無料脅威インテル/IOCフィード

このリポジトリには、追加の要件なしで使用できるオープンソースの無料脅威インテルフィードが含まれています。CSVファイル ThreatIntelFeeds は、ベンダー、説明、カテゴリ、URLに基づいて構造化された方法で保存されています。脅威インテルフィードを提供するベンダーについては、以下で説明します。以下のフィードカテゴリが利用可能です：

SSL
IP
DNS
URL
MD5
SHA1
SHA256
CVEID
JA3
NamePipes

コンテンツは現状のまま提供されます。ビジネス環境でコンテンツを使用する場合、使用前に条件を調査する必要があります。特定の条件下では、一部のコンテンツを自由に使用できない可能性があります。それが該当するかどうかを調査するのは、あなた自身の責任です。

カテゴリ	件数
DNS	17
IP	78
MD5	12
SHA1	5
SHA256	8
SSL	1
URL	23
CVEID	4
RANSOMWARELEAK	1
JA3	1
NamePipe	1

EDRおよびSIEMで脅威インテルを組み合わせる

このリポジトリで利用可能なフィードは、EDRまたはSIEMソリューションで脅威ハンティングを実行し、悪意のあるアクティビティを探すために使用できます。Defender For EndpointおよびSentinel向けに、EDRまたはSIEMに実装するためのKQLハンティングルールがすでにいくつか作成されています。参照: KQLハンティングクエリ

KQL

M365D Advanced HuntingまたはSentinelのKQLにオープンソースフィードを簡単に実装できます。これは externaldata 演算子を使用して行われます。この演算子は外部リンクを入力として受け取り、結果をデータテーブルに解析して、他のテーブルとの結合やフィルタリングに使用できます。例を以下に示します。出力は他のテーブルと同様のテーブルです。

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
C2IntelFeeds
| take 100

代替テキスト

ドキュメントでは、最初の行を無視するかどうかなど、使用されるさまざまなパラメータについて説明されています。

EDRネットワークトラフィックとIOCフィードの組み合わせ

EDRネットワークトラフィックとIOCフィードを組み合わせた結果を以下に示します。この検出は、コマンドアンドコントロールサーバーをホストするIPに接続するデバイスを特定するのに役立ちます。

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
let IPList = C2IntelFeeds
| project IP;
DeviceNetworkEvents
| where RemoteIP in (IPList)
| join kind=inner C2IntelFeeds on $left.RemoteIP == $right.IP
| extend GeoIPInfo = geo_info_from_ip_address(RemoteIP)
| extend country = tostring(parse_json(GeoIPInfo).country), state = tostring(parse_json(GeoIPInfo).state), city = tostring(parse_json(GeoIPInfo).city), latitude = tostring(parse_json(GeoIPInfo).latitude), longitude = tostring(parse_json(GeoIPInfo).longitude)
| project Timestamp, DeviceName, RemoteIP, RemotePort, RemoteUrl, ioc

貢献

無料の脅威インテル/IOCフィードのリストを可能な限り大きく、最新の状態に保つための貢献を歓迎します。プルリクエストを作成することで貢献できます。このPRには以下の内容を含める必要があります：

README.mdファイルにフィードへのリンクを追加します。ソースが適合するセクションがまだない場合は、新しいセクションを作成します。
ThreatIntelFeeds.csvファイルに詳細を追加します。使用される形式は以下に示されています。カテゴリは上記のフィードカテゴリを指します。
```
Vendor;Description;Category;Url
```
ソースは無料であり、アカウントやAPIトークンを必要とせずに使用できる必要があります。
Validator.py スクリプトを使用してCSVファイルの内容を検証します。これは script ディレクトリで実行することで行えます。
GenerateTableStatistics.py を実行してIOCフィード統計テーブルを更新します。これにより、マークダウンテーブルが StatisticsTable.md ファイルに保存されます。このテーブルは上記に貼り付けることができます。