BRIntelcollector

Visión General

El BRIntelcollector es una herramienta de Cyber Threat Intelligence (CTI) enfocada en indicadores de amenazas nacionales de Brasil. La herramienta permite buscar y consolidar información sobre amenazas cibernéticas a través de múltiples fuentes de inteligencia, facilitando la creación de una base de datos centralizada para análisis de seguridad.

Objetivos

• Recopilar indicadores de amenazas nacionales brasileñas
• Integrar múltiples fuentes de CTI en una única interfaz
• Facilitar búsquedas e identificación de amenazas
• Ayudar a organizaciones en la búsqueda de posibles amenazas relevantes

Fuentes de Datos

Actualmente, la herramienta integra dos fuentes principales de inteligencia:

1. OTX (Open Threat Exchange) - AlienVault
2. XFE (X-Force Exchange) - IBM

Requisitos previos

Software

• Python 3+
• pip (correspondiente a la versión de Python)

Credenciales de API

Es necesario obtener claves de API de las siguientes plataformas:

• Open Threat Exchange (OTX): https://otx.alienvault.com
• IBM X-Force Exchange: https://exchange.xforce.ibmcloud.com

Importante: La clave de IBM debe estar en el formato chave:senha codificado en Base64.

Instalación

1. Instalar el paquete

pip3 install BRIntel1

2. Configurar las variables de entorno

Cree un archivo .env con sus credenciales:

echo "OTX_KEY = '<sua chave>'" > .env
echo "IBM_KEY = '<sua chave + senha em base64>'" >> .env

Ejemplo de codificación de la clave IBM:

echo -n "sua_chave:sua_senha" | base64

Uso

Búsqueda en Todas las Fuentes

Búsqueda Completa (Datos Absolutos)

from BRIntel import allSources

# Retorna uma lista com dicionários contendo todos os dados das fontes
resultados = allSources("Termo de busca")

Búsqueda Estándar (Datos Simplificados)

from BRIntel import default

# Retorna uma lista com dicionários em formato padronizado
resultados = default("Termo de busca")

Estructura de Retorno Estándar

La función default() retorna los datos en el siguiente formato:

Búsqueda en Fuentes Específicas

IBM X-Force Exchange (XFE)

from BRIntel import xfe

# Busca no XFE (retorna formato STIX 2.1)
resultados_xfe = xfe.search("Termo de busca")

# Exibir em formato padrão
xfe.show(resultados_xfe[0])

# Obter detalhes completos de um relatório específico
detalhes = xfe.details(resultados_xfe[0]["id"])

Open Threat Exchange (OTX)

from BRIntel import otx

# Busca no OTX (retorna formato aberto de pulse OTX)
resultados_otx = otx.search("Termo de busca")

# Exibir em formato padrão
otx.show(resultados_otx[0])

# Obter detalhes completos de um pulse específico
detalhes = otx.details(resultados_otx[0]["id"])

Ejemplos de Uso

Ejemplo 1: Búsqueda Simple

from BRIntel import default

# Buscar por um domínio suspeito
resultados = default("exemplo.com.br")

for resultado in resultados:
    print(f"Título: {resultado['title']}")
    print(f"Autor: {resultado['author']}")
    print(f"TLP: {resultado['tlp']}")
    print(f"URL: {resultado['url']}")
    print("-" * 50)

Ejemplo 2: Búsqueda con Detalles

from BRIntel import otx, xfe

# Buscar em ambas as fontes
resultados_otx = otx.search("malware Brasil")
resultados_xfe = xfe.search("malware Brasil")

# Obter detalhes do primeiro resultado de cada fonte
if resultados_otx:
    detalhes_otx = otx.details(resultados_otx[0]["id"])
    print("Detalhes OTX:", detalhes_otx)

if resultados_xfe:
    detalhes_xfe = xfe.details(resultados_xfe[0]["id"])
    print("Detalhes XFE:", detalhes_xfe)

Ejemplo 3: Comparación entre Fuentes

from BRIntel import allSources

# Buscar em todas as fontes com dados completos
todas_fontes = allSources("phishing")

print(f"Total de resultados encontrados: {len(todas_fontes)}")

for item in todas_fontes:
    print(f"Fonte: {item.get('fonte', 'N/A')}")
    print(f"Título: {item.get('title', 'N/A')}")

Traffic Light Protocol (TLP)

La herramienta utiliza el estándar TLP para clasificación de compartición de información:

• TLP:RED - Información restringida, no compartir
• TLP:AMBER - Compartición limitada
• TLP:GREEN - Compartición dentro de la comunidad
• TLP:WHITE - Compartición pública ilimitada

Más información: https://www.gov.br/cisc/pt-br/tlp

Formatos de Datos

• OTX: Devuelve datos en el formato abierto de pulse de OTX
• XFE: Devuelve datos en el formato STIX 2.1

Casos de Uso

1. Análisis de Amenazas: Identificar campañas maliciosas dirigidas a Brasil
2. Investigación de Incidentes: Correlacionar indicadores con amenazas conocidas
3. Threat Hunting: Buscar proactivamente indicadores de compromiso
4. Enriquecimiento de IOCs: Agregar contexto a indicadores recolectados
5. Reportes de Inteligencia: Consolidar información para reportes ejecutivos

Buenas Prácticas

1. Gestión de Credenciales: Nunca comparta ni haga commit de sus claves de API
2. Rate Limiting: Respete los límites de solicitudes de las APIs
3. Validación de Datos: Siempre valide y contextualice los resultados obtenidos
4. Actualización Regular: Mantenga la biblioteca actualizada para nuevas funciones
5. Documentación TLP: Respete las clasificaciones TLP de los reportes

Limitaciones

• Dependencia de APIs externas (requiere conectividad y credenciales válidas)
• Limitado a las fuentes OTX y XFE actualmente
• Sujeto a los límites de tasa de las APIs utilizadas

Contribuyendo

Para contribuir con el proyecto, visite el repositorio en GitHub: https://github.com/devfoundsec/BRIntelcollector

Soporte

Para reportar errores o solicitar funciones, abra un issue en el GitHub del proyecto.

Referencias

• AlienVault OTX
• IBM X-Force Exchange
• STIX 2.1 Documentation
• Traffic Light Protocol - Gov.br

Desarrollado por: devfoundsec
Repositorio: https://github.com/devfoundsec/BRIntelcollector