BRIntelcollector

Panoramica

BRIntelcollector è uno strumento di Cyber Threat Intelligence (CTI) focalizzato sugli indicatori di minacce nazionali del Brasile. Lo strumento consente di cercare e consolidare informazioni sulle minacce informatiche attraverso molteplici fonti di intelligence, facilitando la creazione di un database centralizzato per l'analisi della sicurezza.

Obiettivi

• Raccogliere indicatori di minacce nazionali brasiliane
• Integrare molteplici fonti CTI in un'unica interfaccia
• Facilitare ricerche e identificazione di minacce
• Assistere le organizzazioni nella ricerca di possibili minacce rilevanti

Fonti di Dati

Attualmente, lo strumento integra due principali fonti di intelligence:

1. OTX (Open Threat Exchange) - AlienVault
2. XFE (X-Force Exchange) - IBM

Prerequisiti

Software

• Python 3+
• pip (corrispondente alla versione di Python)

Credenziali API

È necessario ottenere chiavi API dalle seguenti piattaforme:

• Open Threat Exchange (OTX): https://otx.alienvault.com
• IBM X-Force Exchange: https://exchange.xforce.ibmcloud.com

Importante: La chiave IBM deve essere nel formato chiave:password codificata in Base64.

Installazione

1. Installare il pacchetto

pip3 install BRIntel1

2. Configurare le variabili d'ambiente

Crea un file .env con le tue credenziali:

echo "OTX_KEY = '<tua chiave>'" > .env
echo "IBM_KEY = '<tua chiave + password in base64>'" >> .env

Esempio di codifica della chiave IBM:

echo -n "tua_chiave:tua_password" | base64

Utilizzo

Ricerca in Tutte le Fonti

Ricerca Completa (Dati Assoluti)

from BRIntel import allSources

# Restituisce una lista di dizionari contenenti tutti i dati delle fonti
risultati = allSources("Termine di ricerca")

Ricerca Standard (Dati Semplificati)

from BRIntel import default

# Restituisce una lista di dizionari in formato standardizzato
risultati = default("Termine di ricerca")

Struttura di Restituzione Standard

La funzione default() restituisce i dati nel seguente formato:

Ricerca in Fonti Specifiche

IBM X-Force Exchange (XFE)

from BRIntel import xfe

# Ricerca su XFE (restituisce formato STIX 2.1)
risultati_xfe = xfe.search("Termine di ricerca")

# Visualizza in formato standard
xfe.show(risultati_xfe[0])

# Ottieni dettagli completi di un report specifico
dettagli = xfe.details(risultati_xfe[0]["id"])

Open Threat Exchange (OTX)

from BRIntel import otx

# Ricerca su OTX (restituisce formato aperto di pulse OTX)
risultati_otx = otx.search("Termine di ricerca")

# Visualizza in formato standard
otx.show(risultati_otx[0])

# Ottieni dettagli completi di un pulse specifico
dettagli = otx.details(risultati_otx[0]["id"])

Esempi di Utilizzo

Esempio 1: Ricerca Semplice

from BRIntel import default

# Cerca un dominio sospetto
risultati = default("esempio.com.br")

for risultato in risultati:
    print(f"Titolo: {risultato['title']}")
    print(f"Autore: {risultato['author']}")
    print(f"TLP: {risultato['tlp']}")
    print(f"URL: {risultato['url']}")
    print("-" * 50)

Esempio 2: Ricerca con Dettagli

from BRIntel import otx, xfe

# Cerca in entrambe le fonti
risultati_otx = otx.search("malware Brasile")
risultati_xfe = xfe.search("malware Brasile")

# Ottieni dettagli del primo risultato di ciascuna fonte
if risultati_otx:
    dettagli_otx = otx.details(risultati_otx[0]["id"])
    print("Dettagli OTX:", dettagli_otx)

if risultati_xfe:
    dettagli_xfe = xfe.details(risultati_xfe[0]["id"])
    print("Dettagli XFE:", dettagli_xfe)

Esempio 3: Confronto tra Fonti

from BRIntel import allSources

# Cerca in tutte le fonti con dati completi
tutte_fonti = allSources("phishing")

print(f"Totale risultati trovati: {len(tutte_fonti)}")

for item in tutte_fonti:
    print(f"Fonte: {item.get('fonte', 'N/A')}")
    print(f"Titolo: {item.get('title', 'N/A')}")

Traffic Light Protocol (TLP)

Lo strumento utilizza lo standard TLP per la classificazione della condivisione delle informazioni:

• TLP:RED - Informazione riservata, non condividere
• TLP:AMBER - Condivisione limitata
• TLP:GREEN - Condivisione all'interno della comunità
• TLP:WHITE - Condivisione pubblica illimitata

Maggiori informazioni: https://www.gov.br/cisc/pt-br/tlp

Formati dei Dati

• OTX: Restituisce dati nel formato aperto di pulse OTX
• XFE: Restituisce dati nel formato STIX 2.1

Casi d'Uso

1. Analisi delle Minacce: Identificare campagne malevole mirate al Brasile
2. Investigazione di Incidenti: Correlare indicatori con minacce note
3. Threat Hunting: Cercare proattivamente indicatori di compromissione
4. Arricchimento di IOC: Aggiungere contesto agli indicatori raccolti
5. Report di Intelligence: Consolidare informazioni per report esecutivi

Buone Pratiche

1. Gestione delle Credenziali: Non condividere o committare mai le tue chiavi API
2. Rate Limiting: Rispetta i limiti di richiesta delle API
3. Validazione dei Dati: Valida e contestualizza sempre i risultati ottenuti
4. Aggiornamento Regolare: Mantieni la libreria aggiornata per nuove funzionalità
5. Documentazione TLP: Rispetta le classificazioni TLP dei report

Limitazioni

• Dipendenza da API esterne (richiede connettività e credenziali valide)
• Attualmente limitato alle fonti OTX e XFE
• Soggetto ai limiti di frequenza delle API utilizzate

Contribuire

Per contribuire al progetto, visita il repository su GitHub: https://github.com/devfoundsec/BRIntelcollector

Supporto

Per segnalare bug o richiedere funzionalità, apri un'issue su GitHub del progetto.

Riferimenti

• AlienVault OTX
• IBM X-Force Exchange
• STIX 2.1 Documentation
• Traffic Light Protocol - Gov.br

Sviluppato da: devfoundsec
Repository: https://github.com/devfoundsec/BRIntelcollector