BRIntelcollector

Aperçu général

BRIntelcollector est un outil de Cyber Threat Intelligence (CTI) axé sur les indicateurs de menaces nationaux du Brésil. L'outil permet de rechercher et de consolider des informations sur les cybermenaces via de multiples sources de renseignement, facilitant la création d'une base de données centralisée pour l'analyse de sécurité.

Objectifs

• Collecter des indicateurs de menaces nationales brésiliennes
• Intégrer de multiples sources de CTI dans une interface unique
• Faciliter les recherches et l'identification des menaces
• Aider les organisations dans la recherche de menaces pertinentes

Sources de données

Actuellement, l'outil intègre deux sources principales de renseignement :

1. OTX (Open Threat Exchange) - AlienVault
2. XFE (X-Force Exchange) - IBM

Prérequis

Logiciel

• Python 3+
• pip (correspondant à la version de Python)

Identifiants API

Il est nécessaire d'obtenir des clés API des plateformes suivantes :

• Open Threat Exchange (OTX) : https://otx.alienvault.com
• IBM X-Force Exchange : https://exchange.xforce.ibmcloud.com

Important : La clé IBM doit être au format clé:mot de passe codé en Base64.

Installation

1. Installer le paquet

pip3 install BRIntel1

2. Configurer les variables d'environnement

Créez un fichier .env avec vos identifiants :

echo "OTX_KEY = '<votre clé>'" > .env
echo "IBM_KEY = '<votre clé + mot de passe en base64>'" >> .env

Exemple de codage de la clé IBM :

echo -n "votre_clé:votre_mot_de_passe" | base64

Utilisation

Recherche dans toutes les sources

Recherche complète (données absolues)

from BRIntel import allSources

# Retourne une liste de dictionnaires contenant toutes les données des sources
résultats = allSources("Terme de recherche")

Recherche standard (données simplifiées)

from BRIntel import default

# Retourne une liste de dictionnaires au format standardisé
résultats = default("Terme de recherche")

Structure de retour standard

La fonction default() retourne les données dans le format suivant :

Recherche dans des sources spécifiques

IBM X-Force Exchange (XFE)

from BRIntel import xfe

# Recherche dans XFE (retourne au format STIX 2.1)
résultats_xfe = xfe.search("Terme de recherche")

# Afficher au format standard
xfe.show(résultats_xfe[0])

# Obtenir les détails complets d'un rapport spécifique
détails = xfe.details(résultats_xfe[0]["id"])

Open Threat Exchange (OTX)

from BRIntel import otx

# Recherche dans OTX (retourne au format ouvert de pulse OTX)
résultats_otx = otx.search("Terme de recherche")

# Afficher au format standard
otx.show(résultats_otx[0])

# Obtenir les détails complets d'un pulse spécifique
détails = otx.details(résultats_otx[0]["id"])

Exemples d'utilisation

Exemple 1 : Recherche simple

from BRIntel import default

# Rechercher un domaine suspect
résultats = default("exemplo.com.br")

for résultat in résultats:
    print(f"Titre : {résultat['title']}")
    print(f"Auteur : {résultat['author']}")
    print(f"TLP : {résultat['tlp']}")
    print(f"URL : {résultat['url']}")
    print("-" * 50)

Exemple 2 : Recherche avec détails

from BRIntel import otx, xfe

# Rechercher dans les deux sources
résultats_otx = otx.search("malware Brasil")
résultats_xfe = xfe.search("malware Brasil")

# Obtenir les détails du premier résultat de chaque source
if résultats_otx:
    détails_otx = otx.details(résultats_otx[0]["id"])
    print("Détails OTX :", détails_otx)

if résultats_xfe:
    détails_xfe = xfe.details(résultats_xfe[0]["id"])
    print("Détails XFE :", détails_xfe)

Exemple 3 : Comparaison entre sources

from BRIntel import allSources

# Rechercher dans toutes les sources avec données complètes
toutes_sources = allSources("phishing")

print(f"Total de résultats trouvés : {len(toutes_sources)}")

for item in toutes_sources:
    print(f"Source : {item.get('fonte', 'N/A')}")
    print(f"Titre : {item.get('title', 'N/A')}")

Traffic Light Protocol (TLP)

L'outil utilise le standard TLP pour la classification du partage d'informations :

• TLP:RED - Information restreinte, ne pas partager
• TLP:AMBER - Partage limité
• TLP:GREEN - Partage au sein de la communauté
• TLP:WHITE - Partage public illimité

Plus d'informations : https://www.gov.br/cisc/pt-br/tlp

Formats de données

• OTX : Retourne les données au format ouvert de pulse OTX
• XFE : Retourne les données au format STIX 2.1

Cas d'utilisation

1. Analyse de menaces : Identifier des campagnes malveillantes ciblant le Brésil
2. Investigation d'incidents : Corréler des indicateurs avec des menaces connues
3. Threat Hunting : Rechercher proactivement des indicateurs de compromission
4. Enrichissement d'IOC : Ajouter du contexte aux indicateurs collectés
5. Rapports de renseignement : Consolider des informations pour des rapports exécutifs

Bonnes pratiques

1. Gestion des identifiants : Ne jamais partager ou commiter vos clés API
2. Rate Limiting : Respecter les limites de requêtes des API
3. Validation des données : Toujours valider et contextualiser les résultats obtenus
4. Mise à jour régulière : Maintenir la bibliothèque à jour pour de nouvelles fonctionnalités
5. Documentation TLP : Respecter les classifications TLP des rapports

Limitations

• Dépendance aux API externes (nécessite connectivité et identifiants valides)
• Actuellement limité aux sources OTX et XFE
• Soumis aux limites de taux des API utilisées

Contribuer

Pour contribuer au projet, visitez le dépôt GitHub : https://github.com/devfoundsec/BRIntelcollector

Support

Pour signaler des bogues ou demander des fonctionnalités, ouvrez une issue sur le GitHub du projet.

Références

• AlienVault OTX
• IBM X-Force Exchange
• Documentation STIX 2.1
• Traffic Light Protocol - Gov.br

Développé par : devfoundsec
Dépôt : https://github.com/devfoundsec/BRIntelcollector