Fuentes Gratuitas de Threat Intel/IOC

Este repositorio contiene fuentes de Threat Intel de código abierto y de uso gratuito que pueden utilizarse sin requisitos adicionales. El CSV ThreatIntelFeeds está almacenado de forma estructurada según el Proveedor, la Descripción, la Categoría y la URL. Los proveedores que ofrecen ThreatIntelFeeds se describen a continuación. Las siguientes categorías de fuentes están disponibles:

SSL
IP
DNS
URL
MD5
SHA1
SHA256
CVEID
JA3
NamePipes

El contenido se ofrece tal cual. Al utilizar el contenido en un entorno empresarial, las condiciones deben investigarse antes de usarlo; es posible que parte del contenido no pueda utilizarse libremente bajo ciertas condiciones. Es tu propia responsabilidad investigar si ese es el caso o no.

Categoría	Cantidad
DNS	17
IP	78
MD5	12
SHA1	5
SHA256	8
SSL	1
URL	23
CVEID	4
RANSOMWARELEAK	1
JA3	1
NamePipe	1

Combina Threat Intel en tu EDR y SIEM

Las fuentes disponibles en este repositorio pueden utilizarse para realizar threat hunting en tu solución EDR o SIEM para buscar actividad maliciosa. Para Defender For Endpoint y Sentinel, ya se han escrito algunas reglas de hunting KQL para implementarlas en tu EDR o SIEM. Ver: KQL Hunting Queries

KQL

Puedes implementar fácilmente las fuentes de código abierto en KQL para M365D Advanced Hunting o Sentinel. Esto se hace mediante el operador externaldata. Este operador puede tomar un enlace externo como entrada y analizar el resultado en una tabla de datos que puede usarse para unir o filtrar según tus otras tablas. A continuación se muestra un ejemplo y el resultado es una tabla como cualquier otra.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
C2IntelFeeds
| take 100

alt text

La documentación explica los diferentes parámetros que se utilizan, como si deseas ignorar la primera fila o no.

Combinando tráfico de red EDR y fuentes IOC

A continuación se muestra el resultado de combinar el tráfico de red EDR y la fuente IOC. Esta detección puede ayudarte a identificar dispositivos que se conectan a IPs que alojan servidores de comando y control.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
let IPList = C2IntelFeeds
| project IP;
DeviceNetworkEvents
| where RemoteIP in (IPList)
| join kind=inner C2IntelFeeds on $left.RemoteIP == $right.IP
| extend GeoIPInfo = geo_info_from_ip_address(RemoteIP)
| extend country = tostring(parse_json(GeoIPInfo).country), state = tostring(parse_json(GeoIPInfo).state), city = tostring(parse_json(GeoIPInfo).city), latitude = tostring(parse_json(GeoIPInfo).latitude), longitude = tostring(parse_json(GeoIPInfo).longitude)
| project Timestamp, DeviceName, RemoteIP, RemotePort, RemoteUrl, ioc

Contribuciones

Las contribuciones son muy apreciadas para hacer que esta lista de fuentes gratuitas de Threat Intel/IOC sea lo más grande y actualizada posible. Puedes contribuir creando una pull request. Este PR debe contener el siguiente contenido:

Añade el enlace a la fuente en el archivo README.md. Si aún no existe una sección en la que encaje la fuente, crea una nueva sección.
Añade los detalles al archivo ThreatIntelFeeds.csv; el formato utilizado se muestra a continuación. La Categoría se refiere a las categorías de fuentes mostradas anteriormente.
```
Vendor;Description;Category;Url
```
La fuente debe ser gratuita y utilizable sin necesidad de cuenta ni token de API.
Utiliza el script Validator.py para validar el contenido del archivo CSV. Esto puede hacerse ejecutándolo en el directorio script.
Actualiza la tabla de Estadísticas de Fuentes IOC ejecutando GenerateTableStatistics.py, que guardará la tabla markdown en el archivo StatisticsTable.md. Esta tabla puede pegarse arriba.