Feed Gratuiti di Threat Intel/IOC

Questa repository contiene feed di Threat Intel open source e liberamente utilizzabili che possono essere impiegati senza requisiti aggiuntivi. Il CSV ThreatIntelFeeds è archiviato in modo strutturato in base a Vendor, Descrizione, Categoria e URL. I vendor che offrono ThreatIntelFeeds sono descritti di seguito. Le seguenti categorie di feed sono disponibili:

SSL
IP
DNS
URL
MD5
SHA1
SHA256
CVEID
JA3
NamePipes

Il contenuto è fornito così com'è. Quando si utilizza il contenuto in un ambiente aziendale, le condizioni devono essere verificate prima dell'uso; potrebbe accadere che alcuni contenuti non possano essere utilizzati liberamente in determinate condizioni. È tua responsabilità verificare se questo è il caso.

Categoria	Conteggio
DNS	17
IP	78
MD5	12
SHA1	5
SHA256	8
SSL	1
URL	23
CVEID	4
RANSOMWARELEAK	1
JA3	1
NamePipe	1

Combina Threat Intel nel tuo EDR e SIEM

I feed disponibili in questa repository possono essere utilizzati per eseguire threat hunting nella tua soluzione EDR o SIEM per cercare attività dannose. Per Defender For Endpoint e Sentinel, sono già state scritte alcune regole di hunting KQL da implementare nel tuo EDR o SIEM. Vedi: Query di Hunting KQL

KQL

Puoi facilmente implementare i feed open-source in KQL per M365D Advanced Hunting o Sentinel. Questo viene fatto utilizzando l'operatore externaldata. Questo operatore può prendere un link esterno come input e analizzare il risultato in una tabella dati che può essere utilizzata per join o per filtrare in base alle altre tabelle. Un esempio è mostrato di seguito e l'output è una tabella come qualsiasi altra.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
C2IntelFeeds
| take 100

testo alternativo

La documentazione spiega i diversi parametri utilizzati, come ad esempio se si desidera ignorare la prima riga o meno.

Combinare il Traffico di Rete EDR e i Feed IOC

Il risultato della combinazione del traffico di rete EDR e del feed IOC è mostrato di seguito. Questa rilevazione può aiutarti a identificare i dispositivi che si connettono a IP che ospitano server di comando e controllo.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
let IPList = C2IntelFeeds
| project IP;
DeviceNetworkEvents
| where RemoteIP in (IPList)
| join kind=inner C2IntelFeeds on $left.RemoteIP == $right.IP
| extend GeoIPInfo = geo_info_from_ip_address(RemoteIP)
| extend country = tostring(parse_json(GeoIPInfo).country), state = tostring(parse_json(GeoIPInfo).state), city = tostring(parse_json(GeoIPInfo).city), latitude = tostring(parse_json(GeoIPInfo).latitude), longitude = tostring(parse_json(GeoIPInfo).longitude)
| project Timestamp, DeviceName, RemoteIP, RemotePort, RemoteUrl, ioc

Contributi

I contributi sono molto apprezzati per rendere questo elenco di feed gratuiti di Threat Intel/IOC il più ampio e aggiornato possibile. Puoi contribuire creando una pull request. Questa PR deve contenere il seguente contenuto:

Aggiungi il link al feed nel file README.md. Se non esiste ancora una sezione in cui la fonte si adatta, crea una nuova sezione.
Aggiungi i dettagli al file ThreatIntelFeeds.csv; il formato utilizzato è mostrato di seguito. La Categoria si riferisce alle categorie di feed mostrate sopra.
```
Vendor;Descrizione;Categoria;Url
```
La fonte deve essere gratuita e utilizzabile senza bisogno di account o token API.
Utilizza lo script Validator.py per validare il contenuto del file CSV. Questo può essere fatto eseguendolo nella directory script.
Aggiorna la tabella delle Statistiche dei Feed IOC eseguendo GenerateTableStatistics.py che salverà la tabella markdown nel file StatisticsTable.md. Questa tabella può poi essere incollata sopra.