cred-club/artifUm framework avançado de inteligência de ameaças em tempo real para identificar ameaças e tráfego web malicioso com base na reputação de IP e dados históricos.
O ARTIF é um novo framework avançado de inteligência de ameaças em tempo real que adiciona uma camada de abstração sobre o MISP para identificar ameaças e tráfego web malicioso com base na reputação de IP e dados históricos. Ele também realiza enriquecimento automático e pontuação de ameaças coletando, processando e correlacionando observáveis baseados em diferentes fatores.
As principais funcionalidades do ARTIF incluem:
Alguns casos de uso:
Por que usar o ARTIF? É um framework de inteligência de ameaças em tempo real que pode ajudar a identificar IPs maliciosos mesmo que não estejam presentes no MISP. Isso ajuda as organizações a estabelecer a primeira camada de defesa, proporcionando transparência sobre o tráfego web malicioso que chega aos seus servidores.
Extraído do MISP: MISP é uma solução de software open source para coletar, armazenar, distribuir e compartilhar indicadores e ameaças de segurança cibernética relacionados à análise de incidentes de segurança cibernética e análise de malware. O MISP foi projetado por e para analistas de incidentes, profissionais de segurança e TIC ou reversores de malware para apoiar suas operações diárias no compartilhamento eficiente de informações estruturadas.
O MISP pode ser instalado usando código-fonte ou suas imagens AWS pré-construídas. Mais informações sobre a instalação do MISP podem ser encontradas em seu site.
maxmind:
image: maxmindinc/geoipupdate
environment:
GEOIPUPDATE_ACCOUNT_ID: xxxxx
GEOIPUPDATE_LICENSE_KEY: xxxxxxxxxxxxxx
git clone https://github.com/CRED-CLUB/ARTIF/
sudo docker-compose build
sudo docker-compose up
Abaixo está um exemplo de config.yaml para sua referência. Basta substituir os valores correspondentes pelos seus valores.
credentials:
MISP_URL: "https://127.0.0.1"
MISP_KEY: "qwertyuiopasdfghjk"
python3 /home/user/ARTIF/ip_rep/feed_ingestor/update_check.py -s
python3 /home/user/ARTIF/ip_rep/feed_ingestor/update_check.py
python3 manage.py crontab add
python3 manage.py runserver
Isso abrirá a porta 8000, que pode ser usada para obter os metadados dos endereços IP. Agora você pode tentar obter a pontuação de ameaça para qualquer IP específico.
curl 127.0.0.1:8000/ip/?ip=x.x.x.x
A saída será
{"is_IoC": false, "is_Active": false, "metadata": {"asn": "AS165**", "country": "XXX", "org": "XXX"}, "score": 80.14671726301682, "description": "XXX", "blacklists": "", "type": "", "historical":false, verdict": "No action needed"}
A pontuação representa um risco menor para o IP, pois a pontuação de ameaça é alta. Quanto maior a pontuação, menos malicioso é o IP.
Nota: Recomenda-se uma instância com 8 GB de RAM para a instalação do ARTIF.
Configurando contêineres docker
Iniciando ARTIF
O ARTIF suporta sincronização com o MISP. Ele sincroniza os feeds do MISP, pegando a configuração mais recente do settings.yaml e todos os novos eventos modificados no MISP são refletidos no settings.yaml. Para adicionar um novo IP, basta fazer login no MISP e clicar na página de adicionar feed. Assim que o IP for adicionado, o cronjob o capturará de acordo com sua programação e será processado automaticamente.
O ARTIF, sendo um framework de ameaças, é altamente útil para visibilidade dentro do tráfego da organização. É completamente escrito em Python e coleta inteligência sobre um IP de vários feeds. Em seguida, envia esses dados para um mecanismo de correlação que gera uma pontuação de ameaça, onde os dados históricos também são um dos fatores considerados para o cálculo da pontuação de ameaça.
Sempre que um novo IP atinge o serviço, um worker do celery é designado para atualizar sua pontuação no banco de dados coordenando-se com o mecanismo de correlação, que por sua vez coleta dados de múltiplas fontes. Para garantir que os dados não estejam obsoletos (o valor padrão de 'stale time' é 24 horas), executamos um worker para cada IP no banco de dados que não foi atualizado nas últimas 'stale time'. Como todos os outros parâmetros, esse valor também é configurável. Como o cálculo da pontuação de ameaça é a chave para tudo isso, damos muita ênfase a ele. Além dos feeds de ameaças bem conhecidos, como MISP, Cortex, Alien Vault, VirusTotal e listas negras populares de IPs, também podemos adicionar feeds personalizados de acordo com o caso de uso de negócios e segurança, onde a lealdade do cliente também pode ser usada como parâmetro para o cálculo da pontuação de ameaça.
Para facilitar a configuração, o ARTIF precisa das seguintes entradas para ser executado:
Ao ser executado, os dados são processados e armazenados em um contêiner MongoDB. O contêiner MongoDB contém 3 bancos de dados importantes que armazenam informações sobre o IP no feed, bem como seus metadados, como país/ASN, organização, etc. Se o IP não for encontrado no banco de dados, significa que é um novo IP chegando ao servidor, cujas informações não estão presentes no MISP. Em seguida, calculamos uma pontuação de risco para o IP específico usando um algoritmo e vários outros parâmetros, como geolocalização, ASN e organização. Mais informações sobre o mecanismo de pontuação podem ser encontradas aqui.