Feeds Gratuitos de Threat Intel/IOC

Este repositório contém feeds de Threat Intel de código aberto e uso gratuito que podem ser utilizados sem requisitos adicionais. O CSV ThreatIntelFeeds é armazenado de forma estruturada com base no Fornecedor, Descrição, Categoria e URL. Os fornecedores que oferecem ThreatIntelFeeds são descritos abaixo. As seguintes categorias de feeds estão disponíveis:

SSL
IP
DNS
URL
MD5
SHA1
SHA256
CVEID
JA3
NamePipes

O conteúdo é fornecido como está. Ao utilizar o conteúdo em um ambiente corporativo, as condições devem ser pesquisadas antes do uso; pode ser que algum conteúdo não possa ser usado livremente sob certas condições. É de sua própria responsabilidade pesquisar se esse é o caso ou não.

Categoria	Quantidade
DNS	17
IP	78
MD5	12
SHA1	5
SHA256	8
SSL	1
URL	23
CVEID	4
RANSOMWARELEAK	1
JA3	1
NamePipe	1

Combine Threat Intel no seu EDR e SIEM

Os feeds disponíveis neste repositório podem ser usados para realizar threat hunting na sua solução de EDR ou SIEM para procurar atividades maliciosas. Para Defender For Endpoint e Sentinel, algumas regras de hunting em KQL já foram escritas para serem implementadas no seu EDR ou SIEM. Consulte: KQL Hunting Queries

KQL

Você pode facilmente implementar os feeds de código aberto em KQL para o M365D Advanced Hunting ou Sentinel. Isso é feito usando o operador externaldata. Este operador pode receber um link externo como entrada e analisar o resultado em uma tabela de dados que pode ser usada para fazer join ou filtrar com base em suas outras tabelas. Um exemplo é mostrado abaixo e a saída é uma tabela como qualquer outra.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
C2IntelFeeds
| take 100

texto alternativo

A documentação explica os diferentes parâmetros usados, como se você deseja ignorar a primeira linha ou não.

Combinando Tráfego de Rede do EDR e Feeds de IOC

O resultado da combinação do Tráfego de Rede do EDR e do feed de IOC é mostrado abaixo. Essa detecção pode ajudar você a identificar dispositivos que se conectam a IPs que hospedam servidores de comando e controle.

let C2IntelFeeds = externaldata(IP: string, ioc:string)[@"https://raw.githubusercontent.com/drb-ra/C2IntelFeeds/master/feeds/IPC2s-30day.csv"] with (format="csv", ignoreFirstRecord=True);
let IPList = C2IntelFeeds
| project IP;
DeviceNetworkEvents
| where RemoteIP in (IPList)
| join kind=inner C2IntelFeeds on $left.RemoteIP == $right.IP
| extend GeoIPInfo = geo_info_from_ip_address(RemoteIP)
| extend country = tostring(parse_json(GeoIPInfo).country), state = tostring(parse_json(GeoIPInfo).state), city = tostring(parse_json(GeoIPInfo).city), latitude = tostring(parse_json(GeoIPInfo).latitude), longitude = tostring(parse_json(GeoIPInfo).longitude)
| project Timestamp, DeviceName, RemoteIP, RemotePort, RemoteUrl, ioc

Contribuições

Contribuições são muito apreciadas para tornar esta lista de feeds gratuitos de Threat Intel/IOC o maior e mais atualizado possível. Você pode contribuir criando um pull request. Este PR deve conter o seguinte conteúdo:

Adicione o link para o feed no arquivo README.md. Se ainda não houver uma seção na qual a fonte se encaixe, crie uma nova seção.
Adicione os detalhes ao arquivo ThreatIntelFeeds.csv; o formato usado é mostrado abaixo. A Categoria refere-se às categorias de feeds mostradas acima.
```
Vendor;Description;Category;Url
```
A fonte deve ser gratuita e utilizável sem necessidade de conta ou token de API.
Use o script Validator.py para validar o conteúdo do arquivo CSV. Isso pode ser feito executando-o no diretório script.
Atualize a tabela de Estatísticas de Feeds de IOC executando o GenerateTableStatistics.py, que salvará a tabela markdown no arquivo StatisticsTable.md. Essa tabela pode então ser colada acima.