Halten Sie die Bibliothek aktuell, um neue Funktionen zu erhalten
5. TLP-Dokumentation: Beachten Sie die TLP-Klassifizierungen der Berichte

Einschränkungen

• Abhängigkeit von externen APIs (erfordert Konnektivität und gültige Zugangsdaten)
• Derzeit auf die Quellen OTX und XFE beschränkt
• Unterliegt den Ratenbegrenzungen der verwendeten APIs

Mitwirken

Um zum Projekt beizutragen, besuchen Sie das Repository auf GitHub: https://github.com/devfoundsec/BRIntelcollector

Support

Um Fehler zu melden oder Funktionen anzufordern, öffnen Sie ein Issue im GitHub-Projekt.

Referenzen

• AlienVault OTX
• IBM X-Force Exchange
• STIX 2.1 Dokumentation
• Traffic Light Protocol – Gov.br

Entwickelt von: devfoundsec
Repository: https://github.com/devfoundsec/BRIntelcollector