ExtendIntel

यह पैकेज Intel पैकेज को विस्तारित करता है ताकि अधिक फ़ील्ड लॉग की जा सकें।

यदि intel फ़ाइल में निम्नलिखित फ़ील्ड मौजूद हैं, तो डेटा स्वचालित रूप से intel.log में जोड़ दिया जाएगा।

• threat_score
• verdict
• verdict_source
• confidence
• desc
• lastseen
• firstseen
• url
• reports
• campaigns
• associated
• category
• kill_chain_phases

Intel लॉग

इस पैकेज के बिना, मानक intel.log में निम्नलिखित जैसी सामग्री होगी:

{
  "@path":"intel",
  "@sensor":"Lab-AP200",
  "@timestamp":"2023-01-06T05:13:38.841292Z",
  "ts":"2023-01-06T05:13:38.841292Z",
  "uid":"CNh51N3dSRfMZG1Pt4",
  "id.orig_h":"195.133.40.86",
  "id.orig_p":64910,
  "id.resp_h":"192.168.13.20",
  "id.resp_p":80,
  "seen.indicator":"77.247.181.165",
  "seen.indicator_type":"Intel::ADDR",
  "seen.where":"Conn::IN_ORIG",
  "matched": [
    "Intel::ADDR"
  ],
  "sources": [
    "blocklist_de",
    "cinsscore_ci_badguys",
    "blocklist_net_ua",
    "Mandiant",
    "dshield_block"
  ],
}

यदि ExtendIntel Zeek पैकेज लोड किया गया है, तो intel.log निम्नलिखित जैसी अतिरिक्त सामग्री से समृद्ध होगा:

{
  "confidence": [99],
  "threat_score": [100],
  "verdict": ["malicious"],
  "verdict_source": ["analystVerdict"],
  "desc": ["Mandiant Threat Intellegence"]
  "lastseen": ["2023-01-03T16:10:54Z"],
  "firstseen": ["2021-03-20T10:10:01Z"],
  "url": ["https://advantage.mandiant.com/"],
  "reports": ["ID:23-00000242, Type:News Analysis"],
  "campaigns": [],
  "associated": [
    "ID:threat-actor--b7e371c2-724e-5ffa-9e3c-9b1410513c27, Name:FIN13; ID:threat-actor--8211bc17-9216-5e83-b54d-d1b04add12f3, Name:APT28; ID:threat-actor--7a39953e-0dae-569a-9d49-d52a4a8865b1, Name:APT29; ID:threat-actor--2f0ab36a-02a6-59f7-ac23-bcd824cc7c8e, Name:FIN4"
  ],
  "category": [
    "exploit",
    "exploit/vuln-scanning, exploit"
  ],
  "kill_chain_phases": [],
}